Sécuriser son site WordPress : les bases que toute PME doit appliquer.

WordPress est le système qui fait tourner une part immense du web mondial, des blogs personnels aux sites de grandes entreprises. Cette popularité est sa force — souplesse, écosystème riche, communauté active — mais aussi son talon d'Achille : parce qu'il est partout, il est la cible favorite des pirates. Un dirigeant de PME me dit souvent « qui voudrait pirater mon petit site ? ». La réponse est : personne en particulier, et c'est justement le problème. La plupart des attaques ne visent personne ; ce sont des robots qui scannent le web à la recherche de failles connues, et qui frappent tout ce qui n'est pas protégé, du site vitrine de l'artisan au blog associatif.

La bonne nouvelle, c'est que sécuriser un site WordPress ne demande pas d'être développeur. L'essentiel de la protection repose sur une poignée de gestes simples et réguliers : mettre à jour, utiliser des mots de passe solides, sauvegarder, choisir un bon hébergeur. Dans ce guide, je vous explique chacun de ces réflexes en langage clair, pourquoi ils comptent, et comment les mettre en place. À la fin, vous aurez une checklist en dix points applicable dès aujourd'hui, et vous saurez quoi faire si le pire arrive.

Pourquoi WordPress est une cible

Commençons par tordre le cou à une idée reçue : WordPress n'est pas un logiciel peu sûr. Son cœur, développé et audité par une large communauté, est solide et corrigé rapidement quand une faille est découverte. Si WordPress est autant attaqué, c'est d'abord une question de volume : parce qu'il équipe une part énorme des sites, un pirate qui trouve une faille exploitable peut la réutiliser sur des milliers de cibles d'un coup. C'est un calcul de rentabilité, pas un jugement sur la qualité du logiciel.

Là où les problèmes surgissent, c'est dans l'écosystème autour du cœur : les extensions et les thèmes. WordPress doit une grande partie de sa puissance aux dizaines de milliers d'extensions disponibles, mais chacune est un morceau de code tiers dont la sécurité dépend de son auteur. Une extension mal codée, abandonnée par son développeur ou non mise à jour devient une porte d'entrée. La plupart des piratages de sites WordPress passent par là : une extension vulnérable, un thème obsolète, un accès mal protégé.

Ce constat est en réalité rassurant, car il signifie que vous avez la main sur l'essentiel de votre sécurité. Les failles ne sont pas une fatalité mystérieuse : ce sont des portes que vous pouvez fermer avec des gestes précis. Comprendre d'où vient le risque, c'est déjà savoir où porter ses efforts. Et ce socle de sécurité fait partie de ce qui distingue un site professionnel bien tenu d'un site laissé à l'abandon, au même titre que la performance et la vitesse de chargement.

Les mises à jour : la base de la base

S'il ne fallait retenir qu'une seule mesure de tout cet article, ce serait celle-ci. La grande majorité des piratages exploite des failles déjà connues et déjà corrigées, mais présentes dans des versions obsolètes. Autrement dit : le correctif existait, il suffisait de l'installer. Ne pas mettre à jour, c'est laisser une porte ouverte dont tout le monde connaît l'existence.

Trois choses doivent rester à jour en permanence : le cœur de WordPress, les extensions et le thème. Chacun peut contenir une faille corrigée dans une version récente. Quand une mise à jour de sécurité est publiée, la faille qu'elle corrige devient publique — et donc exploitable par les robots sur tous les sites qui n'ont pas encore appliqué le correctif. La fenêtre entre la publication du correctif et son installation est le moment de danger maximal.

En pratique, voici la bonne hygiène : activez les mises à jour automatiques au moins pour les correctifs de sécurité du cœur, vérifiez régulièrement les extensions et thèmes à mettre à jour, et surtout supprimez ce que vous n'utilisez pas. Une extension désactivée mais toujours installée reste une faille potentielle : si vous ne vous en servez plus, désinstallez-la complètement. Moins vous avez de code tiers, plus votre surface d'attaque est réduite. Un point de vigilance : avant une grosse mise à jour, une sauvegarde récente permet de revenir en arrière en cas de souci de compatibilité.

