WordPress permet de créer aussi bien un site vitrine qu’un blog ou une boutique en ligne. Sa popularité en fait cependant une cible intéressante pour les attaques automatisées, les tentatives de connexion frauduleuses et l’exploitation de vulnérabilités.
Un site compromis peut entraîner une indisponibilité, une modification de certaines pages, l’envoi de spam ou encore une atteinte aux données et à l’image de l’entreprise.
Heureusement, sécuriser un site WordPress ne nécessite pas forcément de mettre en place une infrastructure complexe. Une grande partie de la sécurité repose sur quelques bonnes pratiques : effectuer les mises à jour, utiliser des mots de passe robustes, limiter les extensions, réaliser des sauvegardes et surveiller régulièrement son site.
Voici 12 bonnes pratiques pour améliorer la sécurité de votre site WordPress.
Pourquoi faut-il sécuriser son site WordPress ?
On pourrait penser qu’un petit site vitrine intéresse peu les pirates informatiques.
En réalité, de nombreuses attaques sont automatisées. Des robots parcourent continuellement le Web à la recherche de sites présentant certaines vulnérabilités ou de comptes dont les identifiants peuvent être compromis.
Un site WordPress mal sécurisé peut notamment être exposé à :
- des tentatives de connexion automatisées ;
- l’exploitation d’une extension vulnérable ;
- l’injection de code malveillant ;
- la modification ou suppression de contenus ;
- la création de comptes administrateurs frauduleux ;
- des redirections vers des sites malveillants ;
- l’envoi de spam ;
- une indisponibilité du site.
La sécurité doit donc être prise en compte dès la création du site et faire ensuite partie de sa maintenance régulière.
1. Maintenir WordPress à jour
La première bonne pratique consiste à maintenir WordPress à jour.
WordPress évolue régulièrement afin d’apporter de nouvelles fonctionnalités, de corriger des bugs mais également de résoudre des problèmes de sécurité.
Cela concerne trois éléments principaux :
- le cœur de WordPress ;
- les extensions ;
- le thème.
Utiliser pendant plusieurs mois une ancienne version d’une extension peut devenir problématique lorsqu’une vulnérabilité connue a depuis été corrigée.
Il est donc important de vérifier régulièrement les mises à jour disponibles.
Attention cependant : effectuer une mise à jour peut parfois provoquer des incompatibilités.
Pour un site professionnel, il est préférable de disposer d’une sauvegarde récente avant une mise à jour importante et de vérifier le bon fonctionnement du site après celle-ci.
2. Utiliser des mots de passe robustes et uniques
Un mot de passe faible constitue une porte d’entrée potentielle vers l’administration de votre site.
Évitez les mots de passe simples ou prévisibles comme :
wordpress123
entreprise2026
admin1234
Privilégiez un mot de passe long, unique et difficile à deviner.
Surtout, n’utilisez pas le même mot de passe pour votre compte WordPress, votre boîte e-mail, votre hébergeur et vos autres services.
Si l’un de ces services est compromis, la réutilisation du même mot de passe peut permettre à un attaquant d’accéder à plusieurs comptes.
L’utilisation d’un gestionnaire de mots de passe facilite la création et le stockage de mots de passe uniques.
3. Activer l’authentification à deux facteurs
Un mot de passe robuste est important, mais vous pouvez renforcer davantage la protection des comptes sensibles grâce à l’authentification à deux facteurs (2FA).
Le principe consiste à demander un second élément lors de la connexion.
Même si un attaquant parvient à obtenir votre mot de passe, celui-ci ne suffit alors normalement plus pour se connecter à votre compte.
L’authentification à deux facteurs est particulièrement recommandée pour les comptes administrateurs disposant de droits importants sur le site.
4. Éviter d’utiliser « admin » comme identifiant
Les tentatives de connexion automatisées peuvent essayer des identifiants courants associés à différentes listes de mots de passe.
