Protection contre les attaques DDoS WordPress

Edaël Durant création de site internet
attaques DDoS WordPress

Imagine que tu te réveilles un matin, que tu veux accéder à ton site WordPress… et qu’il soit complètement inaccessible à cause d’attaques DDoS WordPress. Tu rafraîchis la page, rien. Tu vérifies l’hébergement, tout est en surcharge. Bienvenue dans l’enfer de ces attaques.

Les attaques DDoS (Distributed Denial of Service) ne visent pas forcément à voler tes données. Leur but est plus sournois : rendre ton site indisponible en saturant ton serveur avec des millions de requêtes. Et ces attaques sont de plus en plus fréquentes, touchant aussi bien les grandes entreprises que les petits sites WordPress.

Heureusement, il existe des solutions pour anticiper, prévenir et limiter les dégâts. Dans ce guide, tu découvriras comment sécuriser ton site contre les attaques DDoS WordPress et garder ton business en ligne, quoi qu’il arrive.

Qu’est-ce qu’une attaque DDoS WordPress ?

Une attaque DDoS (Distributed Denial of Service) est une attaque informatique coordonnée. Des milliers, voire des millions de requêtes sont envoyées simultanément vers ton serveur. Résultat : ton site ralentit, puis tombe complètement.

Symptômes classiques :

  • Temps de chargement anormalement longs.
  • Site qui devient inaccessible par intermittence.
  • Consommation excessive de bande passante.
  • Messages d’erreur 502, 503 ou 504.

Contrairement à un piratage classique (où un hacker cherche à voler ou modifier des données), le DDoS vise uniquement à bloquer l’accès à ton site. Mais l’impact peut être énorme : perte de trafic, perte de clients, chute de référencement.

Pourquoi WordPress est une cible privilégiée

WordPress propulse plus de 43 % des sites web dans le monde. Une telle popularité attire forcément les cybercriminels. Les attaques DDoS WordPress ciblent souvent les CMS les plus utilisés car :

  • Surface d’attaque large → Des millions de sites tournent avec des configurations similaires.
  • Hébergements partagés vulnérables → Beaucoup de sites WordPress sont sur des serveurs mutualisés, faciles à saturer.
  • Plugins et thèmes mal configurés → Certains peuvent multiplier les requêtes et amplifier l’effet d’une attaque.

En clair : plus tu es visible, plus tu es une cible des attaques DDoS WordPress.

Les différents types d’attaques DDoS WordPress

Toutes les attaques DDoS WordPress ne se ressemblent pas. En voici les principales :

1. Attaques volumétriques

Le hacker inonde ton serveur de trafic inutile. Ton hébergeur n’arrive plus à gérer la bande passante → ton site tombe.

2. Attaques protocolaires

Elles exploitent les faiblesses des protocoles réseau (TCP, UDP, ICMP). Elles saturent les pare-feu et load balancers.

3. Attaques applicatives

Ciblent directement ton site WordPress. Exemple : des milliers de requêtes HTTP vers la page de connexion /wp-login.php, ou vers le fichier xmlrpc.php. Ton serveur se retrouve submergé.

Pour WordPress, les attaques applicatives sont les plus fréquentes — et le fichier xmlrpc.php en particulier est une cible de choix, car il permet nativement d’exécuter plusieurs actions en une seule requête, ce qui démultiplie l’impact d’une attaque.

Comment se protéger contre les attaques DDoS WordPress

1. Choisir un hébergeur résilient

Ton hébergement est la première ligne de défense.

  • Opte pour un hébergeur qui propose une protection anti-DDoS intégrée (OVH, Cloudways, Kinsta, SiteGround).
  • Vérifie que le support technique est réactif en cas d’attaque.

2. Utiliser un CDN avec protection DDoS

Un CDN (Content Delivery Network) comme Cloudflare, Sucuri ou Bunny agit comme un bouclier. Le trafic passe d’abord par leurs serveurs, qui filtrent les requêtes suspectes avant d’atteindre ton site.

Exemple : un site e-commerce protégé par Cloudflare peut encaisser un pic de 500 000 requêtes/s sans tomber.

Pour un comparatif détaillé des options CDN, voir notre article CDN WordPress : améliorer la vitesse du site.

3. Installer un plugin de sécurité spécialisé

Certains plugins WordPress renforcent ta protection DDoS :

  • Wordfence Security → pare-feu applicatif qui bloque les requêtes malveillantes.
  • All In One WP Security → limite les tentatives de connexion abusives.

4. Désactiver XML-RPC

Le fichier xmlrpc.php permet à des applications externes (anciennes apps mobiles WordPress, certains plugins) de communiquer avec ton site. Le problème : il est aussi l’un des vecteurs les plus exploités pour amplifier des attaques par force brute et des attaques DDoS applicatives, car il permet de regrouper des centaines de tentatives de connexion en une seule requête.