La sécurité WordPress tient à 80 % dans une discipline ennuyeuse : mettre à jour, régulièrement, sans attendre. Ce n'est pas spectaculaire, mais c'est ce qui protège le mieux. Les piratages sophistiqués font les gros titres ; dans la vraie vie des PME, ce sont les mises à jour oubliées qui font les dégâts.

Mots de passe et double authentification

Le deuxième pilier de la sécurité, c'est le contrôle des accès. Un site parfaitement à jour reste vulnérable si son mot de passe administrateur est « admin123 » ou le nom de l'entreprise. Les robots testent en permanence des milliers de combinaisons courantes : c'est ce qu'on appelle une attaque par force brute.

Première règle : des mots de passe forts et uniques. Longs (une douzaine de caractères au minimum), mêlant majuscules, minuscules, chiffres et symboles, et différents pour chaque service. N'utilisez jamais le même mot de passe pour votre administration WordPress, votre hébergement et votre messagerie : si l'un fuite, les autres tombent. Un gestionnaire de mots de passe permet de générer et de retenir des mots de passe complexes sans effort de mémoire.

Deuxième règle, encore plus efficace : la double authentification (2FA). Elle ajoute une seconde étape à la connexion — un code temporaire généré par une application dédiée sur votre téléphone, en plus du mot de passe. Le bénéfice est énorme : même si un pirate obtient votre mot de passe, il ne peut pas se connecter sans ce second facteur qu'il n'a pas. Activer la 2FA sur les comptes administrateurs bloque l'immense majorité des tentatives d'intrusion automatisées. C'est quelques minutes de configuration pour un gain de sécurité considérable.

Troisième réflexe : évitez le nom d'utilisateur « admin ». C'est le premier identifiant que testent les robots. Créez un compte administrateur avec un nom d'utilisateur personnalisé et non devinable, et limitez le nombre de comptes ayant les droits d'administration au strict nécessaire.

Limiter les tentatives de connexion

Puisque les attaques par force brute reposent sur des essais répétés à grande vitesse, une parade simple consiste à limiter le nombre de tentatives de connexion autorisées. Après quelques échecs, l'adresse est temporairement bloquée. Le robot, incapable d'enchaîner ses milliers d'essais, abandonne.

Cette limitation se met en place facilement, souvent via une extension de sécurité ou directement au niveau de l'hébergement. Elle transforme une attaque par force brute — qui mise sur le volume — en impasse. C'est une mesure discrète mais redoutablement efficace contre les intrusions automatisées, qui représentent l'essentiel des tentatives contre un site de PME.

On peut aller plus loin en masquant ou protégeant la page de connexion (l'adresse d'accès à l'administration), pour la rendre moins facile à cibler. Sans être une protection absolue, cela réduit la surface exposée. Combinée aux mots de passe forts et à la 2FA, la limitation des tentatives referme la porte de connexion presque complètement.

Les sauvegardes automatiques

Toutes les mesures précédentes réduisent le risque, mais aucune sécurité n'est absolue. C'est pourquoi il faut un filet de sécurité ultime : la sauvegarde. Si le pire arrive — piratage, erreur de manipulation, mise à jour qui casse tout — une sauvegarde saine vous permet de tout remettre en état. Sans elle, un incident peut signifier la perte définitive de votre site.

Une bonne sauvegarde WordPress doit répondre à trois critères. Elle doit être complète : les fichiers et la base de données, car le contenu (articles, pages, réglages) vit dans la base. Elle doit être automatique : une sauvegarde qu'on doit penser à faire manuellement est une sauvegarde qu'on oublie. Et elle doit être stockée à distance, sur un espace distinct du serveur du site : si le serveur lui-même est compromis, une sauvegarde stockée au même endroit tombe avec lui.

La fréquence dépend de votre activité : hebdomadaire pour un site vitrine qui bouge peu, quotidienne pour un site souvent mis à jour ou une boutique en ligne. Enfin, un point que beaucoup négligent : testez vos sauvegardes de temps en temps. Une sauvegarde qu'on n'a jamais essayé de restaurer est une sauvegarde en laquelle on ne peut pas avoir confiance. Le jour de l'incident n'est pas le bon moment pour découvrir qu'elle était corrompue.

