Sécurité WordPress : checklist

Sécuriser WordPress ne commence pas par des outils coûteux, mais par quelques bases appliquées correctement et avec constance : tout garder à jour, des logins solides avec authentification à deux facteurs, un pare-feu et les bons droits utilisateurs. WordPress fait tourner environ 42 % de tous les sites web, et cette popularité en fait une cible de choix pour les attaques automatisées. Dans cet article, nous passons en revue 12 mesures concrètes pour renforcer un site WordPress professionnel (hors boutique en ligne) contre le piratage, regroupées des logins jusqu’à l’infrastructure, avec en bas de page une checklist que vous pouvez cocher.

Pourquoi WordPress est-il si souvent attaqué ?

Non pas parce que WordPress serait peu sûr, mais parce qu’il est partout. Avec une part d’environ 42 % de tous les sites web, il est tout simplement la plus grande cible, et les attaquants travaillent de façon automatisée : des bots scannent tout le web à la recherche de failles connues et de logins faibles.

Plus important encore : là où se situent ces failles. L’étude de sécurité de Patchstack portant sur 2025 montre que l’immense majorité des vulnérabilités WordPress se trouve dans les plugins, une petite partie dans les thèmes, et quasiment rien dans le core de WordPress lui-même. Autrement dit : le core est généralement bien entretenu, mais chaque plugin et chaque thème que vous ajoutez est une porte supplémentaire qui peut rester ouverte. Beaucoup de ces vulnérabilités sont en outre exploitables sans être connecté, ce qui les rend idéales pour des attaques automatisées.

La conclusion pratique pour un site B2B : vous n’avez pas besoin d’être expert en sécurité, mais vous devez avoir l’hygiène de base en ordre. Un site d’entreprise piraté vous coûte non seulement du travail de restauration, mais aussi la confiance de précisément les visiteurs que vous voulez convertir en leads. Comment construire cette confiance, vous le lisez dans inspirer confiance sur votre site web B2B.

Comment sécuriser les logins ?

La page de connexion est l’endroit le plus attaqué de votre site, c’est donc là que vous obtenez les gains les plus rapides. Quatre mesures :

Des mots de passe forts et uniques pour chaque compte. Utilisez un gestionnaire de mots de passe pour que personne ne se rabatte sur “NomDeLEntreprise2025”. Les mots de passe réutilisés sont la cause numéro un des comptes détournés.
L’authentification à deux facteurs (2FA) sur tous les comptes. C’est la mesure unique la plus importante que vous puissiez prendre. Même si un mot de passe fuite, un attaquant n’entre pas sans le second facteur (un code sur votre téléphone). Rendez-la obligatoire pour chaque utilisateur disposant de droits d’administration.
Limitez le nombre de tentatives de connexion. Par défaut, vous pouvez essayer un mot de passe une infinité de fois, ce qui invite aux attaques par force brute. Un plugin ou votre pare-feu qui bloque après quelques tentatives erronées referme cette porte.
Des rôles utilisateurs au moindre privilège. N’accordez à personne plus de droits que nécessaire. Un rédacteur qui écrit uniquement des articles de blog n’a pas besoin d’un compte administrateur. Moins il y a de comptes admin, plus le risque est faible si l’un d’eux est compromis.

Envisagez par ailleurs de déplacer ou de protéger l’URL de connexion par défaut. Cela n’arrête pas une attaque ciblée, mais cela éloigne la grande majorité des bots automatisés de votre page de connexion.

Comment garder les plugins et les mises à jour sous contrôle ?

Mettre à jour n’est pas une maintenance que vous faites “un de ces jours”, c’est votre principale défense. Comme la plupart des vulnérabilités se trouvent dans les plugins et les thèmes, mettre à jour revient littéralement à colmater des trous connus avant qu’un bot ne les trouve.

Gardez le core, les plugins et les thèmes à jour. Activez les mises à jour de sécurité automatiques pour le core. Pour les plugins, un moment fixe hebdomadaire ou bimensuel est souvent plus judicieux que de tout mettre à jour automatiquement à l’aveugle, afin de pouvoir tester une mise à jour sur un environnement de staging et de ne pas vous réveiller avec un site cassé.
Supprimez ce que vous n’utilisez pas. Chaque plugin désactivé mais toujours installé, ou chaque thème inutilisé, reste un risque. Supprimez-les complètement. Moins de code sur votre serveur signifie moins de surface d’attaque et, du même coup, un site plus rapide.
N’installez qu’à partir de sources fiables. Utilisez des plugins issus du répertoire officiel ou d’éditeurs reconnus, avec des mises à jour récentes et une équipe de maintenance active. Évitez totalement les plugins premium “nulled” (copiés illégalement) : ils sont un canal de diffusion classique pour les logiciels malveillants.

Un site avec quinze plugins à moitié entretenus est par définition plus vulnérable qu’un site bien construit avec cinq bons plugins. Lors d’une nouvelle création de site web ou d’un redesign, un regard critique sur votre stack de plugins est donc un gain de sécurité gratuit.

