# Sécuriser son site WordPress : la checklist complète Source : https://www.tactikmedia.com/blogue/securiser-site-wordpress-checklist/ La checklist complète pour sécuriser votre site WordPress : mises à jour, mots de passe, pare-feu (WAF), sauvegardes hors site et vérification technique trimestrielle. Par Vincent Lambert · Publié le 2026-05-07 · mis à jour le 2026-08-04 · 10 min de lecture La plupart des piratages WordPress sont automatisés et visent des failles connues. Voici la checklist par priorités pour protéger votre site — et la routine qui le garde sain dans le temps. ## En bref - Cinq gestes couvrent l'essentiel du risque : tout tenir à jour, imposer des mots de passe forts avec double authentification, installer un pare-feu applicatif, automatiser des sauvegardes hors site et limiter les accès. - La plupart des attaques sont automatisées : des robots scannent le web à la recherche de failles connues, sans cibler personne en particulier. - La cause de piratage la plus fréquente n'est pas WordPress lui-même, mais une extension ou un thème vulnérable non mis à jour. - La sécurité n'est pas un réglage unique mais une routine : une vérification technique trimestrielle confirme que chaque protection est toujours active. ## Pourquoi la sécurité WordPress n’est pas optionnelle **La plupart des attaques WordPress ne ciblent personne en particulier : des robots scannent le web en permanence, 24 heures sur 24, à la recherche de failles connues, et s’engouffrent dans la première porte laissée ouverte.** Votre site n’a pas besoin d’être important ou populaire pour être visé. Pour comprendre où agir, il faut distinguer les trois grandes sources de risque. - **Le cœur WordPress obsolète.** Le logiciel lui-même est solide, mais chaque version corrige des failles. Un cœur qui n’est pas à jour expose des vulnérabilités déjà publiques, donc déjà exploitées par les bots. - **Les extensions et les thèmes vulnérables.** C’est la cause la plus fréquente de piratage. Une extension abandonnée par son développeur, ou simplement non mise à jour, devient une porte d’entrée. Plus vous accumulez d’extensions, plus votre surface d’attaque grandit. - **Les comptes utilisateurs mal protégés.** Un mot de passe faible, un identifiant « admin » évident, l’absence de double authentification : ce sont des invitations pour les attaques par force brute. Pour une PME, les conséquences d’un piratage sont très concrètes : - **Site défiguré** ou remplacé par une page pirate, ce qui abîme immédiatement votre image. - **Redirections malveillantes** qui envoient vos visiteurs vers des sites frauduleux. - **Perte de référencement** : Google détecte les sites compromis et peut les inscrire sur liste noire (« blacklister »), ce qui les fait disparaître des résultats de recherche et affiche un avertissement rouge aux visiteurs. - **Vol de données clients** (coordonnées, formulaires, comptes), avec les obligations légales que cela implique. - **Coûts de nettoyage** : intervention d’urgence, restauration, perte de revenus pendant l’indisponibilité. C’est ici que sécurité et visibilité se rejoignent. Un site blacklisté ou ralenti après un piratage perd sa visibilité dans Google, mais aussi sa lisibilité par les intelligences artificielles qui répondent aux questions de vos clients. Protéger votre site, c’est protéger votre référencement. **à retenir —** Le cœur de WordPress est développé et corrigé par une équipe active : la base est fiable. Le risque vient presque toujours de l’écosystème (extensions, thèmes) et des habitudes (mises à jour repoussées, mots de passe faibles, comptes oubliés). La sécurité dépend moins du logiciel que de la façon dont vous l’entretenez. ## La checklist de sécurité WordPress (12 points essentiels) **Voici les actions à mettre en place, classées de la plus prioritaire à la plus avancée : les cinq premières couvrent l’essentiel du risque, les suivantes réduisent la surface d’attaque restante.** 1. **Mettre à jour le cœur, les thèmes et les extensions** — la mesure la plus rentable et la plus négligée. La majorité des failles exploitées sont déjà corrigées : activez les mises à jour automatiques pour les correctifs de sécurité et vérifiez le reste chaque semaine. 