Sécuriser WordPress : les mesures qui protègent vraiment

Certaines mesures ferment les portes par lesquelles les pirates entrent, d’autres limitent les dégâts et permettent de repérer une intrusion.

Ce qui ferme les portes d’entrée

Le risque vient surtout des extensions, comme le montre notre analyse de près de 33 000 failles publiées.

1. Appliquer les mises à jour dès leur sortie

Votre site reste exposé à une faille publiée jusqu’à la mise à jour qui la corrige. Installez donc les mises à jour dès leur sortie, après une sauvegarde, sans attendre la prochaine intervention de votre prestataire.

Deux points méritent votre attention. Une extension payante ne reçoit ses mises à jour que si sa licence est valide et activée sur le site. Nous avons vu la mise à jour de sécurité d’un constructeur de pages, l’extension qui sert à composer la mise en page, bloquée pour ce seul motif. Et comme une mise à jour peut abîmer une page, vérifiez votre site juste après plutôt que de repousser la mise à jour.

2. Garder peu d’extensions, et supprimer celles qui ne sont plus maintenues

Chaque extension est une porte de plus. Une extension abandonnée par son éditeur ne recevra plus aucun correctif, et ses failles resteront ouvertes. Une extension désactivée mais laissée sur le serveur peut rester attaquable, car certaines failles visent directement ses fichiers. Si elle ne vous sert plus, supprimez-la. Une extension qui n’a reçu aucune mise à jour depuis plus d’un an est peut-être abandonnée.

3. N’installer que depuis des sources officielles

Une extension ou un thème « premium » obtenu gratuitement sur un site de téléchargement peut contenir une porte dérobée, c’est-à-dire un accès caché que le pirate utilisera plus tard. En l’installant, vous le faites entrer vous-même. Téléchargez vos extensions uniquement sur wordpress.org, sur le site de l’éditeur ou sur la boutique où il les vend officiellement.

4. Protéger les comptes d’accès

• La double authentification pour tous les administrateurs : après le mot de passe, il faut saisir un code à usage unique reçu par e-mail. Un mot de passe volé ne suffit alors plus. WordPress ne la propose pas lui-même, mais une extension l’ajoute ; avec Maintena, vous l’activez compte par compte depuis votre tableau de bord. Protégez aussi votre messagerie par un mot de passe solide, puisque c’est elle qui reçoit les codes.
• Un mot de passe différent pour chaque service, car les mots de passe qui fuient ailleurs sont essayés partout.
• Le moins de droits possible. Une personne qui écrit des articles n’a pas besoin d’être administrateur. Supprimez les comptes de prestataires ou de stagiaires qui ne servent plus, en attribuant leurs contenus à un autre compte quand WordPress vous le propose.
• Des inscriptions fermées si vous n’en avez pas besoin. Dans Réglages, puis Général, décochez « Tout le monde peut s’inscrire ». Si vos visiteurs doivent pouvoir ouvrir un compte, laissez juste en dessous le « Rôle par défaut de tout nouveau compte » sur « Abonné / abonnée », le rôle qui a le moins de droits. Un simple compte suffit en effet à exploiter certaines failles (voir notre analyse des failles publiées).
• Une limite aux tentatives de connexion, pour décourager les robots qui essaient des mots de passe à la chaîne.
• XML-RPC désactivé si vous n’utilisez ni l’application mobile WordPress, ni Jetpack, ni un service qui publie sur votre site à distance. Les robots passent aussi par cette ancienne interface de publication à distance.

5. Garder une version de PHP maintenue

PHP, le logiciel qui fait tourner WordPress chez votre hébergeur, a lui aussi ses failles, corrigées tant que la version reste maintenue. Notre article sur la faille PHP2Shell, corrigée en octobre 2026, montre ce que cela change et comment vérifier votre site. Pour choisir la version et en changer sans risque, voyez notre article sur WordPress 7.

6. Ajouter un pare-feu applicatif

Il examine chaque demande adressée au site et bloque les attaques connues, comme l’envoi d’un fichier piégé. Il peut arrêter une partie des attaques contre une faille pas encore corrigée, sans dispenser de la mise à jour.

Ce qui limite les dégâts et repère une intrusion

• Surveiller les fichiers du site. Un fichier ajouté ou modifié sans raison est un signe d’intrusion. Sur un site que nous surveillons, une extension malveillante a été isolée treize secondes après son apparition.
• L’éditeur de fichiers de l’administration désactivé. Gardez d’abord une copie de wp-config.php, le fichier qui contient les réglages principaux du site, puis ajoutez-y la ligne define( 'DISALLOW_FILE_EDIT', true );, au-dessus de la ligne qui demande de ne plus rien modifier. Un pirate qui a volé un compte administrateur ne pourra plus modifier le code de vos extensions et de votre thème depuis le tableau de bord. La mesure le gêne sans l’arrêter, car il pourra encore y installer une extension piégée.
• Des sauvegardes quotidiennes, hors du serveur. De votre sauvegarde dépend ce que vous perdrez après une intrusion. Elle doit être quotidienne, stockée ailleurs que chez votre hébergeur et conservée plusieurs semaines, car un piratage peut n’être découvert que des semaines plus tard.

Ce qui protège moins qu’on ne le croit

Aucune de ces mesures ne corrige une faille d’extension.

• Changer l’adresse de la page de connexion réduit le nombre de robots qui la trouvent, et donc le nombre de tentatives inscrites dans l’historique des connexions de votre extension de sécurité. La double authentification protège bien mieux vos comptes.
• Masquer la version de WordPress ne cache pas celle de vos extensions, et un robot qui essaie ses attaques à l’aveugle n’a pas besoin de la lire.
• Changer le préfixe des tables de la base de données (wp_ par défaut) ne gêne que les injections SQL écrites pour le préfixe d’origine. Une injection SQL est une attaque qui passe par une extension pour lire ou modifier la base. Sur un site existant, l’opération est risquée pour un gain faible.
• Le HTTPS est indispensable pour protéger ce qui circule entre vos visiteurs et le site, comme les mots de passe et les formulaires. Il ne protège pas le site lui-même contre une intrusion.

Et l’extension de sécurité ?

Une bonne extension de sécurité apporte un pare-feu, une limite aux tentatives de connexion et une analyse des fichiers. C’est utile. Mais elle ne met pas vos extensions à jour et, comme toute extension, elle peut elle-même avoir des failles. Elle vient donc en complément des mesures décrites plus haut, sans les remplacer.

L’extension Maintena, que nos clients installent sur leur site, peut elle aussi avoir des failles. Elle vérifie donc deux fois par jour si une nouvelle version est disponible, et l’installe d’elle-même.

Questions fréquentes

Un petit site vitrine intéresse-t-il vraiment les pirates ?

Oui. Les tentatives relevées dans l’encadré plus haut visaient justement des sites de cette taille. Les robots des pirates ne trient pas les sites selon leur taille ou leur renommée. Ce qu’un pirate fait ensuite d’un petit site est décrit dans notre guide du site piraté.

La version gratuite d’une extension de sécurité suffit-elle ?

Pour un petit site, la version gratuite d’une extension reconnue apporte l’essentiel : un pare-feu, une limite aux tentatives de connexion et une analyse des fichiers. Les versions payantes reçoivent plus tôt les règles qui bloquent les attaques contre une faille qui vient d’être publiée. Dans les deux cas, c’est la mise à jour de l’extension en cause qui referme la faille.