Action 1 — Mettre à jour WordPress, les thèmes et les plugins sans délai

C’est la mesure de sécurité la plus efficace — et la plus souvent procrastinée. Chaque mise à jour de WordPress, de thème ou de plugin contient fréquemment des correctifs de sécurité qui comblent des failles de sécurité connues. Un site non mis à jour est un site dont les vulnérabilités sont publiquement documentées dans des bases de données comme WPScan— accessibles à n’importe quel attaquant.

La procédure correcte n’est pas « tout mettre à jour d’un clic en production ». C’est :

• Réaliser une sauvegarde complète avant chaque mise à jour majeure
• Tester les mises à jour sur un environnement de staging si votre site a du trafic ou génère du chiffre d’affaires
• Appliquer les mises à jour de sécurité du core WordPress dès leur publication — elles sont signalées comme critiques dans le tableau de bord
• Vérifier le fonctionnement du site après chaque mise à jour

Pour les mises à jour automatiques du core WordPress (mineures et de sécurité), activez l’option dans Tableau de bord > Mises à jour. Pour les plugins, évaluez la pertinence des mises à jour automatiques selon leur criticité — un plugin de cache qui se met à jour automatiquement peut parfois nécessiter une reconfiguration.

Action 2 — Changer les identifiants par défaut dès l’installation

Le nom d’utilisateur « admin » est présent sur des millions de sites WordPress — et c’est la première combinaison testée par les bots lors des attaques par force brute. Si votre compte administrateur s’appelle « admin », vous simplifiez considérablement le travail des attaquants qui n’ont plus qu’à deviner le mot de passe.

La procédure :

Si votre compte administrateur existe déjà avec le nom « admin », créez un nouveau compte avec un nom d’utilisateur unique et non devinable, attribuez-lui le rôle Administrateur, connectez-vous avec ce nouveau compte, et supprimez l’ancien compte « admin » en réattribuant son contenu au nouveau compte.

Pour le mot de passe, utilisez le générateur intégré à WordPress — il produit des mots de passe aléatoires de 24 caractères minimum. Stockez-le dans un gestionnaire de mots de passe (Bitwarden est gratuit et open source, 1Passwordest la référence premium).

Changez également le préfixe des tables de base de données. Par défaut, WordPress utilise le préfixe wp_ — un attaquant qui accède à votre base de données sait immédiatement quelle table contient les utilisateurs (wp_users). Changer ce préfixe en x7k2_ ou tout autre préfixe aléatoire lors de l’installation complique les injections SQL automatisées. WP-DBManager ou une intervention manuelle dans wp-config.php permet de modifier ce préfixe sur un site existant.

Action 3 — Activer l’authentification à deux facteurs (2FA)

Un mot de passe fort protège contre les attaques par force brute. L’authentification à deux facteurs (2FA) protège contre les mots de passe volés — même si un attaquant obtient votre mot de passe, il lui manque le second facteur pour se connecter.

Sur WordPress, la 2FA s’active via Wordfence (inclus dans la version gratuite), WP 2FA ou Google Authenticator. Le mécanisme le plus courant : une application mobile (Google Authenticator, Authy) génère un code à 6 chiffres valable 30 secondes, à saisir après le mot de passe lors de la connexion.

Configurez la 2FA pour tous les comptes administrateurs sans exception — un seul compte compromis suffit à donner un accès total au site.

Action 4 — Installer et configurer un plugin de sécurité

Un plugin de sécurité WordPress joue le rôle d’un système d’alarme — il surveille l’activité du site en temps réel, détecte les comportements suspects, et peut bloquer les attaques avant qu’elles aboutissent.

Les deux références du marché :

Wordfence Security (version gratuite très fonctionnelle) : pare-feu applicatif (WAF), scan de malwares, blocage des IPs malveillantes, alertes par email, authentification 2FA. La version premium ajoute les règles de pare-feu en temps réel (mises à jour instantanées vs 30 jours de délai en gratuit).

Solid Security (anciennement iThemes Security) : durcissement WordPress, protection contre la force brute, détection de fichiers modifiés, interdiction d’exécution PHP dans les répertoires sensibles.

La configuration minimale recommandée pour Wordfence :

• Activer le pare-feu en mode « Étendu » (nécessite une modification du .htaccess ou wp-config.php)
• Configurer les scans automatiques quotidiens
• Activer les alertes email pour les connexions administrateur et les fichiers modifiés
• Bloquer les IPs après 5 tentatives de connexion échouées

Action 5 — Configurer des sauvegardes automatiques externes

La sauvegarde n’est pas une mesure de prévention des attaques — c’est votre plan de récupération quand une attaque réussit. Et elle ne vaut que si elle est externe (pas sur le même serveur que le site), récente (au moins quotidienne pour un site actif) et testée (vérifiez régulièrement qu’elle est restaurable).

UpdraftPlus est la référence pour les sauvegardes WordPress — version gratuite couvrant les besoins de base, version premium ajoutant les sauvegardes incrémentales et la gestion avancée des destinations.

