Introduction
WordPress fait tourner plus de 43 % des sites web dans le monde en 2026. Cette domination en fait aussi la cible numéro un des pirates. Chaque jour, des milliers de sites WordPress sont compromis, souvent à cause d'erreurs simples que vous pouvez éviter en quelques minutes. La bonne nouvelle ? Protéger un site WordPress n'a rien de sorcier. Dans ce guide, je vous montre comment sécuriser votre site, des bases jusqu'aux mesures avancées.
Pourquoi WordPress attire-t-il autant les pirates ?
WordPress est une cible de choix pour deux raisons principales. La première, c'est sa popularité : avec près d'un site sur deux qui tourne sous ce CMS, les pirates savent qu'ils peuvent toucher un maximum de victimes avec un minimum d'effort. La seconde, c'est l'écosystème des extensions. On recense plus de 60 000 plugins sur le répertoire officiel, sans compter ceux vendus sur des plateformes tierces.
Tous ces plugins ne sont pas égaux en matière de sécurité. En 2025, des failles critiques ont été découvertes dans des extensions utilisées par des millions de sites : plugins de formulaires, de cache, de constructeurs de pages. Le problème ne vient pas tant du cœur de WordPress, régulièrement audité, que de cet écosystème ouvert où n'importe qui peut publier du code.
Ajoutez à cela des pratiques courantes mais risquées : mots de passe faibles, absences de mises à jour, hébergements mal configurés. Résultat : selon les rapports de Sucuri et Wordfence, WordPress représente plus de 90 % des sites CMS infectés chaque année.
Les attaques les plus fréquentes
Le catalogue des menaces est vaste, mais quatre types d'attaques reviennent constamment. Les attaques par force brute tentent de deviner vos identifiants en essayant des milliers de combinaisons. Les injections SQL exploitent une faille dans un plugin pour voler ou modifier votre base de données. Les malwares SEO injectent du spam dans vos pages pour détourner votre trafic. Enfin, le phishing utilise votre domaine légitime pour héberger de fausses pages bancaires ou d'authentification.
Les bonnes pratiques fondamentales
Mettez à jour, tout le temps
C'est la règle numéro un et pourtant la plus négligée. Le cœur de WordPress, vos plugins et votre thème doivent être mis à jour dès qu'une nouvelle version sort. Les mises à jour de sécurité corrigent des failles connues. Un site qui tourne sous une version obsolète, c'est une porte ouverte.
Activez les mises à jour automatiques pour les versions mineures de WordPress. Pour les plugins, vérifiez chaque semaine dans votre tableau de bord. Si vous gérez plusieurs sites, un outil comme MainWP ou ManageWP centralise cette tâche.
Choisissez des identifiants solides
Le nom d'utilisateur "admin" et le mot de passe "123456", c'est encore la réalité de trop de sites. Choisissez un nom d'utilisateur unique et évitez "admin" ou le nom de votre site. Pour le mot de passe, visez 16 caractères minimum, avec majuscules, minuscules, chiffres et symboles. Un gestionnaire de mots de passe comme Bitwarden ou KeePass vous simplifiera la vie.
Limitez les tentatives de connexion
Sans protection, un robot peut tenter des milliers de connexions par heure. Installez un plugin qui limite le nombre de tentatives et bloque temporairement les IP suspectes. Cinq tentatives échouées, puis quinze minutes de blocage : ce simple réglage neutralise la plupart des attaques par force brute.
Changez l'URL de connexion
L'URL par défaut /wp-admin et /wp-login.php est connue de tous les scanners automatiques. La déplacer vers une adresse personnalisée, comme /mon-espace-securise, réduit considérablement le bruit des attaques automatisées. Plusieurs plugins de sécurité le font en un clic.
Désactivez l'éditeur de fichiers
WordPress inclut un éditeur de code intégré qui permet de modifier les fichiers du thème et des plugins depuis le tableau de bord. Pratique, mais dangereux : si un pirate accède à votre compte admin, il peut injecter du code malveillant directement. Ajoutez cette ligne dans votre fichier wp-config.php :
define('DISALLOW_FILE_EDIT', true);
Les plugins de sécurité : lesquels installer ?
Il existe des dizaines de plugins de sécurité, mais trois se détachent par leur qualité et leur adoption.
Wordfence est le plus populaire. Il inclut un pare-feu, un scanner de malwares, une protection contre la force brute et un bloqueur de pays. Sa version gratuite couvre l'essentiel des besoins d'un site classique. La version premium ajoute des signatures de malwares mises à jour en temps réel.
Sucuri Security excelle dans le nettoyage post-piratage. Si votre site est déjà infecté, leur équipe peut le nettoyer et le remettre en ligne rapidement. Leur plugin gratuit offre un audit de sécurité, la surveillance de l'intégrité des fichiers et un durcissement de base.
iThemes Security (anciennement Better WP Security) propose une approche par checklist avec une trentaine de mesures à activer progressivement. Idéal pour les débutants qui veulent être guidés étape par étape.
N'installez jamais deux plugins de sécurité en même temps : ils entreraient en conflit. Choisissez-en un seul et configurez-le correctement.
