Sécuriser WordPress contre le hacking : le guide

Edaël Durant Sécurité & Maintenance WordPress
securiser wordpress

WordPress fait tourner plus de 43 % des sites web dans le monde. Cette popularité est une force, mais elle en fait aussi la cible privilégiée des hackers : chaque minute, des dizaines de milliers de tentatives d’attaque automatisées visent des sites WordPress à travers la planète. La bonne nouvelle, c’est que la grande majorité de ces attaques exploitent des négligences évitables — mots de passe faibles, plugins obsolètes, absence de sauvegardes — pas des failles sophistiquées.

Ce guide complet rassemble toutes les bonnes pratiques pour sécuriser efficacement votre site WordPress, reconnaître les signes d’un piratage, réagir en cas d’attaque, et choisir les bons outils pour rester protégé durablement.

Pourquoi WordPress est une cible privilégiée

Popularité et exposition

WordPress domine le marché des CMS. Cette popularité est une force mais aussi une vulnérabilité. Imaginez une ville immense où toutes les maisons ont les mêmes serrures : un cambrioleur qui découvre un modèle de clé fonctionne partout. De la même manière, une faille découverte sur WordPress ou sur un plugin populaire peut toucher des milliers de sites à la fois.

Les chiffres donnent la mesure du phénomène : selon les données mensuelles publiées par Wordfence, plusieurs milliards de tentatives de connexion par force brute sont bloquées chaque mois sur le seul réseau qu’il surveille. Les hackers exploitent des scripts automatisés qui scannent le web en continu à la recherche de sites vulnérables — votre site n’est jamais ciblé « par hasard », il est simplement repéré par un robot qui teste des milliers d’URLs à la chaîne.

Le poids des plugins dans les vulnérabilités

D’après les recensements de vulnérabilités publiés en 2025-2026, plus de 90 % des failles découvertes dans l’écosystème WordPress proviennent des extensions, pas du cœur du logiciel. Autrement dit : WordPress lui-même est plutôt robuste, mais les milliers de plugins que les utilisateurs installent constituent la surface d’attaque réelle.

La montée des attaques par chaîne d’approvisionnement (supply-chain)

Une menace émergente et particulièrement préoccupante en 2026 : les attaques par la chaîne d’approvisionnement des plugins eux-mêmes. Un cas marquant a touché en 2026 tout un portefeuille d’extensions rachetées par un nouveau propriétaire, dans lesquelles une porte dérobée avait été discrètement intégrée dans une mise à jour anodine, avant que plusieurs dizaines de plugins ne soient finalement retirés du répertoire officiel. Ce type d’attaque est particulièrement vicieux car il touche même les administrateurs les plus prudents, qui installent pourtant des plugins réputés fiables et régulièrement mis à jour.

Négligence des mises à jour

Une part très importante des sites WordPress en ligne aujourd’hui tourne encore sur des versions ou des plugins qui n’ont pas été mis à jour depuis longtemps. Chaque version obsolète expose le site à des failles déjà publiquement documentées — c’est souvent la porte d’entrée la plus simple pour un attaquant, bien avant toute tentative sophistiquée.

Il est impératif d’activer les mises à jour automatiques pour sécuriser WordPress, ses thèmes et ses plugins. Cela réduit drastiquement le risque d’exploitation de failles connues.

Les attaques les plus fréquentes contre WordPress

Les attaques par force brute

Les attaques par force brute sont extrêmement fréquentes. Elles consistent à tester des milliers de combinaisons de mots de passe pour accéder à l’administration du site. Si votre identifiant est « admin » et votre mot de passe « 123456 », votre site ne tiendra pas longtemps.

Ces attaques sont souvent automatisées : des bots parcourent le web en permanence à la recherche de sites WordPress vulnérables. La prévention passe par des identifiants uniques et des mots de passe complexes, associés à l’authentification à deux facteurs (2FA).

Malwares et injections SQL

Les malwares peuvent transformer votre site en machine à spam, voler vos données ou rediriger vos visiteurs vers des pages frauduleuses. Les injections SQL exploitent des formulaires ou des scripts mal sécurisés pour accéder à votre base de données.