2. **Utiliser des mots de passe forts et un gestionnaire** — des mots de passe longs, uniques et générés aléatoirement, stockés dans un gestionnaire. Un mot de passe réutilisé sur plusieurs services est une faille en soi. 3. **Activer l’authentification à deux facteurs (2FA)** — même si un mot de passe est deviné ou volé, la double authentification bloque l’accès. À activer en priorité pour tous les comptes administrateurs. 4. **Limiter les tentatives de connexion et masquer /wp-admin** — restreignez le nombre d’essais pour couper court aux attaques par force brute, et changez l’adresse de la page de connexion pour la rendre moins évidente aux bots. 5. **Installer un pare-feu applicatif (WAF)** — il filtre le trafic malveillant avant qu’il n’atteigne votre site et neutralise la plus grande part des attaques automatisées. 6. **Forcer le certificat SSL / HTTPS** — le HTTPS chiffre les échanges entre le visiteur et votre site. C’est un standard exigé par les navigateurs et pris en compte par Google ; forcez la redirection de tout le trafic vers HTTPS. 7. **Configurer des sauvegardes automatiques hors site** — régulières, automatiques et stockées ailleurs que sur votre serveur. C’est votre filet de sécurité : la seule garantie de tout remettre en état après un incident. 8. **Gérer les rôles et supprimer les comptes inutiles** — attribuez à chaque personne le rôle minimal dont elle a besoin (moindre privilège) et supprimez les comptes d’anciens collaborateurs ou prestataires. 9. **Retirer les thèmes et extensions inactifs** — un thème ou une extension désactivé reste installé sur le serveur et peut contenir une faille. Ce qui ne sert pas doit être supprimé, pas seulement désactivé. 10. **Protéger les fichiers sensibles** — sécurisez `wp-config.php`, désactivez `xmlrpc.php` s’il n’est pas utilisé (vecteur fréquent d’attaques) et désactivez l’éditeur de fichiers intégré à l’administration. 11. **Surveiller et scanner les logiciels malveillants** — un scan régulier détecte les fichiers infectés et les modifications suspectes avant qu’elles ne fassent des dégâts. 12. **Choisir un hébergement de qualité** — un bon hébergeur applique déjà une part importante de la sécurité au niveau du serveur : pare-feu, isolation des sites, sauvegardes. L’économie sur l’hébergement se paie souvent en incidents. Action Niveau de risque couvert Effort Outil suggéré 1\. Mises à jour cœur/thèmes/extensions Élevé Facile Natif WordPress 2\. Mots de passe forts + gestionnaire Élevé Facile Gestionnaire de mots de passe 3\. Authentification à deux facteurs Élevé Facile Extension 2FA 4\. Limiter les connexions + masquer /wp-admin Élevé Facile Extension de sécurité 5\. Pare-feu applicatif (WAF) Élevé Moyen Extension ou WAF hébergeur 6\. SSL / HTTPS forcé Moyen Facile Hébergeur (certificat gratuit) 7\. Sauvegardes automatiques hors site Élevé Moyen Extension ou hébergeur 8\. Rôles et suppression de comptes Moyen Facile Natif WordPress 9\. Retrait des thèmes/extensions inactifs Moyen Facile Natif WordPress 10\. Protection des fichiers sensibles Moyen Technique Extension de sécurité 11\. Surveillance / scan de malware Moyen Moyen Extension de sécurité 12\. Hébergement de qualité Élevé Moyen Hébergeur géré **à retenir —** Les cinq premiers points bloquent la majorité des attaques automatisées ; le reste réduit la surface d’attaque restante. Si vous ne faites que cinq choses cette semaine, faites-les dans l’ordre. ## Gratuit ou payant : quels outils de sécurité choisir **La plupart des PME couvrent leurs besoins avec une bonne extension de sécurité et des sauvegardes fiables, sans forcément payer : le nerf de la guerre n’est pas le budget, c’est la configuration et la régularité.