La sécurité WordPress ne concerne pas seulement les grandes entreprises. Chaque site, même modeste, reste une cible pour les attaques automatisées. Et les conséquences d’un piratage dépassent largement le simple désagrément.
Chez Réparation Web, nous nettoyons régulièrement des sites piratés. Le constat revient toujours : dans 80 % des cas, des mesures de base auraient évité l’attaque. C’est pourquoi nous avons réuni ici dix mesures concrètes. Vous pouvez en appliquer la plupart vous-même, en une après-midi.
Pourquoi la sécurité WordPress concerne tout le monde
WordPress fait tourner 43 % des sites web dans le monde. C’est précisément pour cela qu’il attire les pirates. Le logiciel n’est pas mauvais. Cependant, un outil aussi répandu attire forcément les attaques de masse.
De plus, les attaques sont rarement manuelles. Des réseaux de robots scannent chaque jour des millions de sites. Ils cherchent des versions obsolètes, des extensions vulnérables et des mots de passe faibles. Selon Sucuri Security, 96,2 % des sites WordPress infectés analysés en 2025 utilisaient des composants obsolètes. La mise à jour reste donc la mesure numéro un.
Sécurité WordPress : les 10 mesures indispensables
Ces dix mesures se complètent. Aucune ne suffit seule. Ensemble, en revanche, elles ferment la grande majorité des portes d’entrée utilisées par les pirates.
1. Mettre à jour WordPress, base de toute sécurité
Les mises à jour de sécurité corrigent des failles connues. Ne pas les appliquer revient donc à laisser une porte ouverte dont les pirates connaissent l’adresse. Suivez les annonces officielles de WordPress.org pour ne rien manquer.
2. Changer l’adresse de connexion
Par défaut, la page de connexion se trouve sur /wp-admin. Changez-la, par exemple avec l’extension WPS Hide Login. Cette seule mesure réduit de 99 % les tentatives de connexion automatisées.
3. Choisir des mots de passe forts et uniques
D’abord, le compte administrateur mérite au moins douze caractères, avec majuscules, minuscules, chiffres et symboles. Ensuite, il doit rester unique. Enfin, stockez-le dans un gestionnaire comme Bitwarden.
4. Activer la double authentification
Même si un pirate vole votre mot de passe, la double authentification bloque la connexion sans votre téléphone. Par exemple, des extensions comme WP 2FA la mettent en place en quelques minutes.
5. Installer une extension de sécurité WordPress
Wordfence ou iThemes Security scannent votre site régulièrement. Ils bloquent aussi les adresses IP malveillantes et vous alertent en cas de comportement suspect.
6. Limiter les tentatives de connexion
Sans limite, un robot peut tester des milliers de mots de passe par heure. Une extension comme Limit Login Attempts Reloaded bloque donc une adresse IP après plusieurs échecs. Si vous êtes déjà bloqué, consultez notre guide sur l’accès au tableau de bord perdu.
7. Désactiver l’éditeur de fichiers
Un pirate qui prend la main sur votre administration peut injecter du code par l’éditeur de fichiers. Désactivez donc cette fonction en ajoutant la constante DISALLOW_FILE_EDIT dans wp-config.php.
8. Régler les permissions des fichiers
D’abord, les dossiers doivent être en 755 et les fichiers en 644. Quant au fichier wp-config.php, réglez-le en 440 ou 400. Ainsi, seul le propriétaire peut le lire.
9. Installer un certificat SSL et forcer HTTPS
D’abord, le certificat SSL chiffre les échanges entre votre site et vos visiteurs. De plus, il compte pour le référencement. Surveillez par ailleurs sa date d’expiration, comme l’explique notre article sur le renouvellement du certificat SSL.
10. Sauvegarder régulièrement hors site
Une copie quotidienne, stockée à l’extérieur, reste votre dernière ligne de défense. En cas de piratage, vous restaurez le site en quelques minutes. Notre article sur la stratégie de copies 3-2-1 vous guide pas à pas.
Un audit de sécurité WordPress en pratique
Didier B. dirige une PME. Il a subi deux piratages en six mois sur le même site. À chaque fois, nous sommes donc intervenus pour nettoyer. Après le deuxième incident, il a choisi une démarche préventive. « Rapide, efficace, à l’écoute de mes besoins », résume-t-il.
Notre audit complet a identifié 14 vulnérabilités. Nous les avons toutes corrigées en une intervention de trois heures. Depuis, son site n’a connu aucun incident en dix mois.
Trois tendances de la sécurité WordPress
En effet, les menaces évoluent sans cesse. Voici trois évolutions à suivre pour garder une longueur d’avance.
Les extensions WooCommerce attirent les attaques
WooCommerce équipe désormais 25 % des boutiques en ligne dans le monde. Les pirates visent donc en priorité les extensions de paiement. Si vous vendez en ligne, l’audit devient ainsi une priorité.
Les certificats EV reviennent en grâce
Les certificats EV affichent le nom de votre entreprise dans les détails du certificat. Ils regagnent en popularité sur les sites marchands, car ils renforcent la confiance des acheteurs.
Le pare-feu applicatif devient un standard
En 2026, les assureurs cyber jugent souvent négligent un site sans pare-feu applicatif. Cloudflare et Sucuri proposent pourtant des solutions accessibles à tous les sites.
Faire auditer la sécurité WordPress de votre site
Nous repérons les composants obsolètes, les réglages dangereux, les comptes suspects et les mauvaises permissions. Ensuite, nous vous remettons un rapport clair avec les priorités. Le diagnostic est offert, puis l’intervention coûte 66 € TTC de l’heure. Votre site est déjà touché ? Lisez d’abord notre article sur le site WordPress piraté.
Prêt à protéger votre site ? Contactez notre équipe : nous vous répondons en 1 h.