Un cas courant : un site qui n’avait jamais mis à jour un plugin de formulaire a été infiltré, et les données de clients ont été compromises. La leçon : chaque plugin doit être maintenu à jour et vérifié pour sa sécurité.

Failles de plugins et thèmes

Les plugins et thèmes représentent la grande majorité des vulnérabilités du CMS. Les plugins gratuits ou piratés, souvent appelés « nulled », sont particulièrement dangereux. Même un plugin populaire peut devenir une faille si le développeur ne le met pas à jour, ou si le plugin lui-même est racheté et compromis à la source.

Il est donc crucial de n’installer que des extensions provenant de sources fiables et de surveiller régulièrement les mises à jour.

Hébergement non sécurisé

Un hébergement partagé ou mal configuré peut exposer votre site même si votre WordPress est parfaitement sécurisé. Choisir un hébergeur reconnu, avec un pare-feu, des sauvegardes automatiques et un support réactif, est la première étape pour protéger votre site.

Les bases pour sécuriser WordPress

Choisir un hébergeur sécurisé

L’hébergeur est la fondation de votre sécurité. Un hébergeur sérieux offre : un pare-feu intégré, des sauvegardes automatiques, une protection contre les attaques DDoS et un support technique réactif. Investir dans un hébergement de qualité n’est pas un coût mais une assurance contre les attaques.

Activer le certificat SSL (HTTPS)

Le certificat SSL sécurise les échanges entre vos visiteurs et votre site. Google signale les sites sans HTTPS comme « non sécurisés », ce qui affecte à la fois la confiance des visiteurs et le référencement. La plupart des hébergeurs offrent Let’s Encrypt gratuitement, ce qui simplifie grandement la mise en place.

Mettre à jour régulièrement WordPress, thèmes et plugins

Chaque mise à jour corrige des failles de sécurité. Négliger cette étape est une invitation aux hackers. Les mises à jour automatiques permettent de rester protégé sans effort. Il est également conseillé de vérifier les changelogs pour comprendre les correctifs appliqués — et de désinstaller les extensions que vous n’utilisez plus, plutôt que de les laisser inactives et non maintenues.

Protéger l’accès à l’administration WordPress

Identifiants et mots de passe robustes

Un mot de passe fort est la première barrière contre les attaques. Il doit être unique, comporter au moins 12 caractères, des chiffres, des lettres et des symboles. Les gestionnaires de mots de passe comme LastPass ou Bitwarden sont des outils précieux pour sécuriser vos identifiants sans les oublier.

Authentification à deux facteurs (2FA)

La 2FA ajoute une couche de sécurité supplémentaire. Même si le mot de passe est compromis, un hacker ne pourra pas se connecter sans le code généré sur votre téléphone ou envoyé par email. Un plugin comme WP 2FA permet de l’activer facilement, y compris de façon obligatoire pour tous les comptes administrateurs. Ce système est devenu incontournable pour les sites professionnels.

Cacher ou personnaliser l’URL de connexion

Modifier l’URL par défaut /wp-admin ou /wp-login.php réduit les tentatives automatisées. Des plugins comme WPS Hide Login permettent de le faire facilement, et cela réduit considérablement les attaques par force brute.

Restreindre l’accès admin via .htaccess

Pour une protection supplémentaire côté serveur, le fichier .htaccess permet de restreindre l’accès à /wp-admin ou /wp-login.php à une liste d’adresses IP autorisées, ou de bloquer certaines requêtes suspectes avant même que WordPress ne les traite. C’est une mesure particulièrement adaptée si votre équipe se connecte toujours depuis les mêmes IP fixes (bureau, VPN d’entreprise) — moins pratique en revanche si vos accès sont mobiles ou changeants.

Sauvegarder et restaurer son site WordPress

Pourquoi les sauvegardes sont indispensables

Même avec toutes les protections, aucun site n’est inviolable. Une sauvegarde récente permet de restaurer votre site après un piratage. Cela minimise l’impact sur vos visiteurs et votre activité.

Plugins de sauvegarde recommandés

UpdraftPlus et BackWPup automatisent les sauvegardes, les stockent dans le cloud et facilitent la restauration. Vous pouvez planifier des sauvegardes quotidiennes ou hebdomadaires selon le volume de contenu de votre site.