Quelles mesures relèvent du serveur et de l’infrastructure ?

La dernière couche se situe sous WordPress lui-même : l’hébergement, la connexion et les droits de fichiers. C’est ici que vous évitez qu’une attaque qui parvient à passer ne provoque de gros dégâts.

Placez un pare-feu applicatif web (WAF) devant votre site. Un WAF filtre le trafic malveillant (comme les tentatives d’exploitation connues et les bots de force brute) avant qu’il n’atteigne votre site. Cela peut se faire via un plugin de sécurité ou, souvent plus efficacement, au niveau du réseau chez votre hébergeur ou votre CDN.
Imposez le HTTPS sur l’ensemble du site. Un certificat SSL valide chiffre le trafic entre le visiteur et le serveur, protège les données saisies et constitue désormais une attente de base pour tout site professionnel. Veillez à ce que tout redirige automatiquement vers https.
Configurez correctement les droits de fichiers et désactivez l’éditeur de fichiers intégré. Avec les bons droits de fichiers, un attaquant ne peut pas écraser vos fichiers. En désactivant l’éditeur de code du tableau de bord, vous évitez que quelqu’un qui entre malgré tout puisse injecter directement du code malveillant.
Choisissez un hébergement avec la sécurité intégrée. Un bon hébergement WordPress (managé) ajoute une sécurité serveur, l’isolation entre les sites, des mises à jour automatiques et des analyses antimalware. Cela vous épargne beaucoup de travail manuel et couvre une couche que vous n’atteignez pas avec des plugins seuls.

Comment vous assurer de récupérer rapidement après un incident ?

Aucune sécurité n’est étanche à cent pour cent, la question n’est donc pas seulement de savoir si vous arrêtez une attaque, mais aussi à quelle vitesse vous vous rétablissez. Deux mesures font la différence entre une heure désagréable et une semaine d’arrêt :

Des sauvegardes automatiques et hors site. Réalisez une sauvegarde quotidienne ou hebdomadaire et conservez-la en dehors de votre serveur. Une sauvegarde stockée sur le même serveur piraté est tout aussi perdue en cas d’attaque. Testez de temps en temps si vous parvenez réellement à restaurer une sauvegarde.
Monitoring et analyse antimalware. Laissez un outil scanner votre site à la recherche de fichiers suspects et de modifications inhabituelles, et envoyez une alerte dès que quelque chose dévie. Plus vite vous remarquez une intrusion, moins il y a de dégâts. Beaucoup de piratages passent justement inaperçus longtemps.

Cette couche de filet de sécurité est aussi ce qui limite la durée d’une perturbation lorsque vous effectuez des changements techniques, comme lors d’une migration de site sans perte SEO.

La checklist de sécurité WordPress en 12 points

Traitez cette liste de haut en bas. Les premiers points offrent le plus de sécurité par minute de travail.

Gardez le core, les plugins et les thèmes à jour et activez les mises à jour de sécurité automatiques pour le core.
Supprimez complètement les plugins et thèmes inutilisés, ne vous contentez pas de les désactiver.
N’installez que des plugins issus de sources fiables et évitez les plugins premium copiés illégalement.
Utilisez des mots de passe forts et uniques avec un gestionnaire de mots de passe.
Activez l’authentification à deux facteurs pour chaque compte disposant de droits d’administration.
Limitez le nombre de tentatives de connexion pour stopper les attaques par force brute.
Appliquez le moindre privilège : donnez à chaque utilisateur uniquement le rôle dont il a besoin.
Protégez votre page de connexion ou déplacez l’URL de connexion par défaut.
Placez un pare-feu applicatif web devant votre site, de préférence au niveau du réseau.
Imposez le HTTPS sur l’ensemble du site avec un certificat SSL valide.
Configurez correctement les droits de fichiers et désactivez l’éditeur de fichiers intégré.
Mettez en place des sauvegardes automatiques hors site et du monitoring, et testez votre restauration.

Si vous souhaitez replacer tout cela dans une image plus large, lisez le guide complet sur la création d’un site web B2B. Et parce qu’un site rapide et propre obtient aussi de meilleurs résultats, cette approche se marie parfaitement avec votre SEO WordPress.

Le résumé en bref

Sécuriser WordPress n’est pas une question de plugin magique, mais de quelques bases tenues avec constance. Gardez tout à jour, limitez votre stack de plugins à ce que vous utilisez vraiment, mettez en place des logins solides avec authentification à deux facteurs, placez un pare-feu devant votre site et organisez des sauvegardes comme filet de sécurité. La plupart des attaques sont automatisées et cherchent les fruits les plus faciles à cueillir, donc celui qui a les bases en ordre échappe déjà à la grande majorité des bots. Nous construisons des sites B2B qui non seulement convertissent, mais restent aussi maintenables et sûrs, avec des conseils honnêtes sur ce qui vaut la peine et ce qui ne la vaut pas. Pas de sécurité de boutique en ligne, mais un site d’entreprise solide qui vous apporte des leads plutôt que des problèmes.

Planifiez votre premier entretien gratuit