WordPress propulse aujourd’hui une part considérable des sites web dans le monde, artisans, TPE, associations et grands médias confondus. Cette popularité a un revers : c’est aussi la cible privilégiée des robots qui scannent le web en permanence à la recherche de failles. Plugin obsolète, mot de passe trop simple, thème abandonné par son auteur… il n’en faut parfois pas plus pour qu’un site soit piraté, transformé en relais de spam ou tout simplement mis hors service.
La bonne nouvelle, c’est que la sécurité WordPress ne demande pas des compétences d’expert en cybersécurité. Quelques réflexes simples, appliqués avec rigueur, suffisent à écarter l’immense majorité des attaques automatisées. Voici les dix habitudes à adopter pour dormir tranquille.
Pourquoi la sécurité WordPress ne doit jamais être négligée
Un site piraté, ce n’est pas qu’une question technique. C’est une perte de confiance pour vos visiteurs, un risque de blacklistage par Google (qui affiche un avertissement rouge dissuasif), et souvent plusieurs jours d’indisponibilité le temps de tout nettoyer. Pour une entreprise qui vend en ligne ou génère des demandes de contact via son site, l’addition peut vite devenir salée.
La grande majorité des attaques ne visent d’ailleurs pas un site en particulier : ce sont des robots qui balaient des millions d’adresses à la recherche de failles connues. Un site mal entretenu, même modeste, finit toujours par apparaître sur leur radar. D’où l’intérêt d’une hygiène de base, peu coûteuse en temps, mais payante sur la durée.
Les 10 réflexes indispensables
1. Maintenir WordPress, les thèmes et les plugins à jour
C’est le réflexe numéro un, et pourtant le plus souvent négligé. Chaque mise à jour de sécurité corrige des failles précises, souvent rendues publiques dès leur publication : les pirates savent exactement quels sites cibler dès qu’un correctif sort. Activez les mises à jour automatiques pour le cœur de WordPress et les extensions mineures, et vérifiez au moins une fois par mois l’état général de votre installation.
2. Supprimer les plugins et thèmes inutilisés
Un plugin désactivé mais non supprimé reste une porte d’entrée potentielle : son code est toujours présent sur le serveur. Faites régulièrement le ménage et ne gardez que l’essentiel. Moins il y a de code tiers, moins la surface d’attaque est grande.
3. Choisir des mots de passe robustes et uniques
Les attaques par force brute (essais automatisés de milliers de combinaisons) restent redoutablement efficaces contre les mots de passe simples. Utilisez un gestionnaire de mots de passe pour générer des combinaisons longues et aléatoires, propres à chaque compte administrateur, et ne réutilisez jamais un mot de passe d’un autre service.
4. Activer l’authentification à deux facteurs
Même un mot de passe volé devient inutile si la connexion exige un second facteur (code envoyé par application ou SMS). C’est l’une des mesures les plus efficaces contre le vol d’identifiants, et elle se met en place en quelques minutes avec une extension dédiée.
5. Renommer ou protéger l’accès à l’administration
Par défaut, la page de connexion WordPress se trouve à une adresse bien connue de tous les robots. La déplacer, ou restreindre son accès par adresse IP, ne remplace pas les autres mesures mais réduit drastiquement le nombre de tentatives de connexion automatisées, donc la charge sur votre serveur.
6. Limiter les tentatives de connexion
Une extension de limitation de tentatives bloque temporairement une adresse IP après plusieurs échecs de connexion. C’est une barrière simple mais redoutable contre les attaques automatisées, qui reposent justement sur un nombre illimité d’essais.
7. Sauvegarder son site régulièrement, et ailleurs que sur le même serveur
Aucune protection n’est infaillible à 100 %. En cas de problème, une sauvegarde récente et fonctionnelle est votre meilleure assurance : elle permet de restaurer le site en quelques minutes plutôt qu’en plusieurs jours. Choisissez une solution qui stocke les copies sur un espace externe (cloud, autre serveur) et testez de temps en temps une restauration pour vérifier qu’elle fonctionne réellement.