** Approche Couverture Effort Coût mensuel Pour qui Extension tout-en-un (type Wordfence, Solid Security) Pare-feu, scan, 2FA, limitation des connexions Moyen (configuration initiale) Version gratuite ou premium selon les besoins La plupart des PME Sécurité au niveau hébergeur / WAF cloud Filtrage serveur, isolation, protection en amont Faible (géré par l’hébergeur) Inclus ou en supplément selon l’offre PME qui veulent déléguer la couche technique Services gérés d’agence Sécurité + maintenance + surveillance + intervention Nul côté client Forfait mensuel selon le niveau de service PME sans ressources internes Un hébergeur sérieux prend déjà en charge une partie du travail : pare-feu au niveau du serveur, isolation entre les sites hébergés (pour qu’un site compromis n’en contamine pas d’autres) et sauvegardes automatiques. Vérifiez ce qui est inclus avant de tout dédoubler. Restent à votre charge, même avec un bon hébergeur : les mises à jour de vos extensions et thèmes, la gestion des comptes utilisateurs, l’authentification à deux facteurs, et la vérification que tout fonctionne réellement. **à retenir —** N’empilez pas plusieurs extensions de sécurité : elles entrent en conflit, alourdissent le site et créent des zones aveugles où chacune croit que l’autre s’en occupe. Choisissez-en une, configurez-la correctement, et tenez-la à jour. ## La vérification technique WordPress : le contrôle trimestriel **Une vérification technique régulière confirme que les protections tiennent et détecte les dérives avant qu’elles deviennent des incidents.** Installer des protections, c’est bien ; vérifier qu’elles sont toujours actives, c’est ce qui fait la différence entre un site sécurisé et un site qu’on croyait sécurisé. La sécurité se dégrade avec le temps sans qu’on s’en aperçoive : une extension cesse d’être maintenue, une sauvegarde échoue en silence, un compte de prestataire reste actif. Une routine datée évite ces angles morts. C’est le cœur d’une bonne démarche pour maintenir et sécuriser votre site WordPress. Pour replacer la sécurité dans l’ensemble de l’entretien, voyez notre [guide de la maintenance et de la sécurité WordPress](/guides/maintenance-securite-wordpress). - **Chaque semaine** : appliquer les mises à jour disponibles, vérifier que les sauvegardes se sont bien exécutées. - **Chaque mois** : lancer un scan de logiciels malveillants, passer en revue la liste des utilisateurs et leurs rôles. - **Chaque trimestre** : audit complet, test de restauration d’une sauvegarde, revue de toutes les extensions (utilité, mise à jour, maintenance active). La sauvegarde qu’on n’a jamais testée n’existe pas. C’est le point le plus souvent négligé et le plus dangereux : beaucoup de PME découvrent le jour de l’incident que leurs sauvegardes étaient corrompues, incomplètes ou impossibles à restaurer. Testez au moins une fois par trimestre une restauration réelle sur un environnement de test. Une sauvegarde n’a de valeur que le jour où elle vous remet en ligne. **à retenir —** Audit trimestriel : cœur, thèmes et extensions à jour ; sauvegardes récentes ET testées par une restauration ; scan de malware sans détection ; pare-feu (WAF) actif ; comptes utilisateurs revus ; double authentification active sur les comptes admin ; certificat SSL valide et HTTPS forcé ; extensions inactives ou non maintenues supprimées. ## Que faire si votre site est déjà piraté **Si votre site est compromis, agissez vite : isolez le site, restaurez une sauvegarde saine et identifiez la faille avant de remettre en ligne.** Remettre le site en ligne sans avoir compris le point d’entrée garantit une nouvelle infection. Les étapes, dans l’ordre : 1. **Mettre le site en mode maintenance** pour couper l’accès aux visiteurs et limiter les dégâts (redirections, vol de données, propagation). 2. **Changer tous les mots de passe** : administrateurs, base de données, FTP/SFTP, hébergeur. On part du principe que tout est compromis. 3. **Scanner le site** pour localiser les fichiers infectés et les modifications suspectes. 4. **Restaurer une sauvegarde antérieure à l’infection.** D’où l’importance capitale de sauvegardes régulières et datées. 5. **Tout mettre à jour** : cœur, thèmes, extensions, avant toute remise en ligne. 6. **Identifier le vecteur d’entrée** (extension vulnérable, compte compromis, faille serveur). Sans cela, l’infection reviendra. 