Si tu n’utilises pas d’application externe qui en dépend, désactive-le simplement :

  • Via un plugin de sécurité (Wordfence propose cette option en un clic).
  • Ou en bloquant l’accès au fichier directement depuis la configuration de ton serveur ou de ton hébergeur.

5. Limiter l’accès à wp-login.php

La page de connexion WordPress est une cible fréquente :

  • Change l’URL de connexion (/wp-admin devient par ex. /acces-admin).
  • Active une authentification 2FA.
  • Limite le nombre de tentatives de connexion avec un plugin (Login Lockdown, Limit Login Attempts Reloaded).

6. Configurer un pare-feu (WAF)

Un Web Application Firewall filtre le trafic avant qu’il n’atteigne ton site.

  • Cloudflare WAF
  • Sucuri WAF
  • ModSecurity (côté serveur)

7. Surveiller et réagir rapidement

  • Mets en place un outil de monitoring (UptimeRobot, Jetpack).
  • Si une attaque est détectée → contacte immédiatement ton hébergeur.
  • Mets temporairement ton site en mode « Under Attack » via Cloudflare.

Bonnes pratiques pour limiter l’impact

  • Sauvegardes régulières → en cas d’attaque prolongée, tu peux restaurer ton site rapidement. Voir notre article Sauvegardes et restauration de sites WordPress.
  • Optimisation des performances → un site rapide résiste mieux aux pics de trafic.
  • Mettre à jour WordPress, thèmes et plugins → certaines failles amplifient les attaques.

Cas pratique : un site e-commerce victime d’une attaque DDoS

Un site e-commerce WordPress reçoit soudain 200 000 requêtes par minute sur sa page de login. Le serveur mutualisé tombe en 2 minutes.

Solution appliquée :

  • Migration vers un hébergement Cloud avec protection DDoS.
  • Installation de Cloudflare Pro pour filtrer le trafic.
  • Désactivation de xmlrpc.php, identifié comme le point d’entrée initial de l’attaque.
  • Blocage des IP suspectes au niveau du pare-feu.

Résultat : le site a repris son activité en moins de 2 heures, avec des pertes limitées.

Conclusion

Les attaques DDoS WordPress sont une réalité incontournable en 2026. Elles peuvent toucher n’importe quel site WordPress, du blog personnel à la boutique en ligne. Mais en adoptant les bonnes pratiques (hébergeur résilient, CDN, pare-feu, désactivation de XML-RPC, plugins de sécurité), tu peux réduire drastiquement les risques et garantir la continuité de ton activité.

Ton site est ton outil de travail. Ne le laisse pas à la merci des hackers : mets en place tes défenses dès aujourd’hui contre les attaques DDoS WordPress.

FAQ

Qu’est-ce qu’une attaque DDoS WordPress ? Une attaque DDoS (Distributed Denial of Service) WordPress vise à rendre un site indisponible en saturant son serveur avec un grand nombre de requêtes simultanées. L’objectif n’est pas de voler des données, mais de bloquer l’accès au site.

Comment puis-je me protéger contre les attaques DDoS ? Combine un hébergeur résilient, un CDN avec protection DDoS (Cloudflare, Sucuri, Bunny.net), un pare-feu applicatif (WAF), la désactivation de XML-RPC si tu ne l’utilises pas, et un plugin de sécurité pour surveiller l’activité de ton site.

Quel est le prix d’une protection DDoS ? Les tarifs varient énormément selon le fournisseur et le niveau de protection : certains CDN comme Cloudflare proposent un plan gratuit qui inclut déjà une protection DDoS de base, suffisante pour un blog ou un petit site. Les offres avancées (entreprise, mitigation garantie) sont facturées séparément — consultez directement les pages tarifs de Cloudflare, Sucuri ou de votre hébergeur pour un chiffre à jour.

Comment savoir si mon site WordPress subit une attaque DDoS ? Signes fréquents : site extrêmement lent ou totalement inaccessible, trafic inhabituel et massif, pics d’utilisation du serveur. Les logs de l’hébergement peuvent également montrer un grand nombre de requêtes provenant d’adresses IP suspectes.

Les attaques DDoS WordPress peuvent-elles endommager mes données ? En général, elles ne ciblent pas les données directement. Leur impact principal est l’indisponibilité du site, ce qui peut entraîner une perte de visiteurs et de revenus. Toutefois, un serveur saturé peut causer des problèmes temporaires de performance ou de sauvegarde.

Que faire si mon site WordPress est déjà victime d’une attaque DDoS ? Contacte rapidement ton hébergeur pour limiter l’impact, active un firewall ou service de mitigation DDoS, identifie et bloque les adresses IP malveillantes, et surveille les performances jusqu’à la fin de l’attaque.

Les petites entreprises sont-elles concernées par les attaques DDoS WordPress ? Oui. Même les petits sites WordPress peuvent être ciblés, parfois de manière aléatoire ou par des concurrents malveillants. La prévention est donc essentielle, quelle que soit la taille de votre site.

Pour aller plus loin