Sécuriser son site WordPress : les étapes clés pour protéger votre site

WordPress fait tourner une grande partie des sites web, ce qui en fait une cible de choix pour les pirates. La plupart des attaques ne visent pas votre entreprise en particulier : des robots parcourent le web à la recherche de sites qui utilisent une extension vulnérable ou un mot de passe faible. Un site piraté peut être défiguré, servir à envoyer du spam, rediriger vos visiteurs vers des sites frauduleux ou exposer les données de vos clients. Pour mieux connaître ces menaces, voyez aussi notre article sur les cyberattaques courantes et les logiciels malveillants.

Voici les étapes clés, de la plus importante à la plus technique.

1. Mettre à jour WordPress, le thème et les extensions

C’est la mesure la plus efficace. Le guide officiel de renforcement de WordPress le rappelle d’emblée : il faut toujours utiliser la dernière version, car les anciennes ne reçoivent plus les correctifs de sécurité.

Le risque se concentre sur les extensions. D’après le rapport State of WordPress Security in 2026 de Patchstack, sur 11 334 nouvelles vulnérabilités recensées en 2025, 91 % concernaient des plugins, 9 % des thèmes et seulement 6 le cœur de WordPress. Le même rapport indique que 46 % des vulnérabilités n’étaient pas encore corrigées au moment de leur publication : d’où l’intérêt de surveiller aussi les extensions abandonnées par leurs auteurs.

Depuis WordPress 5.5, vous pouvez activer les mises à jour automatiques extension par extension et thème par thème. La documentation conseille de s’assurer d’abord qu’une sauvegarde permet de revenir en arrière. Sur un site important (boutique, réservation), on préfère tester les mises à jour sur une copie du site avant de les appliquer.

2. Garder peu d’extensions, et de bonnes extensions

Chaque extension est une porte d’entrée potentielle. Quelques règles :

• installez uniquement des extensions provenant du répertoire officiel WordPress.org ou d’éditeurs reconnus ;
• vérifiez la date de la dernière mise à jour et le nombre d’installations actives ;
• supprimez (et pas seulement désactivez) les extensions et thèmes inutilisés : le guide de renforcement de WordPress le recommande explicitement ;
• fuyez les versions « nulled », ces copies piratées d’extensions payantes, qui contiennent souvent du code malveillant.

3. Protéger les comptes administrateurs

Des mots de passe robustes

La recommandation de la CNIL sur les mots de passe donne des repères concrets pour un mot de passe utilisé seul : au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou au moins 14 caractères avec majuscules, minuscules et chiffres, ou encore une phrase de passe d’au moins 7 mots. Utilisez un gestionnaire de mots de passe pour ne pas avoir à les retenir.

La double authentification

Activez la double authentification (un code envoyé sur votre téléphone ou généré par une application en plus du mot de passe) pour tous les comptes administrateurs. Le guide officiel de WordPress la recommande comme mesure supplémentaire. Même si un mot de passe fuite, l’attaquant ne peut pas se connecter.

Des droits limités

Ne donnez le rôle « Administrateur » qu’aux personnes qui en ont besoin. Un collaborateur qui publie des articles n’a besoin que du rôle « Auteur » ou « Éditeur ». Supprimez les comptes des anciens prestataires et salariés.

Limiter les tentatives de connexion

Les robots essaient des milliers de combinaisons sur la page de connexion. Une extension de sécurité ou une règle au niveau de l’hébergement permet de bloquer une adresse après plusieurs échecs.

4. Utiliser une version de PHP supportée

WordPress fonctionne grâce au langage PHP, installé chez votre hébergeur. Chaque version n’est maintenue que quatre ans. D’après la page officielle des versions supportées de PHP, seules les versions 8.2 (correctifs de sécurité jusqu’au 31 décembre 2026), 8.3, 8.4 et 8.5 sont encore maintenues en octobre 2026. PHP 8.0 et 8.1 ne reçoivent plus aucun correctif. Vérifiez votre version dans Outils > Santé du site > Infos > Serveur.

5. Activer le HTTPS

Un certificat SSL chiffre les échanges entre le navigateur du visiteur et votre serveur : mots de passe, formulaires de contact, commandes. Il est aujourd’hui fourni gratuitement par la plupart des hébergeurs. Le guide de renforcement de WordPress recommande aussi d’utiliser SFTP plutôt que FTP pour transférer des fichiers, afin que vos identifiants ne circulent pas en clair.

6. Renforcer la configuration (le travail du développeur)

Plusieurs réglages techniques, recommandés par la documentation officielle, réduisent l’impact d’une éventuelle intrusion :

• désactiver l’éditeur de fichiers intégré au tableau de bord (constante DISALLOW_FILE_EDIT dans le fichier wp-config.php), pour qu’un attaquant connecté ne puisse pas modifier le code ;
• restreindre les droits d’écriture sur les fichiers et dossiers au strict nécessaire ;
• protéger le fichier wp-config.php, qui contient les accès à la base de données ;
• ajouter des en-têtes de sécurité HTTP au niveau du serveur.

Un pare-feu applicatif (sous forme d’extension comme Wordfence, ou de service en amont comme Cloudflare ou Sucuri) peut compléter ces mesures en filtrant les requêtes malveillantes.

7. Faire des sauvegardes… et les tester

Une sauvegarde est votre assurance en cas de piratage, de mauvaise manipulation ou de mise à jour ratée. Elle doit :

• inclure les fichiers et la base de données ;
• être automatique et suffisamment fréquente (quotidienne pour une boutique, hebdomadaire pour un site vitrine peu modifié) ;
• être stockée ailleurs que sur le serveur du site ;
• être testée de temps en temps : une sauvegarde qu’on n’a jamais restaurée est une sauvegarde dont on ignore si elle fonctionne.

8. Surveiller son site

Une extension de sécurité peut scanner vos fichiers à la recherche de code malveillant et vous alerter en cas de modification suspecte. Un service de surveillance de disponibilité vous prévient si le site ne répond plus. Pensez aussi à vous inscrire à la Google Search Console : Google y signale les problèmes de sécurité détectés sur votre site.

Que faire si votre site est piraté ?

1. Ne paniquez pas et ne supprimez rien : les fichiers modifiés aident à comprendre l’attaque.
2. Changez tous les mots de passe : administration WordPress, hébergement, base de données, FTP.
3. Prévenez votre hébergeur et votre prestataire.
4. Restaurez une sauvegarde saine, antérieure à l’intrusion, puis mettez tout à jour.
5. Identifiez la faille (extension vulnérable, compte compromis) pour qu’elle ne soit pas réutilisée.
6. Si des données personnelles ont pu être exposées (comptes clients, formulaires), vous devez notifier la violation à la CNIL dans les meilleurs délais, si possible dans les 72 heures, lorsqu’elle présente un risque pour les personnes concernées.

La sécurité n’est pas une action ponctuelle. La plupart des sites piratés ne l’auraient pas été avec des mises à jour régulières et des sauvegardes fiables. Si vous n’avez pas le temps de vous en occuper, une maintenance régulière confiée à un professionnel règle la question.

Questions fréquentes