8. Installer un certificat SSL et forcer le HTTPS
Le HTTPS chiffre les échanges entre le navigateur du visiteur et votre serveur, empêchant l’interception de données sensibles (identifiants, formulaires). C’est aussi un critère de confiance pour les internautes et un facteur pris en compte par Google dans son classement.
9. Surveiller les fichiers et l’intégrité du site
Une extension de surveillance de sécurité peut détecter automatiquement toute modification suspecte de fichiers, l’ajout d’un compte administrateur inconnu, ou l’apparition de code malveillant injecté. Ces alertes précoces permettent souvent d’agir avant que les dégâts ne s’étendent.
10. Choisir un hébergement sérieux et une configuration serveur adaptée
La sécurité ne se joue pas uniquement au niveau de WordPress. Un hébergeur qui applique des correctifs serveur, isole les comptes clients les uns des autres et propose un pare-feu applicatif (WAF) constitue une ligne de défense supplémentaire, invisible mais précieuse. C’est un critère à ne pas sous-estimer au moment de choisir ou changer de prestataire.
Que faire si votre site a déjà été piraté ?
Si vous constatez des signes suspects (redirections inattendues, pages inconnues indexées par Google, alertes de votre hébergeur), la priorité est de mettre le site hors ligne temporairement, de restaurer une sauvegarde saine si elle existe, puis de changer immédiatement tous les mots de passe (WordPress, hébergement, FTP, base de données). Un nettoyage mal fait laisse souvent une porte dérobée active, permettant au pirate de revenir quelques semaines plus tard.
C’est aussi souvent l’occasion de repenser plus largement l’architecture du site. Si votre installation a accumulé les rustines au fil des années, une refonte de site web bien préparée permet de repartir sur des bases saines, à condition de suivre une checklist rigoureuse pour ne pas perdre le référencement acquis. Si le projet implique un changement d’hébergeur ou de nom de domaine, notre guide pour migrer son site sans perdre son référencement détaille toutes les étapes à sécuriser.
La sécurité, un pilier discret du SEO technique
Un site lent, hors ligne suite à un piratage ou signalé comme dangereux par Google perd immédiatement en visibilité : les moteurs de recherche évitent de mettre en avant des pages qui présentent un risque pour l’internaute. La sécurité fait donc partie intégrante du SEO technique, au même titre que la vitesse de chargement ou la structure des données. Un site fiable et bien protégé, c’est aussi un site qui inspire confiance aux visiteurs comme aux algorithmes.
Ces réflexes de sécurité méritent d’ailleurs d’être anticipés dès la conception du site, et non ajoutés après coup dans l’urgence. C’est l’un des nombreux points qu’un bon cahier des charges de site web devrait aborder en amont, aux côtés de l’hébergement, de la maintenance et des responsabilités de chacun.
Sécuriser son site, un investissement plus qu’une contrainte
Aucune de ces dix mesures n’est complexe à mettre en œuvre isolément. C’est leur combinaison, appliquée avec constance dans la durée, qui fait la différence entre un site qui traverse les années sereinement et un site qui finit un jour piraté, souvent au pire moment. Mieux vaut consacrer quelques heures par trimestre à cette maintenance préventive que plusieurs jours, dans l’urgence, à réparer les dégâts.
Vous gérez un site WordPress et souhaitez faire un point sur sa sécurité, ou vous préparez un nouveau projet et voulez intégrer ces bonnes pratiques dès le départ ? En tant que freelance web basé entre la Normandie et la Bretagne (Avranches, Granville, Caen, Rennes, Fougères), j’accompagne les indépendants et petites entreprises sur la création, la refonte et la maintenance de leur site. N’hésitez pas à me contacter ou à consulter mes tarifs de création de site web pour en discuter.
