Sécuriser son site WordPress : la checklist complète

Pourquoi la sécurité WordPress n’est pas optionnelle

La plupart des attaques WordPress ne ciblent personne en particulier : des robots scannent le web en permanence, 24 heures sur 24, à la recherche de failles connues, et s’engouffrent dans la première porte laissée ouverte. Votre site n’a pas besoin d’être important ou populaire pour être visé.

Pour comprendre où agir, il faut distinguer les trois grandes sources de risque.

• Le cœur WordPress obsolète. Le logiciel lui-même est solide, mais chaque version corrige des failles. Un cœur qui n’est pas à jour expose des vulnérabilités déjà publiques, donc déjà exploitées par les bots.
• Les extensions et les thèmes vulnérables. C’est la cause la plus fréquente de piratage. Une extension abandonnée par son développeur, ou simplement non mise à jour, devient une porte d’entrée. Plus vous accumulez d’extensions, plus votre surface d’attaque grandit.
• Les comptes utilisateurs mal protégés. Un mot de passe faible, un identifiant « admin » évident, l’absence de double authentification : ce sont des invitations pour les attaques par force brute.

Pour une PME, les conséquences d’un piratage sont très concrètes :

• Site défiguré ou remplacé par une page pirate, ce qui abîme immédiatement votre image.
• Redirections malveillantes qui envoient vos visiteurs vers des sites frauduleux.
• Perte de référencement : Google détecte les sites compromis et peut les inscrire sur liste noire (« blacklister »), ce qui les fait disparaître des résultats de recherche et affiche un avertissement rouge aux visiteurs.
• Vol de données clients (coordonnées, formulaires, comptes), avec les obligations légales que cela implique.
• Coûts de nettoyage : intervention d’urgence, restauration, perte de revenus pendant l’indisponibilité.

C’est ici que sécurité et visibilité se rejoignent. Un site blacklisté ou ralenti après un piratage perd sa visibilité dans Google, mais aussi sa lisibilité par les intelligences artificielles qui répondent aux questions de vos clients. Protéger votre site, c’est protéger votre référencement.

La checklist de sécurité WordPress (12 points essentiels)

Voici les actions à mettre en place, classées de la plus prioritaire à la plus avancée : les cinq premières couvrent l’essentiel du risque, les suivantes réduisent la surface d’attaque restante.

1. Mettre à jour le cœur, les thèmes et les extensions — la mesure la plus rentable et la plus négligée. La majorité des failles exploitées sont déjà corrigées : activez les mises à jour automatiques pour les correctifs de sécurité et vérifiez le reste chaque semaine.
2. Utiliser des mots de passe forts et un gestionnaire — des mots de passe longs, uniques et générés aléatoirement, stockés dans un gestionnaire. Un mot de passe réutilisé sur plusieurs services est une faille en soi.
3. Activer l’authentification à deux facteurs (2FA) — même si un mot de passe est deviné ou volé, la double authentification bloque l’accès. À activer en priorité pour tous les comptes administrateurs.
4. Limiter les tentatives de connexion et masquer /wp-admin — restreignez le nombre d’essais pour couper court aux attaques par force brute, et changez l’adresse de la page de connexion pour la rendre moins évidente aux bots.
5. Installer un pare-feu applicatif (WAF) — il filtre le trafic malveillant avant qu’il n’atteigne votre site et neutralise la plus grande part des attaques automatisées.
6. Forcer le certificat SSL / HTTPS — le HTTPS chiffre les échanges entre le visiteur et votre site. C’est un standard exigé par les navigateurs et pris en compte par Google ; forcez la redirection de tout le trafic vers HTTPS.
7. Configurer des sauvegardes automatiques hors site — régulières, automatiques et stockées ailleurs que sur votre serveur. C’est votre filet de sécurité : la seule garantie de tout remettre en état après un incident.
8. Gérer les rôles et supprimer les comptes inutiles — attribuez à chaque personne le rôle minimal dont elle a besoin (moindre privilège) et supprimez les comptes d’anciens collaborateurs ou prestataires.
9. Retirer les thèmes et extensions inactifs — un thème ou une extension désactivé reste installé sur le serveur et peut contenir une faille. Ce qui ne sert pas doit être supprimé, pas seulement désactivé.
10. Protéger les fichiers sensibles — sécurisez wp-config.php, désactivez xmlrpc.php s’il n’est pas utilisé (vecteur fréquent d’attaques) et désactivez l’éditeur de fichiers intégré à l’administration.
11. Surveiller et scanner les logiciels malveillants — un scan régulier détecte les fichiers infectés et les modifications suspectes avant qu’elles ne fassent des dégâts.
12. Choisir un hébergement de qualité — un bon hébergeur applique déjà une part importante de la sécurité au niveau du serveur : pare-feu, isolation des sites, sauvegardes. L’économie sur l’hébergement se paie souvent en incidents.

Gratuit ou payant : quels outils de sécurité choisir

La plupart des PME couvrent leurs besoins avec une bonne extension de sécurité et des sauvegardes fiables, sans forcément payer : le nerf de la guerre n’est pas le budget, c’est la configuration et la régularité.

