10 étapes pour sécuriser votre site WordPress contre les hackers

Un site qui plante soudainement, des commandes qui disparaissent du tableau de bord WooCommerce, une page d’accueil remplacée par une publicité douteuse : c’est souvent à ce moment précis qu’on tape pour la première fois « sécuriser WordPress » dans un moteur de recherche. Si vous gérez un site vitrine, un blog ou une boutique en ligne, la vraie question n’est pas de savoir si WordPress peut être attaqué, mais comment réduire concrètement le risque dès maintenant.

Cet article détaille 10 étapes, à appliquer dans un ordre logique, pour protéger WordPress contre les tentatives de piratage. Vous saurez aussi quand un simple plugin suffit et quand il devient préférable de faire appel à un professionnel.

📌 Réponse rapide : sécuriser WordPress repose sur dix actions complémentaires : mises à jour régulières, mots de passe forts, double authentification, limitation des tentatives de connexion, plugin de sécurité fiable, pare-feu applicatif, certificat SSL, sauvegardes automatiques, hébergement adapté et audit périodique. Aucune mesure isolée ne suffit : c’est la combinaison de ces couches de protection qui réduit réellement le risque de piratage.

Pourquoi un site WordPress devient-il une cible ?

WordPress fait tourner une part très importante des sites web dans le monde, ce qui en fait une cible de choix pour des attaques automatisées plutôt que pour des opérations ciblées. La majorité des piratages exploitent des failles connues et déjà documentées, laissées sans correctif, plutôt qu’une attaque sophistiquée dirigée spécifiquement contre un site.

Concrètement, des robots scannent en permanence des milliers de sites à la recherche de plugins obsolètes, de mots de passe faibles ou de thèmes jamais mis à jour. Un petit site vitrine peu visité n’est donc jamais « trop petit » pour intéresser un attaquant automatisé.

Exemple typique : une boutique WooCommerce peut être compromise non pas parce qu’elle est connue ou visible, mais parce qu’une extension tierce installée pour gérer les avis clients n’a pas été mise à jour depuis plusieurs mois et contient une faille publiquement référencée.

Quelle priorité selon votre type de site ?

Avant d’entrer dans le détail des 10 étapes, voici comment orienter votre effort selon la nature de votre site.

Si votre site a déjà été compromis, les mesures préventives ci-dessous restent utiles, mais elles doivent être précédées d’un nettoyage complet, détaillé plus loin dans cet article.

Les 10 étapes pour sécuriser WordPress

Ces dix actions forment une base de protection cohérente. L’ordre proposé suit une logique de priorité : les premières étapes ferment les failles les plus exploitées, les suivantes ajoutent des couches de surveillance et de résilience.

1. Mettre à jour le cœur de WordPress, les thèmes et les plugins dès qu’une nouvelle version est publiée.
2. Supprimer les plugins et thèmes inactifs ou qui ne sont plus maintenus par leur auteur.
3. Renforcer les mots de passe de tous les comptes administrateurs à l’aide d’un gestionnaire dédié.
4. Activer la double authentification (2FA) sur l’accès à l’interface d’administration.
5. Limiter les tentatives de connexion pour bloquer les attaques par force brute.
6. Installer un plugin de sécurité reconnu pour surveiller les fichiers et détecter les connexions suspectes.
7. Mettre en place un pare-feu applicatif (WAF) qui filtre le trafic malveillant avant qu’il n’atteigne le site.
8. Activer un certificat SSL pour chiffrer les échanges entre le site et ses visiteurs.
9. Configurer des sauvegardes automatiques, stockées en dehors de l’hébergement principal.
10. Planifier un audit de sécurité périodique pour repérer une faille avant qu’elle ne soit exploitée.

Pour une méthode détaillée sur l’application technique de chacun de ces réglages, notre guide dédié à la sécurisation d’un site WordPress approfondit chaque configuration.

⚠️ Attention : un plugin de sécurité installé mais laissé sur ses réglages par défaut donne un faux sentiment de sécurité. Il doit être configuré et surveillé activement, pas seulement activé.

Comment renforcer chaque étape clé

Garder WordPress à jour, sans exception

Le cœur de WordPress, les thèmes et les extensions publient régulièrement des correctifs de sécurité. Reporter une mise à jour par crainte d’un conflit technique est l’une des causes les plus fréquentes de piratage : la faille corrigée devient publique dès la publication du correctif, ce qui la rend immédiatement exploitable sur tous les sites qui ne l’ont pas encore appliqué.