Planifier des sauvegardes automatiques

Les sauvegardes manuelles sont insuffisantes. Planifier des copies automatiques garantit que vous disposerez toujours d’une version récente de votre site, prête à être restaurée en cas d’incident.

Les plugins indispensables pour sécuriser WordPress

Wordfence

Wordfence est un des plugins les plus populaires pour sécuriser WordPress. Il combine un pare-feu, un scanner de malwares et une surveillance des tentatives de connexion. L’avantage de Wordfence est qu’il détecte non seulement les fichiers corrompus, mais bloque également les adresses IP suspectes.

Imaginez : un robot tente un millier de connexions en quelques minutes. Wordfence peut identifier ce comportement et bloquer immédiatement l’attaquant, avant qu’il ne cause des dégâts. Pour les sites professionnels, c’est un allié précieux qui permet de rester serein.

Sucuri

Sucuri est une solution complète pour sécuriser WordPress, spécialisée dans la surveillance en temps réel et la protection avancée contre les attaques. Il peut nettoyer un site piraté, détecter les malwares et bloquer les tentatives de hacking avant qu’elles n’atteignent le serveur.

Pour un site e-commerce ou un blog à forte audience, Sucuri est un investissement judicieux. Il offre également un suivi des blacklists et vous alerte si votre site est signalé comme dangereux par Google.

Signes qu’un site WordPress a été piraté

Un piratage n’est pas toujours aussi visible qu’une page d’accueil remplacée ou un écran d’alerte de Google. Souvent, les signes sont plus discrets. Voici les indices qui doivent vous alerter :

  • Ralentissements inhabituels ou pics de trafic anormaux dans vos statistiques, souvent liés à un script malveillant qui utilise les ressources de votre serveur.
  • Redirections inattendues de vos visiteurs vers des sites tiers, parfois uniquement sur mobile ou depuis certains pays.
  • Nouveaux comptes administrateurs que vous n’avez jamais créés dans votre liste d’utilisateurs.
  • Fichiers ou plugins inconnus apparus dans votre arborescence FTP, ou modifications de fichiers cœur de WordPress.
  • Alerte Google Search Console signalant du contenu piraté ou une action manuelle.
  • Votre hébergeur vous contacte pour signaler une activité anormale ou une suspension préventive.

Si vous identifiez l’un de ces signes, agissez rapidement : plus un piratage reste actif longtemps, plus il est difficile à nettoyer complètement.

Comment tester la sécurité de son site WordPress

Avant même qu’un incident survienne, plusieurs outils gratuits permettent de vérifier l’état de sécurité de votre site :

  • Santé du site (Outils → Santé du site dans votre tableau de bord WordPress) : cet outil natif, intégré au cœur de WordPress, signale en quelques secondes les problèmes de configuration courants (version PHP obsolète, HTTPS manquant, mises à jour en attente) — sans avoir besoin d’installer une extension.
  • Sucuri SiteCheck : scanner en ligne gratuit qui vérifie si votre site est déjà infecté ou blacklisté par les moteurs de recherche.
  • WPScan : outil spécialisé qui recense les vulnérabilités connues de vos plugins, thèmes et de votre version de WordPress installée.
  • Le tableau de bord de votre plugin de sécurité (Wordfence ou Sucuri) : chacun propose un scan complet à la demande, en plus de sa surveillance continue.

Un test de sécurité régulier — idéalement mensuel — permet de repérer une faille avant qu’elle ne soit exploitée, plutôt que de la découvrir après coup.

Que faire en cas de piratage : la marche à suivre

Si votre site est compromis, suivez ces étapes dans l’ordre, sans en sauter aucune :

  1. Changez immédiatement tous les mots de passe : hébergement, base de données, FTP, et tous les comptes administrateurs WordPress.
  2. Mettez le site en mode maintenance pour limiter l’exposition pendant que vous investiguez.
  3. Téléchargez une copie complète des fichiers et de la base de données pour analyse, avant toute modification.
  4. Restaurez la dernière sauvegarde saine connue — d’où l’importance cruciale d’avoir des sauvegardes régulières et testées.
  5. Identifiez le point d’entrée exact de l’attaque avant de remettre le site en ligne : sans cette étape, un nouveau piratage est quasiment garanti.
  6. Installez ou renforcez un plugin de sécurité (Wordfence, Sucuri) pour surveiller le site après remise en ligne.