Un hébergeur sérieux prend déjà en charge une partie du travail : pare-feu au niveau du serveur, isolation entre les sites hébergés (pour qu’un site compromis n’en contamine pas d’autres) et sauvegardes automatiques. Vérifiez ce qui est inclus avant de tout dédoubler. Restent à votre charge, même avec un bon hébergeur : les mises à jour de vos extensions et thèmes, la gestion des comptes utilisateurs, l’authentification à deux facteurs, et la vérification que tout fonctionne réellement.

La vérification technique WordPress : le contrôle trimestriel

Une vérification technique régulière confirme que les protections tiennent et détecte les dérives avant qu’elles deviennent des incidents. Installer des protections, c’est bien ; vérifier qu’elles sont toujours actives, c’est ce qui fait la différence entre un site sécurisé et un site qu’on croyait sécurisé.

La sécurité se dégrade avec le temps sans qu’on s’en aperçoive : une extension cesse d’être maintenue, une sauvegarde échoue en silence, un compte de prestataire reste actif. Une routine datée évite ces angles morts. C’est le cœur d’une bonne démarche pour maintenir et sécuriser votre site WordPress. Pour replacer la sécurité dans l’ensemble de l’entretien, voyez notre guide de la maintenance et de la sécurité WordPress.

• Chaque semaine : appliquer les mises à jour disponibles, vérifier que les sauvegardes se sont bien exécutées.
• Chaque mois : lancer un scan de logiciels malveillants, passer en revue la liste des utilisateurs et leurs rôles.
• Chaque trimestre : audit complet, test de restauration d’une sauvegarde, revue de toutes les extensions (utilité, mise à jour, maintenance active).

La sauvegarde qu’on n’a jamais testée n’existe pas. C’est le point le plus souvent négligé et le plus dangereux : beaucoup de PME découvrent le jour de l’incident que leurs sauvegardes étaient corrompues, incomplètes ou impossibles à restaurer. Testez au moins une fois par trimestre une restauration réelle sur un environnement de test. Une sauvegarde n’a de valeur que le jour où elle vous remet en ligne.

Que faire si votre site est déjà piraté

Si votre site est compromis, agissez vite : isolez le site, restaurez une sauvegarde saine et identifiez la faille avant de remettre en ligne. Remettre le site en ligne sans avoir compris le point d’entrée garantit une nouvelle infection.

Les étapes, dans l’ordre :

1. Mettre le site en mode maintenance pour couper l’accès aux visiteurs et limiter les dégâts (redirections, vol de données, propagation).
2. Changer tous les mots de passe : administrateurs, base de données, FTP/SFTP, hébergeur. On part du principe que tout est compromis.
3. Scanner le site pour localiser les fichiers infectés et les modifications suspectes.
4. Restaurer une sauvegarde antérieure à l’infection. D’où l’importance capitale de sauvegardes régulières et datées.
5. Tout mettre à jour : cœur, thèmes, extensions, avant toute remise en ligne.
6. Identifier le vecteur d’entrée (extension vulnérable, compte compromis, faille serveur). Sans cela, l’infection reviendra.
7. Demander à Google un réexamen si le site a été inscrit sur liste noire, une fois qu’il est propre et sécurisé, pour lever l’avertissement et récupérer votre visibilité.

Pour un diagnostic plus large des symptômes (site lent, erreurs, écran blanc), consultez notre guide de dépannage d’un site WordPress qui plante.

Mini étude de cas

Imaginons une PME manufacturière de la Rive-Sud dont les extensions n’avaient pas été mises à jour depuis un an et demi.

Le site fonctionnait en apparence, mais des robots exploitaient une faille dans une extension abandonnée pour injecter du contenu indésirable (spam de liens vers des sites frauduleux). Résultat : Google avait fini par inscrire le site sur liste noire, et l’entreprise voyait son trafic organique s’effondrer sans comprendre pourquoi.

L’intervention a consisté à appliquer la checklist complète — nettoyage des injections, mise à jour du cœur et des extensions, suppression des extensions non maintenues, installation d’un pare-feu applicatif, activation de la double authentification et mise en place de sauvegardes hors site — puis à instaurer une routine de vérification technique trimestrielle.

Le résultat, qualitatif : fin des injections de spam, site retiré de la liste noire de Google après réexamen, et une routine qui a évité toute rechute.

L’angle à retenir : la sécurité n’est pas un correctif ponctuel, c’est un processus continu. Nettoyer une fois ne sert à rien si personne ne maintient le site ensuite.

Par où commencer

Commencez par les cinq gestes prioritaires cette semaine, puis instaurez la routine de vérification. Vous n’avez pas besoin de tout faire d’un coup : la sécurité progresse par étapes, et les premières comptent le plus.

• Aujourd’hui : appliquer toutes les mises à jour en attente, activer l’authentification à deux facteurs sur les comptes admin, vérifier qu’une sauvegarde récente et fonctionnelle existe.
• Ce mois-ci : installer et configurer un pare-feu applicatif (WAF), passer en revue les utilisateurs et supprimer les comptes inutiles, forcer le HTTPS partout.
• En continu : tenir la routine (hebdomadaire, mensuelle, trimestrielle), avec le test de restauration chaque trimestre.

Si la maintenance sécurité déborde vos ressources internes — et c’est le cas pour beaucoup de PME —, une agence peut la prendre en charge pour vous, en continu. Vous gardez un site sain, rapide et bien référencé, sans y penser. Pour aller plus loin, consultez notre guide complet de la maintenance WordPress.