La sécurité WordPress n’est pas une affaire d’extension miracle : c’est une dizaine de réglages, trois habitudes et une surveillance. Voici la liste complète, dans l’ordre d’importance, avec ce que chaque mesure bloque réellement et ce qu’elle coûte en temps.
Pourquoi WordPress est attaqué, et par qui
Sécurité WordPress : des robots, pas des hackers
Il faut d’abord corriger une idée reçue : personne ne « cible » votre site de PME. Les attaques sont menées par des programmes automatisés qui parcourent des millions d’adresses, détectent la version de WordPress et des extensions installées, et exploitent les failles connues en quelques secondes. Un site n’est pas attaqué parce qu’il est intéressant, mais parce qu’il est vulnérable et accessible. Cela change la façon d’aborder la protection : l’objectif n’est pas de résister à un expert déterminé, mais de ne pas figurer dans la liste des cibles faciles. Un site à jour, avec des mots de passe solides et deux ou trois réglages de base, sort de cette liste et n’est tout simplement plus visité par les robots d’attaque. À l’inverse, une extension abandonnée depuis deux ans sur un site qui ne reçoit que vingt visiteurs par jour sera trouvée et exploitée, parce que la faille est publique et que le scan ne coûte rien. Une fois entré, le robot installe des pages de spam, des redirections ou un relais d’envoi d’emails, et vend l’accès à d’autres. Le propriétaire le découvre quand Google affiche un avertissement, quand l’hébergeur coupe le compte ou quand un client appelle. Le coût d’un nettoyage se compte en jours ; le coût de la prévention, en minutes par semaine. C’est pour cela que la sécurité WordPress se joue sur la régularité bien plus que sur la sophistication des outils : un site moyen tenu à jour est mieux protégé qu’un site truffé d’extensions de protection laissé à l’abandon.
Les quatre portes d’entrée qui expliquent presque tout
Les statistiques des sociétés qui nettoient des sites infectés se recoupent d’une année sur l’autre :
| Porte d’entrée | Poids | Ce qui la ferme |
|---|---|---|
| Extension ou thème vulnérable, non mis à jour | plus de la moitié des infections | Mises à jour hebdomadaires, suppression de ce qui ne sert plus |
| Identifiant faible, réutilisé ou volé dans une fuite | environ un cas sur cinq | Mots de passe uniques, double authentification, tentatives limitées |
| Hébergement partagé mal cloisonné, sites abandonnés sur le même compte | un cas sur dix | Un compte par site, suppression des sites morts |
| Thèmes et extensions payants téléchargés sur des sites de contrefaçon | minoritaire mais immédiat | Sources officielles uniquement, licence payée |
Les failles du cœur de WordPress lui-même sont rares et corrigées en quelques heures par des mises à jour automatiques ; elles ne représentent qu’une part marginale des incidents. Tout le reste, injection par un formulaire mal codé, accès FTP d’un ancien prestataire, serveur mal configuré, existe mais pèse peu. La conséquence est simple : si vous ne devez faire que quatre choses, ce sont les mises à jour, les mots de passe, l’isolation des sites et l’origine des extensions. Le reste de cet article détaille les réglages, mais ces quatre points font l’essentiel du travail. Gardez cette hiérarchie en tête chaque fois qu’on vous propose un outil : s’il ne ferme aucune de ces quatre portes, il ne traite pas l’essentiel de la sécurité WordPress, quelle que soit sa note sur les comparatifs.
Sécurité WordPress : les réglages de base à faire une fois
Comptes, mots de passe et connexion
Commencez par les comptes :
- Supprimez ou renommez « admin » : c’est le premier identifiant testé par tous les robots.
- Un seul administrateur réel, des rôles éditeur ou auteur pour les autres : un rédacteur n’a pas besoin d’installer des extensions.
- Mots de passe longs, générés, uniques, stockés dans un gestionnaire, jamais partagés par email.
- Double authentification sur chaque compte administrateur : un mot de passe volé devient inutilisable.
- Tentatives de connexion limitées, par exemple cinq essais puis quinze minutes de blocage : les attaques par force brute s’arrêtent là.