Un plugin ne fait pas tout
Un plugin de sécurité est une couche de protection, pas une solution miracle. Il doit être complété par des sauvegardes régulières, des mises à jour et un hébergement de qualité.
Sauvegardes : votre filet de sécurité
Aucune protection n'est infaillible. Si le pire arrive, une sauvegarde récente vous permet de restaurer votre site en quelques minutes plutôt qu'en plusieurs jours.
La règle des 3-2-1 s'applique aussi aux sites web : conservez trois copies de vos données, sur deux supports différents, dont une copie hors site. Concrètement, une sauvegarde chez votre hébergeur et une autre dans un cloud externe, comme Dropbox, Google Drive ou pCloud.
Côté outils, UpdraftPlus reste la référence gratuite. Il programme des sauvegardes automatiques quotidiennes ou hebdomadaires et les envoie vers la destination de votre choix. BlogVault est une alternative payante qui fait des sauvegardes incrémentales, très utile pour les sites à fort trafic.
Fréquence recommandée : quotidienne pour un site e-commerce ou éditorial actif, hebdomadaire pour un site vitrine. Testez vos sauvegardes une fois par mois : une sauvegarde qui ne peut pas être restaurée ne sert à rien.
Que faire si votre site est piraté ?
Même avec les meilleures protections, le risque zéro n'existe pas. Voici la marche à suivre si vous découvrez que votre site est compromis.
Passez en mode maintenance. Mettez votre site hors ligne immédiatement. Un site infecté peut propager des malwares à vos visiteurs et se faire blacklister par Google, ce qui prend des semaines à rattraper.
Changez tous les mots de passe. Base de données, FTP, comptes administrateurs WordPress, accès à l'hébergeur, emails associés. Partez du principe que tout est compromis.
Identifiez la source. Examinez les fichiers récemment modifiés, les nouveaux comptes administrateurs, les plugins inconnus. Les scanners de Wordfence ou Sucuri vous aident à localiser les fichiers infectés.
Restaurez une sauvegarde propre. Avant de restaurer, vérifiez que la sauvegarde n'est pas elle-même infectée. Idéalement, remontez à une date antérieure à l'infection.
Réparez la faille. Ne vous contentez pas de restaurer. Mettez à jour WordPress, les plugins et le thème vers leurs dernières versions. Changez les clés de sécurité dans wp-config.php. Si vous ne trouvez pas la cause, faites appel à un professionnel.
Sécurité avancée : pare-feu applicatif et HTTPS
Le pare-feu applicatif (WAF)
Un WAF (Web Application Firewall) filtre le trafic avant qu'il n'atteigne votre site. Il bloque les requêtes malveillantes en analysant leur comportement, pas seulement leur signature. Cloudflare et Sucuri proposent des WAF qui s'interposent entre votre site et les visiteurs.
L'avantage d'un WAF externe : il bloque les attaques avant même qu'elles n'arrivent sur votre serveur, ce qui préserve vos ressources. Cloudflare offre un plan gratuit qui inclut déjà une protection DDoS basique et un pare-feu paramétrable.
HTTPS partout
En 2026, un site sans HTTPS n'est pas seulement mal protégé, il est pénalisé par Google et affiché comme "non sécurisé" par les navigateurs. Le certificat SSL chiffre les données entre le visiteur et votre serveur, empêchant l'interception des identifiants de connexion ou des informations de paiement.
Let's Encrypt fournit des certificats SSL gratuits et reconnus par tous les navigateurs. La plupart des hébergeurs les intègrent en un clic via leur panneau de contrôle.
Double authentification (2FA)
Activez l'authentification à deux facteurs pour tous les comptes administrateurs. Même si un mot de passe fuit, le pirate ne pourra pas se connecter sans le code temporaire généré sur votre téléphone. Wordfence et des plugins dédiés comme "Two Factor Authentication" ajoutent cette protection gratuitement.
Surveillance continue
Le monitoring vous alerte en temps réel des changements suspects. Un fichier modifié sans votre intervention, un nouveau plugin installé, une tentative de connexion depuis un pays inhabituel : autant de signaux qui méritent votre attention. Wordfence Central (gratuit) centralise les alertes de tous vos sites sur un tableau de bord unique.
L'importance d'un bon hébergement
La sécurité commence au niveau du serveur. Un hébergement partagé mal configuré expose tous les sites sur le même serveur aux risques des autres. Si un site voisin est piraté, le vôtre peut l'être aussi par rebond.
Les bons hébergeurs isolent les comptes, maintiennent les versions de PHP à jour, déploient des pare-feux au niveau serveur et surveillent les activités anormales. Renseignez-vous sur ces points avant de choisir. Un hébergement à 3 € par mois fera l'impasse sur ces mesures.
Conclusion
La sécurité WordPress n'est pas une course, c'est une habitude. Mettez à jour, sauvegardez, surveillez. Avec ces trois réflexes et un plugin de sécurité bien configuré, vous éliminez plus de 90 % des risques. Le temps passé à sécuriser votre site aujourd'hui, c'est du temps et de l'argent économisés demain. Pour un hébergement WordPress qui prend la sécurité au sérieux, découvrez les offres de Gaprod.