WordPress alimente aujourd’hui plus de 43 % des sites web dans le monde, ce qui en fait la plateforme de gestion de contenu (CMS) la plus utilisée. Mais cette popularité fait aussi de WordPress une cible privilégiée pour les cyberattaques.
Failles dans les extensions, thèmes obsolètes, configurations faibles… Un WordPress mal protégé peut facilement devenir la porte d’entrée d’un attaquant. Heureusement, il existe des bonnes pratiques simples et efficaces pour réduire les risques.
Dans cet article, nous allons voir ensemble comment sécuriser un site WordPress, avec des conseils pratiques que vous pouvez appliquer dès aujourd’hui.
Vous pouvez trouver le contenu de cet article sous forme de vidéo sur ma chaîne YouTube :
Mettez à jour WordPress, ses extensions et ses thèmes
La règle d'or est de garder tout à jour.
Les développeurs corrigent souvent les failles de sécurité. Mais si vous ne mettez pas à jour, cela ne sert à rien.
Nos recommandations :
- Mettez à jour WordPress, mais aussi tous vos plugins et thèmes.
- Évitez les plugins/thèmes piratés : ils peuvent contenir du code malveillant.
- Choisissez des extensions populaires, bien notées et maintenues régulièrement.
- Si vous payez une licence annuelle, assurez-vous de la renouveler pour continuer à bénéficier des mises à jour.
Développeur ? Respectez les bonnes pratiques de sécurité de WordPress : Documentation officielle WordPress sécurité
Installez un plugin de sécurité
Un plugin de sécurité pour WordPress remplit plusieurs fonctions essentielles pour protéger votre site.
Il permet notamment de détecter les failles de sécurité présentes dans votre installation ou dans les extensions que vous utilisez. Il peut également surveiller les tentatives d’intrusion et alerter en cas de comportement suspect.
En complément, il bloque automatiquement certaines attaques connues, ajoute un pare-feu (ou firewall) pour filtrer les requêtes malveillantes, et permet de renforcer l’accès à l’administration grâce à l’activation d’une double authentification.
Plugins recommandés :
- Wordfence Security (gratuit + version premium)
- Sucuri Security
Par exemple, avec Wordfence, vous pouvez :
- Recevoir des alertes sur les failles connues,
- Activer un pare-feu,
- Scanner régulièrement votre site,
- Consulter les logs,
- Sécuriser votre accès admin avec un second facteur (2FA).
N’oubliez pas de créer un compte sur le site Wordfence pour activer le plugin.
Activez le HTTPS avec un certificat TLS
Le protocole HTTPS permet de chiffrer les échanges entre votre site et ses visiteurs, ce qui est devenu indispensable aujourd’hui.
Il protège les données qui transitent sur le réseau, comme les identifiants ou les informations personnelles, en les rendant illisibles pour un tiers.
En plus de cet aspect sécurité, le HTTPS contribue à améliorer le référencement naturel de votre site, puisque les moteurs de recherche comme Google privilégient les sites sécurisés dans leurs résultats.
Enfin, il renforce la confiance des utilisateurs, qui voient apparaître un cadenas dans la barre d’adresse du navigateur, signe que la connexion est sécurisée.
Comment faire :
- Activez un certificat SSL/TLS via votre hébergeur (certains le proposent gratuitement avec Let’s Encrypt).
- Dans WordPress : allez dans Réglages > Général et remplacez les URL par "https://".
Plus d’infos ici : HTTPS pour WordPress
Désactivez XML-RPC si vous ne l’utilisez pas
Le protocole XML-RPC permet d’interagir avec WordPress à distance (notamment via l’application mobile). Il est rarement utilisé, mais souvent exploité dans des attaques.
Pour le désactiver facilement :
- Installez le plugin Disable XML-RPC
- Activez-le, puis désactivez toutes les méthodes si vous n’en avez pas besoin.
Moins de surface d’attaque = plus de sécurité.
Protégez vos comptes utilisateurs
L’accès à l’administration est souvent le point faible. Voici comment le renforcer :
- Mot de passe fort et unique pour chaque compte
- Utilisez un gestionnaire de mots de passe (Bitwarden, 1Password…)
- Activez la double authentification (2FA)
- Ne partagez jamais votre compte admin : créez des comptes dédiés avec des droits adaptés
En cas de fuite ou de comportement malveillant, vous pourrez facilement révoquer un accès sans compromettre tout le site.
Sauvegardez régulièrement votre site
Même bien protégé, aucun site n’est invulnérable. Une bonne stratégie de sauvegarde est donc essentielle.
Plugins de sauvegarde conseillés :
- BackWPup
- VaultPress (par Automattic)
Avec BackWPup, vous pouvez :
- planifier des sauvegardes régulières,
- sauvegarder fichiers + base de données,
- envoyer les backups vers un stockage externe (FTP, Dropbox…).
Astuce : ne stockez jamais vos sauvegardes sur le même serveur que votre site.
Analysez la sécurité de votre site
Pour aller plus loin, vous pouvez utiliser des outils d’analyse comme WPScan pour détecter les vulnérabilités connues de votre installation WordPress.
WPScan est gratuit pour un usage de base et permet d’avoir :
- une cartographie des plugins/thèmes installés,
- des alertes sur les versions vulnérables,
- des suggestions de correctifs.
Vous pouvez allez consulter ma vidéo sur le sujet pour en savoir plus : Comment exploiter les failles WordPress avec WPScan ainsi que l'article que je lui ai consacré :
- Youtube - Comment exploiter les failles WordPress avec WPScan
- Article - WPScan : scanner de vulnérabilités WordPress
En résumé
Sécuriser WordPress n’est pas une action unique mais un processus continu. En appliquant ces bonnes pratiques, vous réduisez considérablement les risques.
À retenir :
- Mettez tout à jour
- Utilisez un plugin de sécurité
- Activez HTTPS
- Désactivez XML-RPC
- Protégez vos comptes
- Sauvegardez régulièrement
- Analysez votre site
Besoin d’un audit de sécurité WordPress personnalisé ? Contactez Secureaks pour un accompagnement sur mesure
FAQ : Sécuriser un site WordPress
WordPress est-il sécurisé par défaut ?
Il est conçu pour l’être, mais il nécessite des mises à jour régulières et une bonne configuration.
Faut-il absolument un plugin de sécurité ?
Pas forcément, mais cela facilite grandement la surveillance et la protection de base.
Puis-je sécuriser WordPress sans plugin ?
Oui, mais cela demande des connaissances techniques. Voici une ressource utile : Sécuriser WordPress sans plugin
Comment savoir si mon site WordPress a été piraté ?
Des symptômes comme des redirections, des publicités douteuses ou des performances anormales peuvent l’indiquer. Un scan via Wordfence ou WPScan peut vous aider à en avoir le cœur net.