Utiliser un nom d’utilisateur facilement prévisible comme admin simplifie une partie du travail de l’attaquant puisqu’il connaît déjà potentiellement l’identifiant du compte.
Choisissez donc un identifiant moins évident pour vos comptes disposant de privilèges importants.
Cette mesure ne sécurisera pas votre site à elle seule, mais elle peut participer à une stratégie de défense composée de plusieurs protections complémentaires.
5. Limiter les tentatives de connexion
Les attaques par force brute consistent à effectuer un grand nombre de tentatives de connexion afin de trouver les bons identifiants.
Il est possible de mettre en place des mécanismes permettant de limiter ces tentatives.
Par exemple, plusieurs échecs de connexion provenant d’une même source peuvent entraîner un blocage temporaire.
Certaines extensions de sécurité WordPress permettent d’ajouter cette protection.
L’objectif n’est pas de considérer cette fonctionnalité comme une solution miracle, mais de rendre les attaques automatisées plus difficiles lorsqu’elle est associée à des mots de passe robustes et à l’authentification à deux facteurs.
6. Installer uniquement les extensions nécessaires
L’un des grands avantages de WordPress est son écosystème d’extensions.
SEO, formulaire de contact, cache, sauvegarde, sécurité, boutique en ligne : il existe des plugins pour pratiquement tous les besoins.
Mais chaque extension ajoute également du code à votre installation.
Il est donc préférable d’éviter d’accumuler des plugins dont vous n’avez pas réellement besoin.
Avant d’installer une extension, vérifiez notamment :
- si elle est toujours maintenue ;
- la date de ses dernières mises à jour ;
- sa compatibilité avec votre version de WordPress ;
- la réputation de son éditeur ;
- si vous avez réellement besoin de sa fonctionnalité.
Supprimez également les extensions inutilisées plutôt que de simplement les désactiver et de les laisser indéfiniment sur le serveur.
Moins d’extensions inutiles signifie une surface d’attaque plus réduite et un site généralement plus facile à maintenir.
7. Télécharger les thèmes et extensions depuis des sources fiables
Un plugin premium proposé gratuitement sur un site inconnu peut sembler être une bonne affaire.
C’est pourtant une très mauvaise idée.
Des versions modifiées de thèmes ou d’extensions premium peuvent contenir du code indésirable ou malveillant.
Téléchargez vos extensions et thèmes depuis des sources de confiance, comme le répertoire officiel de WordPress ou directement auprès de l’éditeur du produit.
Quelques euros économisés sur une extension ne valent pas le risque de compromettre un site professionnel.
8. Choisir un hébergement de qualité
La sécurité de WordPress ne dépend pas uniquement du CMS.
Votre hébergement joue également un rôle important.
Un hébergeur sérieux doit notamment maintenir son infrastructure, proposer des versions récentes des technologies serveur et mettre en place différentes mesures de protection.
Selon l’offre choisie, vous pouvez également disposer de fonctionnalités comme :
- des sauvegardes automatiques ;
- un certificat SSL ;
- une protection contre certaines attaques ;
- des outils de restauration ;
- un environnement de staging.
Le prix ne doit donc pas être le seul critère pour choisir l’hébergement d’un site professionnel.
9. Utiliser HTTPS
Votre site doit être accessible en HTTPS.
HTTPS permet de chiffrer les échanges entre le navigateur de l’utilisateur et le serveur.
Vous pouvez reconnaître son utilisation grâce à une adresse commençant par :
https://
plutôt que :
http://
Aujourd’hui, de nombreux hébergeurs proposent facilement des certificats SSL/TLS.
Attention toutefois : HTTPS ne signifie pas qu’un site est entièrement sécurisé.
Il protège les données pendant leur transmission, mais ne remplace pas les mises à jour, les sauvegardes ou la sécurisation des comptes administrateurs.
Il constitue simplement une protection indispensable parmi d’autres.
10. Effectuer des sauvegardes régulières
Même avec de nombreuses protections, le risque zéro n’existe pas.
