Sécuriser son site WordPress ne repose pas sur une mesure unique. Les tentatives d’intrusion sont largement automatisées et concernent aussi bien les sites très visibles que les projets plus modestes. La meilleure protection associe des comptes bien protégés, des composants maintenus, une infrastructure sécurisée, une surveillance des vulnérabilités et des sauvegardes réellement restaurables.
Note d’actualisation — août 2026 : cet article a été revu afin d’intégrer les pratiques actuelles de sécurité WordPress, notamment l’authentification multifacteur, la surveillance des vulnérabilités, le durcissement de la configuration, la protection au niveau de l’infrastructure et les procédures de restauration après compromission. Le retour d’expérience historique lié à Social Warfare est volontairement conservé.
L’objectif n’est pas de promettre une sécurité absolue, mais de réduire la surface d’attaque et de limiter les conséquences d’un incident. Cette logique de défense en profondeur guide également notre service de sécurité WordPress et, plus largement, notre maintenance WordPress.
Sommaire de l’article
Pourquoi les sites WordPress sont-ils attaqués ?
La popularité de WordPress en fait une cible fréquente, mais la majorité des attaques ne visent pas personnellement un site donné. Des robots parcourent en permanence le web à la recherche de comptes faibles, de composants vulnérables, d’installations mal configurées ou de points d’accès exposés.
Les attaques par force brute illustrent bien ce fonctionnement : des outils automatisés testent des identifiants et des mots de passe à grande échelle. Les fuites de données et la réutilisation de secrets facilitent aussi les tentatives de connexion. Un petit site WordPress reste donc concerné, même s’il dispose de peu de trafic.
Protéger les comptes et l’accès à WordPress
La première ligne de défense repose sur des mots de passe longs et uniques, idéalement générés et stockés dans un gestionnaire de mots de passe. Supprimez les comptes devenus inutiles et appliquez le principe du moindre privilège : chaque utilisateur reçoit uniquement les droits nécessaires à son activité.
L’authentification multifacteur renforce fortement les comptes sensibles, en particulier les administrateurs. Une application TOTP, une clé de sécurité ou un autre second facteur robuste réduit le risque qu’un mot de passe compromis suffise à ouvrir une session.
La limitation des tentatives, la surveillance des connexions et un pare-feu applicatif WordPress complètent cette protection. Modifier l’URL de connexion peut réduire une partie du bruit automatisé, mais cette mesure reste secondaire face à l’authentification forte et au contrôle des comptes.
Maintenir WordPress, les plugins et les thèmes à jour
Le cœur de WordPress, les plugins et les thèmes doivent rester maintenus et à jour. Une faille peut apparaître dans un composant parfaitement fonctionnel jusque-là ; le correctif réduit alors la fenêtre pendant laquelle cette vulnérabilité reste exploitable.
Supprimez les extensions et thèmes devenus inutiles plutôt que de les laisser simplement désactivés. Avant une évolution importante, un test sur staging aide à repérer les éventuels conflits entre plugins ou thèmes. Un correctif de sécurité critique mérite en revanche un traitement prioritaire. Notre article consacré aux mises à jour WordPress détaille cette organisation.
Surveiller les vulnérabilités des extensions
Une politique de mises à jour ne suffit pas à elle seule. Certaines vulnérabilités sont connues avant qu’un correctif soit disponible, tandis que d’autres concernent un composant abandonné. Une surveillance dédiée aide à identifier rapidement les extensions exposées et à décider s’il faut mettre à jour, désactiver, remplacer ou protéger temporairement le composant concerné.
Les bases de vulnérabilités WordPress, comme celle de Patchstack, permettent de suivre les failles publiées. Selon l’architecture, des règles WAF ou du virtual patching peuvent réduire l’exposition en attendant un correctif définitif.
Le cas Social Warfare chez Evolyon
J’ai moi-même été confronté à une tentative de compromission liée au plugin Social Warfare. Une vulnérabilité de l’extension provoquait notamment l’apparition de liens vers des sites frauduleux. Cet épisode reste un bon rappel : même un site suivi avec attention peut être exposé lorsqu’une faille jusque-là inconnue apparaît dans un composant tiers.
À l’époque, la désactivation puis la réactivation des extensions une à une m’avait aidé à identifier l’origine du problème. Cette méthode reste utile pour isoler un composant responsable, mais elle ne suffit pas à assainir un site réellement compromis : il faut ensuite vérifier l’intégrité globale de l’installation.