- Inscription fermée si vous ne gérez pas une communauté, et rôle par défaut vérifié.
Supprimez enfin les comptes des anciens prestataires et stagiaires : chaque compte oublié est une clé qui traîne. Prenez l’habitude, une fois par trimestre, de relire la liste des utilisateurs et de vous demander pour chacun s’il a encore besoin d’un accès et de ce niveau d’accès. Cette revue prend cinq minutes et ferme la deuxième porte d’entrée la plus fréquente. Notez aussi que la sécurité WordPress commence par le poste de travail : un ordinateur infecté par un enregistreur de frappe livre tous les mots de passe, aussi longs soient-ils. Gardez le navigateur et le système à jour sur chaque poste qui se connecte à l’administration, et évitez les connexions depuis un wifi public sans VPN.
Les réglages de sécurité WordPress qui ferment les portes techniques
Quelques constantes et options suffisent à supprimer des vecteurs entiers d’attaque :
- Éditeur de fichiers désactivé dans l’administration : un compte compromis ne peut plus injecter de code dans le thème depuis le navigateur.
- PHP interdit dans le dossier des images et des fichiers envoyés, là où les robots déposent leurs scripts.
- XML-RPC coupé si vous n’utilisez ni l’application mobile ni un service qui en dépend : cette interface sert surtout à amplifier la force brute.
- Version masquée et liste des utilisateurs fermée dans l’API publique, qui livre sinon les identifiants aux attaquants.
- Permissions et propriétaire des fichiers vérifiés, fichier de configuration hors de portée du public quand l’hébergement le permet.
- En-têtes HTTP de protection contre l’affichage dans un cadre étranger et les injections de scripts ; HTTPS forcé partout, administration comprise.
- Erreurs de connexion génériques, pour ne pas confirmer qu’un identifiant existe.
Chacun de ces réglages est gratuit et se fait une seule fois ; ensemble, ils retirent au robot la plupart de ses outils, même s’il trouve une faille ailleurs. La plupart se posent via le fichier de configuration ou un mu-plugin de quelques lignes ; un bon outil de maintenance les applique et les vérifie à chaque passage, pour qu’une mise à jour de thème ou une migration ne les fasse pas sauter sans que personne ne s’en aperçoive.
Sécurité WordPress au quotidien : les habitudes qui protègent vraiment
Mettre à jour sans casser le site
La mise à jour est la mesure la plus efficace et la plus négligée, en général par peur de casser quelque chose. La méthode qui lève cette peur tient en trois temps : une sauvegarde juste avant, la mise à jour, une vérification juste après des pages clés, formulaire de contact compris. Activez les mises à jour automatiques pour les versions mineures de WordPress, qui contiennent les correctifs de sécurité et ne changent rien au fonctionnement. Pour les extensions, mettez à jour chaque semaine, à heure fixe, en commençant par celles qui annoncent un correctif de sécurité. Supprimez, ne désactivez pas, tout ce qui ne sert plus : une extension désactivée reste exploitable. Remplacez les extensions dont la dernière mise à jour remonte à plus d’un an, même si elles fonctionnent encore ; un développeur absent ne corrigera pas la prochaine faille. Suivez les alertes de vulnérabilité publiées pour vos extensions, ou laissez un outil le faire pour vous. Si une mise à jour casse le site, la sauvegarde faite trois minutes plus tôt permet de revenir en arrière, puis de chercher la cause au calme. Un site de PME typique, avec quinze extensions, demande vingt minutes par semaine pour rester à jour ; c’est le meilleur investissement de tout cet article, et le socle de toute sécurité WordPress durable.