HTTPS, plugin de sécurité et hébergement

Trois éléments complètent le dispositif : le HTTPS, l'extension de sécurité et, surtout, l'hébergement.

Le HTTPS (le cadenas dans la barre d'adresse, rendu possible par un certificat SSL) chiffre les données échangées entre le visiteur et votre site, empêchant leur interception en clair. C'est indispensable — pour la confiance, pour le référencement, et c'est devenu un standard incontournable, comme nous l'expliquons dans notre article dédié à pourquoi le HTTPS est indispensable. Mais attention au malentendu : le HTTPS ne sécurise que le transport des données. Il ne protège ni contre les failles d'extensions, ni contre les mots de passe faibles. C'est une brique nécessaire, pas une protection globale.

Une extension de sécurité dédiée peut regrouper plusieurs protections : pare-feu applicatif, scan de fichiers, limitation des connexions, surveillance des modifications. Bien choisie et bien configurée, elle ajoute une couche utile. Mais elle ne dispense en rien des mises à jour et des mots de passe forts : c'est un renfort, pas un substitut aux gestes de base.

Enfin, le socle de tout : l'hébergement. Un hébergeur sérieux fait une grande partie du travail de sécurité pour vous : mises à jour de l'infrastructure, pare-feu au niveau serveur, sauvegardes, isolation des comptes, surveillance. À l'inverse, un hébergement bas de gamme peut être une source de vulnérabilités et de lenteurs. Le choix de l'hébergement est une décision structurante, que nous détaillons dans notre comparatif hébergement mutualisé, VPS ou dédié. Investir dans un bon hébergement, c'est investir dans la sécurité et la performance de fond.

Pour clarifier qui protège quoi, ce tableau récapitule les couches de sécurité, leur rôle et qui en a la charge. Il montre bien qu'aucune couche ne suffit seule : c'est leur addition qui protège.

La checklist sécurité en 10 points

Voici le récapitulatif actionnable à cocher pour votre site. Aucun de ces points ne demande de compétence de développeur.

• ☐ Cœur WordPress à jour : mises à jour de sécurité activées automatiquement.
• ☐ Extensions à jour et celles inutilisées désinstallées.
• ☐ Thème à jour et thèmes inutilisés supprimés.
• ☐ Mots de passe forts et uniques pour l'admin, l'hébergement et la base.
• ☐ Double authentification (2FA) activée sur les comptes administrateurs.
• ☐ Nom d'utilisateur « admin » évité et nombre d'admins limité.
• ☐ Tentatives de connexion limitées et page de connexion protégée.
• ☐ Sauvegardes automatiques complètes, stockées à distance, testées.
• ☐ HTTPS actif avec certificat SSL valide sur tout le site.
• ☐ Hébergement fiable avec pare-feu et surveillance au niveau serveur.

Que faire en cas de piratage

Malgré toutes les précautions, un incident peut survenir. Savoir réagir change tout. Voici la marche à suivre, dans l'ordre.

1. Ne paniquez pas et ne supprimez rien à la hâte. Une réaction précipitée peut détruire des indices utiles ou aggraver la situation. Gardez votre calme et procédez méthodiquement.

2. Mettez le site en maintenance pour couper l'accès public et limiter les dégâts (redirections malveillantes, contenu injecté vu par vos visiteurs).

3. Changez tous les mots de passe : administration WordPress, hébergement, base de données, comptes FTP. Le pirate a peut-être obtenu des accès qu'il faut invalider.

4. Contactez votre hébergeur. Un bon hébergeur peut aider à identifier l'origine de l'intrusion, voire disposer de sauvegardes et d'outils de nettoyage.

5. Restaurez une sauvegarde saine antérieure au piratage. C'est ici que vos sauvegardes régulières prennent toute leur valeur.

6. Mettez tout à jour (cœur, extensions, thèmes) pour combler la faille exploitée, sans quoi le pirate reviendra par la même porte.