C’est pourquoi les sauvegardes WordPress sont essentielles.
Une bonne sauvegarde doit permettre de restaurer les éléments nécessaires au fonctionnement du site, notamment ses fichiers et sa base de données.
La fréquence dépend de l’activité du site.
Un site vitrine rarement modifié n’a pas forcément les mêmes besoins qu’une boutique WooCommerce recevant quotidiennement des commandes.
Il est également préférable de ne pas conserver votre unique sauvegarde sur le même serveur que votre site.
Si celui-ci devient inaccessible ou subit un incident important, vous risquez de perdre simultanément le site et sa sauvegarde.
Enfin, une sauvegarde n’est réellement utile que si elle peut être restaurée.
Il est donc pertinent de vérifier périodiquement le fonctionnement de votre procédure de restauration.
11. Gérer correctement les comptes utilisateurs
Toutes les personnes utilisant WordPress n’ont pas besoin d’être administrateurs.
WordPress propose différents rôles permettant d’attribuer des permissions adaptées aux besoins de chaque utilisateur.
Appliquez autant que possible le principe du moindre privilège : chaque utilisateur doit disposer uniquement des droits nécessaires pour effectuer son travail.
Une personne chargée uniquement de rédiger des articles n’a, par exemple, généralement pas besoin de pouvoir installer des extensions ou modifier la configuration du site.
Pensez également à supprimer les anciens comptes qui ne sont plus utilisés.
Moins il existe de comptes disposant de privilèges élevés, plus vous réduisez les points d’accès sensibles à protéger.
12. Surveiller régulièrement son site WordPress
Sécuriser WordPress n’est pas une opération à réaliser une seule fois.
Un site évolue.
WordPress reçoit des mises à jour, les extensions changent, de nouvelles vulnérabilités peuvent être découvertes et de nouveaux utilisateurs peuvent être ajoutés.
Il est donc important d’effectuer une maintenance régulière du site.
Vous pouvez notamment vérifier :
- les mises à jour disponibles ;
- les sauvegardes ;
- les comptes utilisateurs ;
- les extensions installées ;
- les erreurs inhabituelles ;
- le fonctionnement du certificat HTTPS ;
- la disponibilité du site ;
- les éventuelles alertes de sécurité.
Une surveillance régulière permet de détecter plus rapidement certains problèmes avant qu’ils ne deviennent plus importants.
Faut-il installer une extension de sécurité WordPress ?
Une extension de sécurité peut apporter plusieurs fonctionnalités intéressantes :
- limitation des tentatives de connexion ;
- authentification à deux facteurs ;
- détection de modifications suspectes ;
- analyse de fichiers ;
- alertes de sécurité ;
- certaines fonctions de pare-feu.
Mais installer un plugin de sécurité ne signifie pas que votre site devient automatiquement sécurisé.
Une extension ne remplace pas les bonnes pratiques fondamentales.
La sécurité WordPress repose sur un ensemble de mesures complémentaires : mises à jour, mots de passe, sauvegardes, hébergement, gestion des utilisateurs et surveillance.
Comment savoir si son site WordPress a été piraté ?
Certains signes peuvent indiquer qu’un site a été compromis.
Par exemple :
- des pages que vous n’avez pas créées apparaissent ;
- votre site redirige vers une adresse inconnue ;
- de nouveaux utilisateurs administrateurs apparaissent ;
- certains fichiers ont été modifiés ;
- le site devient anormalement lent ;
- des avertissements de sécurité apparaissent ;
- votre hébergeur vous signale une activité suspecte.
Cependant, une compromission n’est pas toujours immédiatement visible.
C’est pourquoi il est important de ne pas attendre l’apparition d’un problème évident avant de s’intéresser à la sécurité.
Que faire si son site WordPress a été piraté ?
Si vous pensez que votre site a été compromis, évitez de simplement supprimer le fichier qui semble suspect et de considérer le problème comme résolu.
Il faut essayer de déterminer l’origine de la compromission et vérifier l’ensemble de l’installation.