Sauvegardes et surveillance : une sécurité WordPress qui prévient
La sauvegarde n’empêche pas l’attaque, elle en limite le coût. Elle doit être quotidienne, automatique, et stockée hors du serveur, sur un espace distant ou chez l’hébergeur dans un compartiment séparé ; une sauvegarde rangée à côté du site disparaît avec lui. Conservez au moins trente jours d’historique, parce qu’une infection peut rester invisible pendant des semaines et qu’il faut pouvoir remonter avant son début. Testez une restauration une fois par an sur une copie : une sauvegarde jamais restaurée est une hypothèse, pas une garantie. La surveillance complète le dispositif : un contrôle qui compare chaque fichier du cœur, des extensions et des thèmes à sa version officielle, qui signale tout fichier PHP apparu dans les images, tout nouvel administrateur, toute extension activée sans vous, tout changement d’adresse du site. Ces contrôles tournent chaque nuit et vous alertent par email seulement quand quelque chose a bougé. Ajoutez un contrôle de disponibilité qui vous prévient si le site ne répond plus, et un œil régulier sur la Search Console, où Google signale lui-même les problèmes de sécurité détectés. Avec cet ensemble, un incident se détecte en quelques heures au lieu de quelques semaines, et se règle par une restauration plutôt que par un nettoyage.
Ce qu’il faut savoir avant de choisir un outil ou un prestataire
Extensions de sécurité : utiles, mais pas une réponse complète
Les extensions de sécurité connues rendent service : pare-feu applicatif, limitation des connexions, scan des fichiers, journal des activités. Elles ne remplacent ni les mises à jour ni la sauvegarde, et elles ont deux limites qu’il faut connaître. La première est qu’elles tournent dans WordPress lui-même : si l’attaquant est déjà entré au niveau du serveur, il peut les désactiver ou les contourner. La deuxième est leur poids : certaines ralentissent le site, consomment de la base de données et multiplient les alertes sans importance, jusqu’à ce que le propriétaire cesse de les lire. Choisissez-en une seule, bien configurée, plutôt que trois qui se marchent dessus. Préférez un scan qui compare aux versions officielles plutôt qu’une liste de signatures, et un journal qui indique qui a fait quoi. Méfiez-vous des promesses de « protection totale » et des tableaux de bord qui affichent une note de sécurité sans dire ce qu’elle mesure. Un pare-feu au niveau de l’hébergeur ou d’un réseau de diffusion est souvent plus efficace qu’un pare-feu dans WordPress, parce qu’il bloque les requêtes avant qu’elles n’atteignent le site. Enfin, un outil n’a de valeur que si quelqu’un lit ses alertes et agit : c’est la vraie question à se poser avant d’en installer un. La sécurité WordPress est une routine tenue par une personne, pas une case cochée dans une extension.
Faire soi-même ou déléguer : le calcul honnête
Tout ce qui précède est faisable par un dirigeant de PME ou son assistant, à condition d’y consacrer environ une heure par semaine et de ne pas lâcher. Pour fixer les idées, voici ce que représente une semaine type : dix minutes de mises à jour avec sauvegarde, cinq minutes de lecture des alertes, un coup d’œil mensuel aux comptes et aux sauvegardes. C’est là que la plupart des sites décrochent : les trois premiers mois se passent bien, puis une période chargée arrive et les mises à jour attendent, d’abord deux semaines, puis trois mois, et le site rejoint la liste des cibles faciles. La délégation à un prestataire se justifie dès que cette heure hebdomadaire n’est pas tenable, ou dès que le site génère des demandes commerciales dont la perte coûterait plus que l’abonnement. Un contrat de maintenance sérieux comprend les mises à jour hebdomadaires avec sauvegarde et vérification, les sauvegardes quotidiennes hors site, la surveillance des fichiers et des comptes, les correctifs de sécurité appliqués dans les 48 heures, et un nettoyage inclus en cas d’incident. Demandez au prestataire ce qu’il fait concrètement chaque semaine, où sont stockées les sauvegardes, en combien de temps il intervient en cas de piratage, et si le site reste votre propriété. Chez DGTL, la maintenance WordPress démarre à 49 € HT par mois et couvre exactement cette liste, avec un rapport mensuel qui montre ce qui a été fait. Que vous choisissiez de déléguer ou non, l’essentiel est que quelqu’un, nommément, soit responsable de ces tâches et les tienne dans la durée.
Besoin d’un état des lieux ? Voir l’offre de maintenance WordPress, ou lire notre guide si votre site est déjà WordPress piraté : que faire.