Gérer finement les rôles et permissions utilisateurs

Chaque collaborateur n’a pas besoin d’un accès administrateur complet. WordPress propose plusieurs rôles (administrateur, éditeur, auteur, contributeur) qui limitent les actions possibles selon les besoins réels. Un rédacteur n’a par exemple aucune raison d’avoir accès à l’installation de plugins ou à la modification du thème.

Changer le préfixe de la base de données

Par défaut, les tables WordPress utilisent le préfixe wp_, connu de tous les attaquants automatisés. Le remplacer par un préfixe personnalisé lors de l’installation complique les tentatives d’injection SQL automatisées ciblant les noms de tables standards.

Désactiver XML-RPC si vous ne l’utilisez pas

XML-RPC permet des connexions à distance à WordPress, notamment via certaines applications mobiles. S’il n’est pas utilisé, il reste malgré tout une porte d’entrée fréquemment exploitée pour des attaques par force brute massives. Le désactiver réduit la surface d’attaque sans impact sur le fonctionnement normal du site.

Déconnecter automatiquement les sessions inactives

Une session administrateur restée ouverte sur un ordinateur partagé ou public constitue un risque réel. Limiter la durée des sessions inactives réduit cette exposition, en particulier pour les sites gérés par plusieurs intervenants.

Quel plugin de sécurité WordPress choisir ?

Le meilleur plugin de sécurité est celui qui correspond à votre niveau technique et à la criticité de votre site, pas nécessairement le plus téléchargé. Les solutions les plus utilisées dans l’écosystème WordPress couvrent généralement le pare-feu, le scan de malwares et la limitation des connexions.

Avant de choisir, vérifiez systématiquement sur la page officielle de l’extension quelles fonctionnalités sont réellement incluses dans la version gratuite, car ces limites évoluent régulièrement d’une version à l’autre.

• Scan de malwares automatique avec alerte en cas de fichier modifié.
• Pare-feu applicatif intégré, ou compatible avec un WAF externe.
• Journal des connexions pour repérer une activité suspecte.
• Compatibilité confirmée avec votre thème et avec WooCommerce si vous vendez en ligne.

Notre sélection des meilleurs plugins WordPress pour un site web détaille d’autres options complémentaires, au-delà de la seule sécurité.

Comment sécuriser l’accès à wp-admin ?

Sécuriser wp-admin consiste à restreindre et surveiller strictement qui peut atteindre l’interface d’administration. C’est l’une des cibles les plus directes lors d’une tentative d’intrusion.

Trois réglages réduisent fortement le risque : changer l’URL de connexion par défaut, restreindre les adresses IP autorisées si votre équipe travaille depuis des lieux fixes, et désactiver immédiatement les comptes administrateurs inutilisés.

💡 Conseil : évitez le nom d’utilisateur « admin » et créez un identifiant unique pour chaque personne ayant accès au back-office, afin de pouvoir tracer précisément toute action suspecte.

Faut-il un pare-feu WordPress et un certificat SSL ?

Oui, ces deux protections sont complémentaires et répondent à des menaces différentes. Le pare-feu applicatif (WAF) filtre le trafic malveillant avant qu’il n’atteigne votre site, tandis que le certificat SSL chiffre les données échangées entre le visiteur et le serveur.

Un site sans certificat SSL affiche un avertissement « non sécurisé » dans la plupart des navigateurs, ce qui nuit à la confiance des visiteurs, en particulier sur une boutique en ligne où circulent des informations de paiement.

Pour une boutique WooCommerce, la sécurité des paiements dépend aussi du choix d’une passerelle conforme aux standards du secteur, en complément du SSL. Si vous construisez ou faites évoluer votre boutique, notre guide pour créer une boutique WooCommerce aborde ces aspects dès la phase de configuration.

Comment choisir un hébergement qui protège votre site ?

Un hébergement adapté constitue la première ligne de défense, avant même l’installation d’un plugin. Certains hébergeurs proposent une surveillance serveur, des sauvegardes intégrées et un pare-feu réseau en amont de WordPress lui-même.

Lors du choix, vérifiez si l’hébergeur propose des sauvegardes automatiques régulières, un support réactif en cas d’incident, et une réelle isolation entre les comptes sur un serveur mutualisé.

Notre comparatif du meilleur hébergement WordPress détaille les critères techniques à vérifier avant de souscrire une offre, pour partir sur une base solide dès l’installation de votre site, comme expliqué dans notre guide pour installer WordPress sur un hébergement.

Comment nettoyer un site WordPress déjà piraté ?