7. En cas de doute, faites appel à un professionnel. Un nettoyage incomplet laisse souvent une porte dérobée invisible qui permet au pirate de revenir quelques jours plus tard. Si vous n'êtes pas certain d'avoir tout assaini, mieux vaut confier l'opération à quelqu'un dont c'est le métier.

Chez L'AR Communication à Pont-à-Mousson, la sécurité fait partie intégrante de nos prestations de création de site internet et de maintenance : hébergement fiable, mises à jour suivies, sauvegardes automatiques, HTTPS et surveillance. Confier l'entretien de son site, c'est s'assurer que ces gestes essentiels sont faits régulièrement, à votre place — pour que votre site reste un outil commercial fiable plutôt qu'une source d'inquiétude. Parce qu'en matière de sécurité web, mieux vaut prévenir tranquillement que réparer dans l'urgence.

Questions fréquentes

Pourquoi les sites WordPress sont-ils souvent ciblés ?

Parce que WordPress fait tourner une part très importante des sites web dans le monde : c'est mécaniquement la plateforme la plus attaquée, car un pirate qui trouve une faille peut la réutiliser sur des milliers de sites. Ce n'est pas que WordPress soit peu sûr en soi ; le cœur du logiciel est solide. Les vulnérabilités viennent presque toujours de l'écosystème : extensions et thèmes non mis à jour, mots de passe faibles, hébergement bas de gamme. La bonne nouvelle, c'est que ces failles se referment avec des gestes simples.

Quelle est la mesure de sécurité WordPress la plus importante ?

Les mises à jour. La grande majorité des piratages exploite des failles connues dans des versions obsolètes du cœur WordPress, des extensions ou des thèmes. Maintenir tout à jour ferme ces portes avant qu'un attaquant ne les utilise. C'est le geste le plus simple et le plus efficace. Idéalement, on active les mises à jour automatiques pour les correctifs de sécurité et on vérifie régulièrement les extensions, en supprimant celles qu'on n'utilise plus.

Faut-il vraiment activer la double authentification (2FA) ?

Oui, c'est l'une des protections les plus efficaces contre le piratage de compte. La double authentification ajoute une seconde étape à la connexion (un code temporaire depuis une application ou un SMS) en plus du mot de passe. Même si un pirate obtient votre mot de passe, il ne peut pas se connecter sans ce second facteur. Pour un site de PME, activer la 2FA sur les comptes administrateurs est une mesure rapide qui bloque l'immense majorité des tentatives d'intrusion automatisées.

À quelle fréquence sauvegarder son site WordPress ?

Cela dépend de la fréquence de mise à jour du contenu. Pour un site vitrine qui bouge peu, une sauvegarde hebdomadaire complète (fichiers + base de données) suffit. Pour un site mis à jour souvent ou un site e-commerce, une sauvegarde quotidienne est recommandée. L'essentiel : que les sauvegardes soient automatiques, stockées à un endroit distinct du serveur du site (pour survivre à un piratage du serveur), et testées de temps en temps pour vérifier qu'elles sont bien restaurables.

Un certificat SSL suffit-il à sécuriser un site WordPress ?

Non, le SSL (le HTTPS, le petit cadenas) ne sécurise qu'une chose : le transport des données entre le visiteur et le site, empêchant qu'elles soient interceptées en clair. C'est indispensable, mais cela ne protège ni contre les failles d'extensions, ni contre les mots de passe faibles, ni contre les intrusions. Le HTTPS est une brique nécessaire de la sécurité et de la confiance, pas une protection globale. Il doit s'accompagner des mises à jour, de mots de passe solides, de sauvegardes et d'un bon hébergement.

Que faire si mon site WordPress est piraté ?

D'abord, ne pas paniquer et ne rien supprimer précipitamment. Mettez le site en maintenance, changez tous les mots de passe (administration, hébergement, base de données), et contactez votre hébergeur qui peut aider à identifier l'origine. Restaurez ensuite une sauvegarde saine antérieure au piratage, puis mettez à jour l'intégralité du cœur, des extensions et des thèmes pour combler la faille exploitée. Si vous n'êtes pas à l'aise, faites appel à un professionnel : un nettoyage incomplet laisse souvent une porte dérobée qui permet au pirate de revenir.