Sécuriser un site WordPress : les mesures essentielles

Sécuriser un site WordPress repose sur quelques mesures appliquées avec régularité : mises à jour, extensions limitées, double authentification, sauvegardes hors du serveur et hébergement sérieux. Le cœur du CMS est rarement en cause : la grande majorité des failles se trouvent dans les extensions et les thèmes. L’objectif n’est pas une sécurité absolue, mais une exposition réduite et un retour rapide à la normale après un incident.

D’où viennent réellement les failles sur WordPress ?

Selon le rapport State of WordPress Security in 2026 de Patchstack, 11 334 nouvelles failles ont été recensées dans l’écosystème WordPress en 2025 : 91 % dans des extensions, 9 % dans des thèmes et seulement 6, de faible gravité, dans le cœur. Près de la moitié (46 %) n’étaient pas encore corrigées au moment de leur divulgation.

S’y ajoutent les mots de passe faibles, les comptes d’anciens collaborateurs et les hébergements mal configurés. Les attaques étant automatisées, aucun site n’est trop petit pour être visé.

Comment gérer les mises à jour sans casser le site ?

Une mise à jour corrige souvent une faille déjà publique : tarder, c’est laisser la porte ouverte. WordPress installe par défaut les versions mineures du cœur, qui portent les correctifs de sécurité, et permet depuis la version 5.5 d’automatiser les mises à jour extension par extension. Appliquez les correctifs sans attendre ; testez d’abord en préproduction, après une sauvegarde, les versions majeures et les extensions critiques comme la boutique ou le paiement.

D’après php.net, PHP 8.2 ne reçoit plus de correctifs de sécurité après le 31 décembre 2026, et les versions 8.1 et antérieures n’en reçoivent déjà plus. WordPress recommande PHP 8.3 ou supérieur : planifiez la migration avec votre hébergeur après un test de compatibilité.

Faut-il limiter le nombre d’extensions ?

Oui. Le guide officiel de sécurisation de WordPress recommande de supprimer les extensions inutilisées : même désactivée, une extension vulnérable restée sur le serveur peut rester exploitable. Pour les autres, vérifiez :

• La maintenance : mises à jour récentes, compatibilité avec votre version de WordPress.
• La provenance : répertoire officiel ou éditeur reconnu, jamais une version premium « gratuite » trouvée sur un site tiers.
• L’utilité : le thème assure parfois déjà la fonction recherchée.

Comment protéger les comptes et la page de connexion ?

Des comptes nominatifs aux droits limités

• Mots de passe : longs, uniques et conservés dans un gestionnaire.
• Double authentification : absente du cœur de WordPress, elle s’active avec une extension, au minimum pour les administrateurs.
• Moindre privilège : le rôle Administrateur pour une ou deux personnes, Éditeur ou Auteur pour les autres.
• Un compte par personne : aucun identifiant partagé, compte supprimé au départ d’un salarié ou d’un prestataire.

La page de connexion : limiter plutôt que cacher

WordPress ne limite pas les tentatives de connexion par défaut : confiez ce filtrage au pare-feu de l’hébergeur ou à une extension. Masquer wp-admin réduit le bruit dans les journaux, mais n’arrête pas un attaquant muni d’un mot de passe volé. La documentation officielle le rappelle : l’obscurité ne peut pas être une stratégie de défense principale.

Quelles protections côté hébergement et serveur ?

Sur un hébergement mal cloisonné, un site compromis peut en contaminer d’autres. Exigez :

• L’isolation : un compte ou un conteneur par site, avec un utilisateur de base de données dédié.
• Un pare-feu applicatif (WAF) : il filtre les requêtes malveillantes et peut bloquer l’exploitation d’une faille pas encore corrigée.
• HTTPS partout : certificat renouvelé automatiquement et en-têtes de sécurité comme HSTS ou Content-Security-Policy.
• Le durcissement : éditeur de fichiers du tableau de bord désactivé, droits d’écriture limités, PHP interdit dans le dossier des médias.

Sauvegardes et surveillance : comment limiter les dégâts ?

Une sauvegarde stockée sur le même serveur disparaît avec lui. Appliquez la règle 3-2-1 : trois copies, sur deux supports différents, dont une hors site. Automatisez-les, gardez plusieurs semaines d’historique (une intrusion est parfois découverte tard) et testez une restauration chaque trimestre.

Côté surveillance, prévoyez un journal d’activité, une sonde de disponibilité, une analyse régulière des fichiers et des alertes sur les événements sensibles, comme la création d’un administrateur.

Par quelles mesures commencer ?

Ce classement vous aide à prioriser :

Mesure	Priorité	Effort
Mises à jour du cœur, des extensions et des thèmes	Critique	Faible si automatisées
Double authentification des administrateurs	Critique	Faible
Sauvegardes automatiques hors site, restauration testée	Critique	Moyen
Suppression des extensions et comptes inutiles	Haute	Faible
Version de PHP supportée et hébergement isolé	Haute	Moyen
Pare-feu applicatif et limitation des connexions	Haute	Faible à moyen
Durcissement, en-têtes de sécurité et surveillance	Moyenne	Moyen

Commencez par les trois premières lignes : elles couvrent les risques les plus courants pour un coût modeste.

Que faire si votre site WordPress est piraté ?

Redirections suspectes, pages de spam dans Google, administrateur inconnu : agissez vite, mais dans l’ordre.

1. Isolez le site (mode maintenance) et prévenez votre hébergeur.
2. Conservez une copie de l’état compromis et des journaux.
3. Changez tous les accès : WordPress, hébergement, SFTP, base de données, clés de sécurité.
4. Restaurez une sauvegarde antérieure à l’intrusion, ou faites nettoyer le site par un spécialiste.
5. Identifiez et corrigez la porte d’entrée, faute de quoi l’attaque recommencera.
6. Mettez tout à jour et analysez de nouveau les fichiers.
7. Si Google signale le site, demandez un réexamen dans la Search Console ; en cas de fuite de données personnelles, vérifiez vos obligations de notification.

FAQ

Faut-il installer une extension de sécurité ?

Elle aide à limiter les tentatives de connexion, à ajouter la double authentification ou à analyser les fichiers. Elle ne remplace ni les mises à jour ni les sauvegardes, et fait doublon si l’hébergeur fournit déjà un pare-feu.

Les mises à jour automatiques sont-elles risquées ?

Une mise à jour peut casser une page, mais ce risque pèse généralement moins qu’une faille connue laissée ouverte. Automatisez les correctifs de sécurité et testez les versions majeures en préproduction, avec une sauvegarde récente.

Un petit site vitrine est-il vraiment une cible ?

Oui. Les attaques automatisées visent des failles, pas des entreprises. Un site vitrine piraté peut envoyer du spam ou rediriger vos visiteurs, au détriment de votre réputation et de votre référencement.

À quelle fréquence faire un point de sécurité sur son site ?

Une à deux fois par an, et après chaque changement important : refonte, nouvelle extension critique, changement d’hébergeur. Le contrôle porte sur les versions, les comptes, les sauvegardes et la configuration du serveur.

Sécuriser votre site WordPress avec Uteek

Chez Uteek, agence digitale basée aux Berges du Lac 2, à Tunis, nous réalisons des sites WordPress et en assurons la maintenance : mises à jour, sauvegardes, surveillance et corrections. Découvrez notre offre de développement web ou parlez-nous de votre site.