Renforcer la configuration technique de WordPress
Le durcissement de WordPress consiste à limiter les possibilités d’exploitation après une erreur de configuration ou la compromission d’un compte. Les accès aux fichiers doivent utiliser des protocoles sécurisés, les permissions d’écriture rester limitées au strict nécessaire et les fichiers sensibles de configuration être protégés.
L’éditeur de fichiers intégré à l’administration mérite également d’être désactivé lorsque l’organisation du site ne l’utilise pas. Après la compromission d’un compte administrateur, cet éditeur constitue sinon un moyen direct de modifier le code d’un thème ou d’une extension.
La documentation officielle de durcissement de WordPress détaille ces mesures. Elles complètent la sécurité des comptes et de l’infrastructure, sans remplacer les mises à jour ni la surveillance des vulnérabilités.
Choisir une infrastructure d’hébergement sécurisée
L’hébergement influence directement la capacité à contenir un incident. L’isolation entre les sites, la maintenance du serveur, le filtrage réseau, les sauvegardes et la supervision constituent des critères de sécurité aussi importants que les ressources ou le prix.
Un hébergement mutualisé n’est pas automatiquement vulnérable : tout dépend du cloisonnement et des protections mises en place. Pour les sites pris en charge par Evolyon, nous nous appuyons aujourd’hui sur Kinsta, dont l’infrastructure associe environnements isolés, sauvegardes, CDN Cloudflare et protections réseau. Notre guide sur le choix d’un hébergement WordPress détaille ces critères.
Filtrer les attaques avec un WAF et une protection DDoS
Un WAF filtre une partie des requêtes malveillantes avant qu’elles n’atteignent l’application. Placé au niveau du CDN, du réseau ou de l’hébergeur, il peut bloquer de nombreuses tentatives automatisées tout en évitant qu’elles sollicitent directement PHP et la base de données.
Les attaques DDoS doivent elles aussi être traitées en amont. Le rate limiting, le filtrage des bots et les protections réseau aident à absorber ou rejeter le trafic malveillant avant qu’il ne sature le serveur d’origine. Un plugin WordPress seul n’est pas conçu pour encaisser une attaque volumétrique.
WAF et mitigation DDoS restent des couches complémentaires : ils ne corrigent pas une extension vulnérable et ne remplacent ni les mises à jour, ni l’authentification forte, ni la surveillance.
Préparer des sauvegardes réellement restaurables
Une sauvegarde n’empêche pas une attaque, mais elle réduit fortement le temps de reprise après incident. Elle doit couvrir les fichiers et la base de données WordPress dans un état cohérent, avec une fréquence et une rétention adaptées au rythme de modification du site.
Conservez plusieurs points de restauration et, lorsque l’enjeu le justifie, une copie indépendante de l’environnement principal. Surtout, testez la restauration : une sauvegarde n’a de valeur opérationnelle que si elle permet réellement de remettre le site en service. Le guide Comment sauvegarder son site WordPress ? approfondit ce sujet.
Que faire si un site WordPress a été piraté ?
Lorsqu’une compromission est suspectée, l’objectif n’est plus seulement de supprimer le plugin ou le fichier visible à l’origine du problème. Une exploitation réussie peut avoir ajouté un compte, modifié des fichiers, injecté du contenu ou laissé un accès persistant.
- Isoler le site afin de limiter les conséquences et, si nécessaire, activer un mode maintenance WordPress.
- Identifier la vulnérabilité ou le point d’entrée à partir des journaux, alertes de sécurité et modifications récentes.
- Contrôler les fichiers, la base de données et les comptes utilisateurs pour repérer les modifications inattendues.
- Corriger, supprimer ou remplacer le composant concerné, puis restaurer depuis un point sain lorsque l’intégrité ne peut pas être garantie.
- Renouveler les accès et secrets exposés, puis vérifier les rôles et comptes administrateurs.
- Tester et surveiller le site après remise en ligne afin de détecter rapidement toute récidive.
Lorsque l’intervention dépasse un simple correctif, notre service de nettoyage WordPress après piratage traite à la fois la cause de l’incident et les traces laissées sur le site.
Le risque zéro n’existe pas
Aucune mesure isolée ne garantit qu’un site WordPress ne sera jamais compromis. Une stratégie robuste repose sur plusieurs couches : comptes protégés, composants maintenus, surveillance des vulnérabilités, configuration durcie, infrastructure sécurisée, filtrage en amont et sauvegardes restaurables.
Le retour d’expérience Social Warfare le rappelle bien : la sécurité WordPress relève d’une surveillance continue et d’une capacité à réagir rapidement lorsqu’un comportement inhabituel apparaît. L’expérience humaine reste essentielle pour interpréter les alertes, arbitrer les correctifs et organiser une remise en service maîtrisée.