Selon la situation, plusieurs actions peuvent être nécessaires :
- mettre temporairement le site hors ligne ;
- contacter l’hébergeur ;
- analyser les fichiers et la base de données ;
- identifier le point d’entrée ;
- supprimer le code malveillant ;
- mettre à jour WordPress et ses composants ;
- réinitialiser les mots de passe concernés ;
- vérifier les comptes administrateurs ;
- restaurer une sauvegarde saine si nécessaire.
Pour un site professionnel contenant des données importantes ou lorsque vous n’avez pas les compétences techniques nécessaires, il est préférable de faire appel à un professionnel.
Sécurité et maintenance WordPress sont étroitement liées
L’une des erreurs fréquentes consiste à créer son site puis à ne plus y toucher pendant plusieurs années.
Un site WordPress a besoin d’être entretenu.
La maintenance WordPress permet notamment d’effectuer les mises à jour, de surveiller les sauvegardes, de contrôler le fonctionnement du site et de résoudre les problèmes qui apparaissent avec le temps.
Sécurité et maintenance sont donc étroitement liées.
Maintenir régulièrement son site permet de réduire certains risques tout en conservant un site fonctionnel et performant.
Conclusion : comment bien sécuriser WordPress ?
Il n’existe pas une seule technique permettant de rendre un site WordPress invulnérable.
La sécurité repose sur l’accumulation de plusieurs bonnes pratiques.
Pour améliorer la sécurité de votre site WordPress :
- maintenez WordPress, vos thèmes et vos extensions à jour ;
- utilisez des mots de passe robustes et uniques ;
- activez l’authentification à deux facteurs ;
- limitez les tentatives de connexion ;
- installez uniquement les extensions nécessaires ;
- utilisez HTTPS ;
- choisissez un hébergement sérieux ;
- effectuez des sauvegardes régulières ;
- limitez les droits des utilisateurs ;
- surveillez régulièrement votre site.
Ces mesures ne permettent pas d’éliminer tous les risques, mais elles contribuent fortement à améliorer la sécurité d’une installation WordPress.
Vous préférez vous concentrer sur votre activité plutôt que sur la maintenance technique de votre site ?
En tant que webmaster freelance, je peux assurer la maintenance de votre site WordPress : mises à jour, sauvegardes, surveillance et interventions techniques pour conserver un site fiable et fonctionnel.
[Découvrir mon service de maintenance WordPress]
[Me contacter]
FAQ : sécuriser un site WordPress
WordPress est-il sécurisé ?
WordPress peut être utilisé de manière sécurisée lorsqu’il est correctement configuré et maintenu. Les risques proviennent notamment des composants obsolètes, des mots de passe faibles, d’extensions vulnérables ou d’une mauvaise configuration.
Quelle est la meilleure extension pour sécuriser WordPress ?
Il n’existe pas d’extension universellement meilleure pour tous les sites. Des solutions proposent différentes protections, mais le choix doit dépendre des besoins du site. Surtout, aucune extension ne remplace les mises à jour, les sauvegardes et les bonnes pratiques de sécurité.
Est-il important de mettre à jour les plugins WordPress ?
Oui. Les mises à jour peuvent notamment corriger des vulnérabilités de sécurité. Les extensions doivent donc être régulièrement mises à jour, idéalement avec une sauvegarde récente et une vérification du site après les changements importants.
À quelle fréquence faut-il sauvegarder WordPress ?
La fréquence dépend de la fréquence à laquelle les données du site évoluent. Un site vitrine peu modifié peut nécessiter des sauvegardes moins fréquentes qu’un site e-commerce recevant quotidiennement des commandes.
HTTPS suffit-il pour sécuriser WordPress ?
Non. HTTPS chiffre les communications entre le navigateur et le serveur, mais ne protège pas contre toutes les menaces. Il doit être associé aux mises à jour, aux sauvegardes, à des comptes sécurisés et aux autres bonnes pratiques de sécurité.