Sécuriser un site WordPress ne signifie pas chercher une configuration impossible à pirater. L’objectif réaliste est de réduire la surface d’attaque, limiter les conséquences d’un compte compromis et pouvoir restaurer rapidement le site en cas d’incident. Les mesures les plus utiles sont rarement spectaculaires : mises à jour, sauvegardes réellement restaurables, authentification solide, droits limités et surveillance régulière.
Les dix actions prioritaires sont : maintenir WordPress, les thèmes et les extensions à jour ; supprimer ce qui n’est plus utilisé ; sauvegarder le site hors de son serveur ; utiliser des mots de passe uniques ; activer l’authentification multifacteur ; limiter les comptes administrateurs ; sécuriser l’environnement d’hébergement ; protéger les points d’entrée exposés ; surveiller les changements anormaux ; et préparer une procédure de récupération. Aucun plugin de sécurité ne remplace cet ensemble de bonnes pratiques.
Actions 1 à 3 : mises à jour, nettoyage et sauvegardes
1. Maintenir WordPress, les plugins et les thèmes à jour
WordPress, les thèmes et les extensions évoluent régulièrement. Certaines mises à jour corrigent des bugs, améliorent la compatibilité ou corrigent des vulnérabilités connues.
Lorsqu’une faille publique dispose déjà d’un correctif, conserver longtemps une version vulnérable augmente inutilement l’exposition du site.
Les mises à jour automatiques peuvent être utiles pour certains composants, mais leur stratégie doit tenir compte de la criticité du site et du niveau de contrôle souhaité.
2. Supprimer les plugins, thèmes et comptes inutilisés
Un composant inutilisé mais toujours installé reste un élément à maintenir. Si un plugin n’est plus nécessaire, le désactiver ne règle pas tout : il est généralement préférable de le supprimer après avoir vérifié qu’aucune fonction du site n’en dépend.
Le même principe s’applique aux thèmes anciens, comptes administrateurs oubliés et outils connectés qui ne servent plus.
La sécurité passe aussi par la réduction. Moins de composants inutiles signifie moins de logiciels à surveiller, moins de dépendances et une administration plus lisible.
3. Conserver des sauvegardes hors du serveur principal
Une sauvegarde ne protège pas directement contre l’attaque. Elle permet surtout de revenir plus rapidement à un état sain lorsqu’une erreur, une panne ou une compromission oblige à restaurer le site.
WordPress distingue notamment la base de données et les fichiers. Pour une restauration complète, il faut savoir où se trouvent les deux et comment les réinjecter.
Une sauvegarde jamais restaurée n’est pas totalement vérifiée. Contrôlez périodiquement qu’elle est lisible, suffisamment récente et utilisable sans dépendre exclusivement du serveur qui héberge déjà le site.
Pour organiser ces opérations dans la durée : maintenance WordPress.
Actions 4 à 6 : renforcer les comptes et limiter les privilèges
4. Utiliser un mot de passe unique pour chaque compte
Le danger principal d’un mot de passe réutilisé est qu’une fuite sur un autre service puisse permettre de tester les mêmes identifiants sur votre administration WordPress.
Privilégiez des mots de passe longs, uniques et générés avec un gestionnaire de mots de passe plutôt que des variations faciles à mémoriser autour du nom de l’entreprise.
Le même mot de passe pour WordPress, l’hébergement, l’adresse email et les autres outils professionnels.
Un secret différent par service, stocké dans un gestionnaire adapté et renouvelé lorsqu’un risque est identifié.
5. Activer l’authentification multifacteur pour les comptes sensibles
L’authentification multifacteur ajoute une seconde preuve lors de la connexion. Même si le mot de passe est compromis, l’attaquant doit encore franchir cette étape supplémentaire.
Elle est particulièrement importante pour les administrateurs WordPress, l’hébergement, le registrar du nom de domaine et les comptes capables de modifier les DNS ou les moyens de paiement.
6. Donner uniquement les droits réellement nécessaires
Tous les utilisateurs n’ont pas besoin d’être administrateurs. WordPress possède plusieurs rôles qui permettent de séparer l’administration technique de la publication de contenus.