Configuration recommandée :

• Fréquence : quotidienne pour la base de données, hebdomadaire pour les fichiers (ou quotidienne pour les sites e-commerce)
• Destination : Google Drive, Amazon S3, Dropbox, ou serveur FTP externe — jamais uniquement sur le serveur d’hébergement
• Rétention : conservez au moins 30 jours de sauvegardes — certaines infections sont dormantes et ne se révèlent qu’après plusieurs semaines
• Test de restauration : testez la restauration sur un environnement de staging au moins une fois par trimestre

Action 6 — Activer HTTPS et forcer la redirection vers HTTPS

Un site sans certificat SSL (HTTPS) transmet les données — y compris les mots de passe — en clair sur le réseau. C’est une vulnérabilité de base que tout site professionnel doit avoir éliminée depuis plusieurs années.

La quasi-totalité des hébergeurs sérieux (o2switch, Hostinger, OVH) proposent un certificat SSL gratuit via Let’s Encrypt — activable en un clic depuis le panel d’hébergement.

Après activation du SSL, configurez la redirection forcée de HTTP vers HTTPS via le fichier .htaccess (sur Apache) ou via Really Simple SSL qui automatise cette configuration. Vérifiez dans Google Search Console que toutes les URLs sont bien indexées en HTTPS et qu’aucune ressource mixte (images, scripts en HTTP sur une page HTTPS) ne subsiste.

Action 7 — Limiter les tentatives de connexion et protéger la page de connexion

La page de connexion WordPress (/wp-login.php ou /wp-admin/) est la cible principale des attaques par force brute. Par défaut, WordPress n’impose aucune limite au nombre de tentatives de connexion — un bot peut tenter des milliers de combinaisons sans être bloqué.

Les mesures à mettre en place :

Limiter les tentatives de connexion via Wordfence (inclus) ou Limit Login Attempts Reloaded — bloquer une IP après 5 à 10 tentatives échouées.

Changer l’URL de connexion via WPS Hide Login — remplacer /wp-login.php par une URL personnalisée comme /connexion-cabinet/. Cette mesure ne sécurise pas fondamentalement le site, mais élimine 95 % du trafic de bots qui ciblent l’URL par défaut.

Ajouter une authentification HTTP basique (.htpasswd) devant la page de connexion — une couche de protection supplémentaire qui demande un nom d’utilisateur et un mot de passe avant même d’afficher la page de login WordPress. Configurable depuis le panel d’hébergement sur cPanel ou directement via .htaccess.

Bloquer l’accès à xmlrpc.php — ce fichier WordPress, initialement conçu pour les connexions d’applications tierces, est massivement exploité pour des attaques par force brute en volume. Si vous n’utilisez pas d’application mobile WordPress ni de service tiers qui en dépend, bloquez-le via votre fichier .htaccess ou via Wordfence.

Action 8 — Sécuriser le fichier wp-config.php et les fichiers sensibles

Le fichier wp-config.php contient les identifiants de base de données, les clés de sécurité WordPress et d’autres informations critiques. Par défaut, il se trouve à la racine du site — accessible si la configuration serveur est défaillante.

Déplacez wp-config.php un niveau au-dessus de la racine web — WordPress le trouvera automatiquement à cet emplacement, mais les serveurs web ne le serviront pas aux visiteurs. Cette manipulation est documentée dans la documentation officielle WordPress.

Protégez wp-config.php via .htaccess en ajoutant ces lignes :

<files wp-config.php>
order allow,deny
deny from all
</files>

Désactivez l’édition de fichiers depuis le tableau de bord en ajoutant dans wp-config.php :

define('DISALLOW_FILE_EDIT', true);

Cette mesure empêche un attaquant qui aurait obtenu un accès administrateur de modifier directement les fichiers PHP du site depuis l’interface WordPress.

Action 9 — Surveiller l’intégrité des fichiers et les activités suspectes

Une infection WordPress ne se détecte pas toujours immédiatement — les malwares sophistiqués sont conçus pour rester invisibles pendant des semaines ou des mois, récoltant des données ou attendant une instruction d’activation.

La surveillance de l’intégrité des fichiers compare régulièrement les fichiers de votre installation WordPress avec les fichiers officiels de référence — toute modification non autorisée est signalée. Wordfence effectue cette vérification dans ses scans automatiques.

Les journaux d’activité (activity logs) enregistrent chaque action effectuée sur le site — connexions, modifications de plugins, changements de réglages. WP Activity Log est la référence pour cette fonction — il permet de détecter des actions suspectes et de reconstituer chronologiquement un incident de sécurité.

Google Search Console envoie des alertes automatiques si Google détecte du contenu malveillant sur votre site — activez les notifications email pour être alerté immédiatement si votre site est signalé comme dangereux.

Action 10 — Choisir un hébergement avec des protections serveur natives

La sécurité WordPress commence au niveau de l’hébergement — un hébergeur qui isole correctement les comptes, qui surveille les activités suspectes au niveau serveur et qui propose des protections réseau réduit significativement la surface d’attaque de votre site.

Les fonctionnalités de sécurité à vérifier chez votre hébergeur :

Des hébergeurs comme o2switch (qui utilise CloudLinux et propose ModSecurity), Kinsta (infrastructure Google Cloud avec pare-feu dédié) ou WP Engine intègrent ces protections nativement. Un hébergement mutualisé bas de gamme sans isolation de comptes est une vulnérabilité structurelle que les plugins de sécurité WordPress ne peuvent pas compenser.