7. **Demander à Google un réexamen** si le site a été inscrit sur liste noire, une fois qu’il est propre et sécurisé, pour lever l’avertissement et récupérer votre visibilité. Pour un diagnostic plus large des symptômes (site lent, erreurs, écran blanc), consultez notre [guide de dépannage d’un site WordPress qui plante](/blogue/site-wordpress-qui-plante-depannage). **à retenir —** Si l’infection persiste après restauration, si vous ne trouvez pas le vecteur d’entrée, ou si des données clients ont été touchées, faites appel à un spécialiste. Un nettoyage incomplet est pire qu’aucun nettoyage : il donne un faux sentiment de sécurité pendant que la faille reste ouverte. ## Mini étude de cas **Imaginons une PME manufacturière de la Rive-Sud dont les extensions n’avaient pas été mises à jour depuis un an et demi.** Le site fonctionnait en apparence, mais des robots exploitaient une faille dans une extension abandonnée pour injecter du contenu indésirable (spam de liens vers des sites frauduleux). Résultat : Google avait fini par inscrire le site sur liste noire, et l’entreprise voyait son trafic organique s’effondrer sans comprendre pourquoi. L’intervention a consisté à appliquer la checklist complète — nettoyage des injections, mise à jour du cœur et des extensions, suppression des extensions non maintenues, installation d’un pare-feu applicatif, activation de la double authentification et mise en place de sauvegardes hors site — puis à instaurer une routine de vérification technique trimestrielle. Le résultat, qualitatif : fin des injections de spam, site retiré de la liste noire de Google après réexamen, et une routine qui a évité toute rechute. L’angle à retenir : la sécurité n’est pas un correctif ponctuel, c’est un processus continu. Nettoyer une fois ne sert à rien si personne ne maintient le site ensuite. ## Par où commencer **Commencez par les cinq gestes prioritaires cette semaine, puis instaurez la routine de vérification.** Vous n’avez pas besoin de tout faire d’un coup : la sécurité progresse par étapes, et les premières comptent le plus. - **Aujourd’hui** : appliquer toutes les mises à jour en attente, activer l’authentification à deux facteurs sur les comptes admin, vérifier qu’une sauvegarde récente et fonctionnelle existe. - **Ce mois-ci** : installer et configurer un pare-feu applicatif (WAF), passer en revue les utilisateurs et supprimer les comptes inutiles, forcer le HTTPS partout. - **En continu** : tenir la routine (hebdomadaire, mensuelle, trimestrielle), avec le test de restauration chaque trimestre. Si la maintenance sécurité déborde vos ressources internes — et c’est le cas pour beaucoup de PME —, une agence peut la prendre en charge pour vous, en continu. Vous gardez un site sain, rapide et bien référencé, sans y penser. Pour aller plus loin, consultez notre [guide complet de la maintenance WordPress](/blogue/maintenance-wordpress-guide-complet). ## Questions fréquentes ### WordPress est-il un CMS sécuritaire ? Oui, le cœur de WordPress est solide et activement maintenu. La plupart des piratages viennent d'extensions obsolètes, de thèmes non maintenus ou de mots de passe faibles, pas du logiciel lui-même. ### Ai-je vraiment besoin d'une extension de sécurité ? Une bonne extension de sécurité (pare-feu, scan, limitation des connexions) est fortement recommandée pour une PME, sauf si votre hébergeur fournit déjà une protection équivalente au niveau serveur. Dans tous les cas, n'en installez qu'une seule pour éviter les conflits. ### À quelle fréquence dois-je vérifier la sécurité de mon site ? Vérifiez les mises à jour et les sauvegardes chaque semaine, faites un scan de logiciels malveillants chaque mois, et réalisez une vérification technique complète chaque trimestre, en incluant un test de restauration. ### Une sauvegarde suffit-elle à protéger mon site ? Non. La sauvegarde permet de récupérer après un incident, mais ne l'empêche pas. Elle doit s'accompagner de mises à jour, d'un pare-feu et de bons mots de passe pour être réellement utile. ### Combien coûte la sécurisation d'un site WordPress ? On peut sécuriser l'essentiel gratuitement avec des extensions et de bonnes pratiques. Les coûts apparaissent surtout avec les services gérés ou les outils premium, selon l'ampleur du site et le niveau de service souhaité.