Un rédacteur qui doit uniquement préparer des articles n’a généralement aucune raison de pouvoir installer des extensions ou modifier les utilisateurs.
Appliquez le principe du moindre privilège. Donnez le niveau d’accès suffisant pour accomplir la tâche prévue, puis retirez les comptes temporaires une fois l’intervention terminée.
Action 7 : sécuriser l’environnement d’hébergement
WordPress ne fonctionne pas isolément. Sa sécurité dépend aussi du serveur, de PHP, de la base de données, du certificat TLS, des permissions de fichiers et de l’accès à l’hébergement.
HTTPS est nécessaire, mais ne protège pas contre tout
HTTPS chiffre les échanges entre le navigateur et le serveur et protège l’intégrité de la connexion. Il ne corrige pas un plugin vulnérable, un compte administrateur compromis ou un serveur mal configuré.
Le cadenas du navigateur ne signifie pas que le site est « sécurisé » au sens général. Il confirme principalement que la connexion utilise TLS avec un certificat valide.
Action 8 : protéger les points d’entrée exposés sans bloquer les vrais utilisateurs
Les pages de connexion, formulaires, interfaces XML-RPC lorsqu’elles sont utilisées, API, commentaires et autres fonctions accessibles publiquement peuvent recevoir des requêtes automatisées.
La bonne réponse n’est pas nécessairement d’installer plusieurs plugins de sécurité en parallèle. Il faut appliquer des protections adaptées à l’usage réel du site.
Combinez mots de passe uniques, MFA et éventuellement limitation ou filtrage des tentatives abusives.
Utilisez des mécanismes anti-spam proportionnés afin de limiter les robots sans rendre le formulaire pénible pour les visiteurs légitimes.
Désactivez ou retirez les fonctions réellement inutiles lorsqu’elles créent une exposition supplémentaire et que leur suppression est maîtrisée.
Un WAF peut ajouter une couche de filtrage utile, mais il ne remplace ni les mises à jour ni la correction d’une vulnérabilité.
Faut-il changer l’URL de connexion WordPress ?
Cela peut réduire une partie du bruit automatisé, mais ce n’est pas une mesure d’authentification forte. Un mot de passe unique, le MFA et une bonne gestion des droits ont davantage d’importance.
Ne confondez pas dissimulation et sécurité. Une URL difficile à deviner peut réduire certaines requêtes opportunistes, mais elle ne doit pas être votre principale protection.
Action 9 : surveiller les changements et signes de compromission
Une attaque ne provoque pas toujours une panne visible. Un site compromis peut continuer à fonctionner tout en envoyant du spam, en ajoutant des redirections, en créant des utilisateurs ou en injectant du contenu.
La surveillance sert donc à repérer des changements que personne dans l’équipe n’a volontairement réalisés.
| Signal | Pourquoi l’examiner |
|---|---|
| Nouvel administrateur inconnu | Peut indiquer un accès non autorisé au tableau de bord. |
| Fichiers modifiés sans intervention | Une modification inattendue mérite une vérification. |
| Redirections étranges | Peuvent signaler une injection ou un script tiers compromis. |
| Pages inconnues indexées | Peuvent révéler la création automatique de spam SEO. |
| Hausse inhabituelle des erreurs | Peut signaler une panne, une modification technique ou une activité anormale. |
| Alertes de sécurité externes | Google, l’hébergeur ou un outil de surveillance peut détecter un comportement problématique. |
WooCommerce mérite une surveillance renforcée
Une boutique manipule commandes, comptes clients et intégrations de paiement. Vérifiez particulièrement les comptes administrateurs, les modifications de moyens de paiement, les extensions connectées et les changements inattendus dans le checkout.
Pour structurer la partie technique d’une boutique : site e-commerce WordPress.
Action 10 : préparer le plan de récupération avant l’incident
Lorsqu’un site est compromis, improviser augmente le risque de restaurer une sauvegarde déjà infectée, d’effacer des preuves utiles ou de remettre en ligne le même point d’entrée vulnérable.