Nettoyer un site piraté nécessite d’abord d’identifier la faille exploitée, puis de restaurer une version saine, plutôt que de simplement supprimer les symptômes visibles. Agir dans le désordre risque de laisser une porte dérobée active, invisible mais toujours exploitable.

1. Isoler le site en mode maintenance pour limiter l’exposition pendant l’intervention.
2. Identifier les fichiers modifiés grâce à un scan de malware ou à une comparaison avec une sauvegarde saine.
3. Restaurer une sauvegarde antérieure à l’infection, si elle est disponible et fiable.
4. Changer tous les mots de passe : administration, base de données, hébergement, FTP.
5. Corriger la faille d’origine (plugin obsolète, thème vulnérable, mot de passe faible).
6. Demander une révision à Google si le site a été signalé comme dangereux dans les résultats de recherche.

Si vous n’avez pas de sauvegarde récente ou fiable, un audit de sécurité approfondi devient nécessaire pour identifier précisément l’origine de la compromission avant toute réouverture du site au public.

📌 À retenir : un nettoyage sans correction de la faille d’origine aboutit presque toujours à une réinfection rapide, parfois en quelques jours seulement.

Quelles erreurs fragilisent le plus un site WordPress ?

Certaines erreurs reviennent constamment et expliquent la majorité des compromissions observées sur des sites mal entretenus.

• Ignorer les mises à jour pendant plusieurs mois par crainte d’un conflit technique.
• Télécharger des thèmes ou plugins « premium » gratuitement depuis des sources non officielles.
• Partager un mot de passe unique entre plusieurs collaborateurs.
• Ne jamais tester la restauration d’une sauvegarde avant d’en avoir réellement besoin.
• Négliger la maintenance une fois le site en ligne, en pensant que la sécurité est acquise une fois pour toutes.

Une maintenance régulière, incluant mises à jour, surveillance et audit, permet d’éviter la grande majorité de ces situations avant qu’elles ne deviennent critiques.

Plan d’action : les 90 premiers jours

Pour structurer la mise en œuvre de ces mesures sans tout faire en une seule journée, voici une progression réaliste.

Questions fréquentes sur la sécurité WordPress

Un certificat SSL suffit-il à sécuriser un site WordPress ?

Non, le certificat SSL chiffre uniquement les échanges de données : il ne protège ni contre les failles de plugins, ni contre le piratage de mots de passe. Il doit être combiné aux autres mesures présentées plus haut, notamment le pare-feu et les mises à jour régulières.

Combien de temps faut-il pour sécuriser un site WordPress existant ?

Cela dépend du nombre de plugins installés, de l’ancienneté du site et de la présence éventuelle d’une faille déjà exploitée. Un site récent et à jour peut être renforcé en quelques heures, tandis qu’un site ancien, mal maintenu, nécessite souvent un audit complet avant toute action.

Faut-il un audit de sécurité même si le site fonctionne normalement ?

Oui, un site qui fonctionne normalement peut tout de même héberger une faille non encore exploitée. Un audit périodique permet de détecter des vulnérabilités silencieuses avant qu’un attaquant ne les découvre le premier.

WooCommerce demande-t-il une sécurité renforcée par rapport à un site vitrine ?

Oui, car une boutique en ligne traite des données clients et parfois des informations de paiement, ce qui en fait une cible plus attractive. La sécurité WooCommerce repose sur les mêmes bases que WordPress, avec une attention supplémentaire portée au SSL, aux extensions de paiement et à la fréquence des sauvegardes.

Comment activer la double authentification sur WordPress ?

La 2FA s’active généralement via un plugin de sécurité dédié ou une extension spécifique qui génère un code temporaire à chaque connexion, en complément du mot de passe. Une fois activée, elle doit être appliquée à tous les comptes disposant de droits d’administration, pas seulement au compte principal.

Passer à l’action pour protéger durablement votre site

Sécuriser WordPress n’est pas une action ponctuelle mais un processus continu : mises à jour, surveillance, sauvegardes et audits doivent s’enchaîner tout au long de la vie du site. Les 10 étapes présentées ici forment une base solide, mais leur efficacité dépend de leur application constante, pas d’une configuration réalisée une seule fois puis oubliée.

Si votre site est ancien, déjà compromis, ou si vous manquez de temps pour assurer ce suivi en interne, l’accompagnement d’une agence spécialisée permet de structurer un plan de maintenance adapté à votre activité. La prochaine étape concrète consiste à faire un état des lieux : mises à jour en attente, date de la dernière sauvegarde valide, et présence ou non d’un plugin de sécurité réellement actif et configuré.