Ce guide pratique présente des actions concrètes pour sécuriser efficacement un site WordPress. Il s’adresse aux responsables techniques, indépendants et dirigeants de petites structures.
Pourquoi sécuriser un site WordPress : vulnérabilités réelles et causes
En 2026, WordPress propulse plus de 43 % du web, d’où son attractivité pour les attaquants. Les recherches de sécurité montrent que la majorité des failles proviennent des plugins et thèmes, pas du cœur.
Exemple concret : l’agence fictive « AtelierClavier » a perdu deux jours d’activité après qu’un plugin abandonné ait exposé des comptes administrateurs. Cette histoire illustre la nécessité d’un audit régulier.
Insight : la sécurité commence par l’inventaire et l’élimination des éléments inutiles.
Maintenir WordPress, thèmes et plugins à jour pour réduire la surface d’attaque
Le laps de temps entre la divulgation d’une vulnérabilité et son exploitation se compte en heures. Activez les mises à jour automatiques pour les versions mineures du cœur et planifiez des revues hebdomadaires pour les extensions.
Avant d’installer un plugin, vérifiez la date de dernière mise à jour, le nombre d’installations actives et les fils de support. N’installez jamais de plugins piratés.
- 🔍 Vérifiez la dernière mise à jour (>12 mois évitez)
- 📦 Favorisez les extensions du dépôt WordPress.org
- Supprimez les plugins inactifs, ne les laissez pas désactivés
- 🧾 Consignez les versions et dates de mise à jour dans un registre
Insight : maintenir un parc réduit et documenté diminue fortement le risque opérationnel.
Authentification forte pour l’administration WordPress : mots de passe, 2FA et passkeys
| Type de site | Fréquence recommandée | Complexité de restauration |
|---|---|---|
| Blog statique | Hebdomadaire | Faible |
| E-commerce | Quotidienne ou horaire | Moyenne à élevée |
| Site institutionnel | Quotidienne | Moyenne |
La meilleure défense contre les accès non autorisés reste une authentification robuste. Imposer des mots de passe uniques et utiliser un gestionnaire de mots de passe réduit le risque de réutilisation.
Recommandations pratiques : activez la 2FA TOTP pour tous les administrateurs. Envisagez les passkeys/WebAuthn quand le stack le permet. Préférez les Application Passwords pour l’API REST.
Exemple : AtelierClavier a réduit de 90 % les tentatives de connexion réussies après l’activation systématique du TOTP pour ses éditeurs.
Insight : une seconde couche d’authentification arrête la plupart des attaques automatisées.
Protections serveur et configuration : wp-config, permissions et HTTPS
Certaines protections se gèrent au niveau serveur et limitent l’impact d’un compte compromis. Par exemple, désactivez l’éditeur de fichiers via wp-config.php :
define( ‘DISALLOW_FILE_EDIT’, true );
Autres points : protégez wp-config.php, imposez des permissions 755 pour les répertoires et 644 pour les fichiers, et employez SFTP/SSH plutôt que FTP simple. Exigez HTTPS et redirections HTTP vers HTTPS.
Insight : une configuration serveur stricte réduit la probabilité d’exécution de code arbitraire.
Pare-feu applicatif (WAF) et limitation de débit pour protéger WordPress
Un WAF bloque le trafic malveillant avant qu’il n’atteigne WordPress. Il existe trois niveaux d’implémentation : CDN/proxy, serveur (ModSecurity) et plugin applicatif.
La limitation de débit protège contre les attaques par force brute sur wp-login.php. Attention au XML-RPC : ne le désactivez que si vous savez qu’aucune intégration n’en dépend.
- ☁️ CDN/proxy : Cloudflare pour WAF et protection DDoS
- 🖥️ Serveur : ModSecurity + règles personnalisées
- 🔌 Plugin : Wordfence ou Sucuri pour visibilité applicative
Insight : combiner WAF réseau et règles serveur crée des couches défensives complémentaires.
Sauvegardes fiables et restauration testée — appliquer la règle 3-2-1
Une sauvegarde non testée n’a pas de valeur opérationnelle. Automatisez les exports de fichiers et bases, et vérifiez périodiquement une restauration complète.
Appliquez la règle 3-2-1 : trois copies, deux types de stockage, une hors site. Ajustez la fréquence selon l’activité éditoriale.
| Type de site 🔖 | Fréquence recommandée ⏱️ | Complexité de restauration ⚙️ |
|---|---|---|
| Blog statique 📝 | Hebdomadaire 📅 | Faible ✅ |
| E-commerce 🛒 | Quotidienne ou horaire 🔁 | Moyenne à élevée ⚠️ |
| Site institutionnel 🏛️ | Quotidienne 📅 | Moyenne ⚙️ |
Insight : tester une restauration sous contrainte chronométrée révèle les points faibles du plan de reprise.
Checklist opérationnelle pour sécuriser un site WordPress
Cette liste permet d’agir rapidement et de structurer la maintenance. Elle reprend les mesures essentielles à appliquer sans délai.
- ✅ Cœur, plugins et thèmes à jour 🔄
- 🗑️ Extensions inutilisées supprimées 🚮
- 🔒 Mots de passe forts et uniques 🔐
- 🔑 2FA activée pour tous les administrateurs 📲
- ⚙️ DISALLOW_FILE_EDIT défini dans wp-config.php
- 📁 Permissions 755/644 appliquées 🧰
- 🔐 HTTPS imposé 🔁
- 🛡️ WAF et limitation de débit activés 🚫
- 💾 Sauvegardes automatisées testées ✔️
- 👥 Rôles utilisateurs au principe du moindre privilège 👤
Insight : la discipline de maintenance régulière dépasse les mesures ponctuelles en efficacité.
On dit tout, même ce qui dérange
Est-ce que je dois vraiment mettre à jour mes plugins toutes les semaines ?
Vérifie au moins la date de dernière mise à jour avant d'installer. Pour les extensions actives, un passage hebdomadaire reste le plus sûr. Les failles s'exploitent en quelques heures.
Faut-il activer la 2FA pour tous les comptes, pas seulement les admins ?
Les comptes éditeurs sont aussi une porte d'entrée. Active le TOTP au minimum pour tous ceux qui publient. L'exemple d'AtelierClavier montre 90 % de tentatives bloquées en plus.
Ça vaut le coup d'installer un WAF même sur un petit site ?
Un pare-feu en mode CDN type Cloudflare est simple à poser et gratuit à l'entrée. Il bloque déjà une bonne partie du trafic malveillant. Pour un site simple, ça suffit souvent.
Je sauvegarde mon site sur le même serveur, c'est bon ?
Non, la règle 3-2-1 veut une copie hors site. Garde trois copies, sur deux supports différents, dont un externe. Si le serveur saute, tu perds tout sinon.
Cela vous parle ? Partagez votre expérience ci-dessous
Laisser un commentaire
Gabin suit les outils web, l’IA et les signaux SEO depuis plus de dix ans. Il aime transformer la veille tech en conseils clairs, utiles et vérifiables.
3 commentaires
Merci pour ces conseils concrets. Je vais faire le tri dans mes extensions ce week-end, et noter les versions.
Bien vu pour le registre des versions. Un petit script de contrôle automatique et le risque chute vite.
Article pratique, ça donne envie de faire le tri dans mes plugins. La vérification des mises à jour, c’est le genre de réflexe à avoir.