Une procédure de récupération simple doit être préparée avant qu’elle ne soit nécessaire.
Restaurer n’est pas suffisant si la cause reste présente
Remettre une sauvegarde propre sur un site dont le plugin vulnérable est toujours actif peut conduire à une nouvelle compromission. La restauration doit donc être accompagnée d’une analyse du point d’entrée probable et de la correction correspondante.
Si des données personnelles ont été exposées, l’incident peut aussi avoir des conséquences réglementaires. La situation doit alors être évaluée au regard des obligations applicables à l’organisme et aux données concernées.
Checklist de sécurité WordPress à reprendre régulièrement
La sécurité WordPress repose surtout sur une discipline continue. Maintenez les composants, réduisez les éléments inutiles, séparez correctement les accès, sauvegardez hors du serveur principal et préparez la restauration avant d’en avoir besoin. Les plugins de sécurité, pare-feu et outils de surveillance peuvent compléter ce socle, mais ils ne compensent pas une installation abandonnée, des comptes partagés ou l’absence de sauvegarde fiable.
Vous ne connaissez pas l’état réel de votre installation ?
La page Audit de site WordPress présente les points à examiner pour identifier les problèmes techniques, composants obsolètes, performances et autres risques avant d’engager des corrections.
Voir l’audit de site WordPress →FAQ sur la sécurité WordPress
WordPress est-il un CMS peu sécurisé ?
WordPress peut être exploité de manière sûre lorsqu’il est correctement maintenu. Le risque dépend aussi des extensions, du thème, de l’hébergement, des comptes utilisateurs et des pratiques d’administration. La popularité du CMS en fait également une cible fréquente pour les attaques automatisées.
Un plugin de sécurité suffit-il à protéger WordPress ?
Non. Il peut ajouter des fonctions utiles comme la surveillance, le filtrage ou certaines alertes, mais ne remplace pas les mises à jour, les sauvegardes, le MFA et une bonne gestion des accès.
Faut-il mettre à jour les plugins immédiatement ?
Les correctifs de sécurité importants doivent être appliqués rapidement. Sur un site critique, il peut être utile de disposer d’une sauvegarde et d’un environnement de test afin de vérifier la compatibilité avant les changements susceptibles d’affecter le fonctionnement.
Combien de sauvegardes faut-il conserver ?
Il n’existe pas de nombre universel. La fréquence et la rétention doivent correspondre au rythme de modification du site et à la quantité de données qu’il serait acceptable de perdre. Une boutique active nécessite généralement une stratégie différente d’un petit site vitrine rarement modifié.
Changer l’URL /wp-admin améliore-t-il la sécurité ?
Cela peut réduire une partie des tentatives automatisées, mais ne constitue pas une protection forte. Les mesures prioritaires restent l’authentification multifacteur, les mots de passe uniques, les mises à jour et la limitation des privilèges.
HTTPS protège-t-il contre le piratage ?
HTTPS protège les échanges entre le navigateur et le serveur. Il ne corrige pas une extension vulnérable, un mot de passe compromis ou un problème de configuration du serveur.
Que faire en premier si WordPress semble piraté ?
Évitez les modifications improvisées. Sécurisez les accès critiques, conservez les informations utiles au diagnostic, identifiez l’étendue du problème et restaurez uniquement lorsque vous disposez d’une sauvegarde fiable et que la cause probable de la compromission a été traitée.
Sources et références
- WordPress — Hardening WordPress — recommandations officielles sur les accès, fichiers, mots de passe et environnement WordPress.
- WordPress — Sauvegardes — principes de sauvegarde des fichiers et de la base de données.
- WordPress — Mises à jour automatiques des plugins et thèmes — fonctionnement des mises à jour automatiques depuis l’administration.
- OWASP — Authentication Cheat Sheet — recommandations générales sur l’authentification, les mots de passe et l’authentification multifacteur.
- OWASP — Logging Cheat Sheet — bonnes pratiques de journalisation et de surveillance des événements de sécurité.