Les erreurs classiques à éviter

  • Utiliser l’identifiant « admin » : c’est l’erreur la plus fréquente et la plus dangereuse. Tout hacker sait que « admin » est le login par défaut de WordPress.
  • Installer des plugins piratés ou obsolètes : les versions « nulled » ou non officielles contiennent souvent des malwares cachés.
  • Négliger les mises à jour et sauvegardes : chaque retard dans les mises à jour représente une opportunité pour un hacker.
  • Faire une confiance aveugle à un plugin populaire : même une extension réputée peut être compromise si son éditeur change de mains ou néglige la sécurité de sa chaîne de distribution.

Sécuriser WordPress : un processus continu

Vigilance permanente

Sécuriser WordPress n’est jamais terminé. Les hackers innovent constamment, et chaque nouveau plugin ou thème peut introduire de nouvelles failles. Surveillez les logs de connexion, les notifications de sécurité et restez informé des nouvelles vulnérabilités.

Protéger ses utilisateurs et son business

Sécuriser WordPress, ce n’est pas seulement protéger le site. C’est aussi garantir la confiance de vos visiteurs et clients, préserver vos données et protéger vos revenus. Un site piraté peut causer une perte de trafic, des problèmes de référencement et une atteinte à votre image de marque.

FAQ

Comment sécuriser un site WordPress efficacement ? Combinez un hébergement fiable, le SSL, des mises à jour régulières, la 2FA, des sauvegardes automatiques et un plugin de sécurité reconnu comme Wordfence ou Sucuri. Aucune mesure isolée ne suffit : c’est la combinaison de ces pratiques qui fait la différence.

Quelle est la meilleure extension de sécurité pour WordPress ? Wordfence reste l’un des plus complets pour sécuriser WordPress au quotidien. Sucuri est particulièrement recommandé pour les sites à fort trafic ou e-commerce, grâce à sa surveillance avancée et ses fonctions de nettoyage après incident.

Quel est le meilleur antivirus pour WordPress ? WordPress n’utilise pas d’antivirus classique, mais des plugins de sécurité qui remplissent un rôle équivalent : pare-feu, scanner de malwares et blocage des IP suspectes. Wordfence et Sucuri sont les références les plus citées pour cette fonction.

Comment puis-je tester la sécurité de mon site WordPress ? Utilisez un scanner gratuit comme Sucuri SiteCheck pour vérifier une infection existante, ou WPScan pour recenser les vulnérabilités connues de vos plugins et thèmes installés. Un scan mensuel est une bonne pratique minimale.

Comment activer le SSL sur WordPress ? La plupart des hébergeurs proposent Let’s Encrypt gratuitement. Activez-le depuis votre panneau d’administration et configurez une redirection automatique vers HTTPS pour sécuriser l’ensemble des pages.

Comment restaurer un site piraté ? Isolez le site, identifiez et supprimez les fichiers infectés, restaurez une sauvegarde saine et changez tous les mots de passe. Installez ensuite un plugin de sécurité pour éviter une nouvelle attaque.

Comment protéger les comptes utilisateurs ? Limitez les rôles et permissions, activez la 2FA pour tous les comptes administrateurs et évitez de partager les identifiants. Sensibiliser les utilisateurs aux mots de passe complexes est également crucial.

Qu’est-ce que l’outil Santé du site dans WordPress ? C’est un outil natif intégré au cœur de WordPress (Outils → Santé du site) qui diagnostique en quelques secondes les problèmes de configuration courants — PHP obsolète, HTTPS manquant, mises à jour en attente — sans nécessiter d’extension supplémentaire.

Quelle est la différence entre une attaque force brute et une attaque DDoS ? Une attaque par force brute vise à deviner vos identifiants de connexion par essais successifs. Une attaque DDoS, elle, surcharge votre serveur de requêtes pour rendre le site indisponible, sans chercher à voler d’identifiants. Les deux nécessitent des protections différentes : 2FA et limitation des tentatives pour la première, CDN et pare-feu pour la seconde.

Pour aller plus loin