WordPress est le CMS le plus utilisé au monde. Cette popularité en fait également une cible privilégiée des cyberattaques.
Bonne nouvelle : sécuriser un site WordPress n’est pas compliqué si l’on applique les bonnes pratiques.
Dans ce guide complet, découvrez comment protéger efficacement votre site WordPress contre les piratages, malwares et tentatives d’intrusion.
Mettre à jour WordPress, les thèmes et les plugins
La première cause de piratage est simple : les versions obsolètes.
Mettez à jour :
- La version WordPress
- Les thèmes installés
- Tous les plugins
Les mises à jour corrigent souvent des failles de sécurité critiques.
Conseil pro : Vous pouvez activer les mises à jour automatiques à vos risques et périls : personnellement je n'active pas les mises à jour automatiques sur WordPress, vous devez revenir sur votre WordPress pour mettre à jour le thème, et lui n'a pas de mise à jour automatique. J'en profite pour faire une sauvegarde du site avant de faire les mises à jour du thème et des plugins. Si vous avez un plugin qui plante lors de sa mise à jour automatique vous ne le verrez pas !
ou mettez en place un service de maintenance de site wordpress avec un Webmaster.
Choisir un hébergement WordPress sécurisé
Tous les hébergeurs ne se valent pas.
Un bon hébergement WordPress doit inclure :
- Certificat SSL
- Pare-feu applicatif (WAF)
- Sauvegardes automatiques quotidiennes
- Protection anti-DDoS
- Surveillance des malwares
Un hébergement bas de gamme augmente fortement les risques.
Installer un plugin de sécurité performant
Un plugin de sécurité agit comme un système d’alarme numérique.
Les fonctionnalités essentielles :
- Firewall
- Scan de malware
- Blocage d’IP suspectes
- Protection contre les attaques brute force
- Surveillance des connexions
- Désactiver XML-RPC authentication : soit sur le serveur soit dans Wordfence : si vous n’utilisez pas l’application mobile WordPress ou un plugin qui en dépend, XML-RPC ne sert à rien et peut devenir un risque de porte d'entrée d'attaques par force brute, ... .
⚠️ Attention : un seul plugin de sécurité suffit. En installer plusieurs peut ralentir le site. Personnellement j'utilise Wordfence
Utiliser des mots de passe forts et l’authentification à deux facteurs
Les attaques par brute force ciblent la page /wp-admin.
Bonnes pratiques :
- Mot de passe long (minimum 12 caractères)
- Mélange majuscules, minuscules, chiffres et symboles
- Activer la double authentification (2FA)
- Ne jamais utiliser "admin" comme identifiant
Limiter les tentatives de connexion
Limiter les essais de connexion empêche les robots d’attaquer votre site.
Vous pouvez :
- Restreindre à 3-5 tentatives
- Bloquer temporairement les IP suspectes
- Masquer l’URL de connexion WordPress
Effectuer des sauvegardes régulières
Une sauvegarde est votre assurance vie numérique.
Idéalement :
- Sauvegarde quotidienne automatique
- Stockage externe (cloud ou serveur distant)
- Test régulier de restauration
En cas de piratage, vous pourrez restaurer une version saine rapidement.
Sécuriser le fichier wp-config.php et htaccess
Le fichier wp-config.php contient les informations sensibles de votre site. Masquer l'url publique de connexion au BO.
Actions recommandées :
- Le déplacer au niveau supérieur (si l’hébergeur le permet)
- Désactiver l’édition de fichiers depuis le back-office
- Modifier les clés de sécurité WordPress
- Mettre en place dans votre htaccess la sécurité wp-login pour ne pas donner accès à l'url publique de connexion au BO
- Mettre en place dans votre htaccess, avec précaution, les sécurités Headers Security
Activer le protocole HTTPS
Un certificat SSL est obligatoire.
- Protège les données des utilisateurs
- Améliore la confiance
- Est un facteur SEO pour Google
- Obligatoire pour les transactions sécurisées d'un site e-commerce
Un site non sécurisé affiche “Non sécurisé” dans le navigateur — mauvais pour la crédibilité.
Supprimer les extensions inutiles
Chaque plugin représente un risque potentiel.
➡ Supprimez :
- Les plugins inactifs
- Les thèmes non utilisés
- Les extensions abandonnées par leurs développeurs
Moins il y a de code, moins il y a de failles potentielles.
Surveiller régulièrement son site
La sécurité WordPress est un processus continu.
Surveillez :
- Les connexions suspectes
- Les modifications de fichiers
- Les ralentissements inhabituels
- Les alertes Google Search Console
Astuce de Pro : j'utilise un plugin WordPress : WP Activity Log : Vous pouvez voir si vous avez une attaque massive !
Que faire si votre site WordPress est piraté ?
- Mettre le site en maintenance
- Scanner l’ensemble des fichiers
- Restaurer une sauvegarde propre
- Changer tous les mots de passe
- Identifier la faille exploitée
- Renforcer la sécurité
Si vous ne maîtrisez pas ces étapes, faites appel à un professionnel.
Conclusion
Sécuriser son site WordPress efficacement repose sur 4 piliers :
- Mises à jour régulières
- Hébergement fiable
- Plugin de sécurité performant
- Sauvegardes régulière
La sécurité n’est pas une option, c’est un investissement.