La grande majorité des piratages WordPress ne visent pas un site en particulier : des robots testent en continu des millions de sites à la recherche d’une extension vulnérable ou d’un mot de passe faible. Sécuriser un site WordPress consiste donc d’abord à ne plus faire partie des cibles faciles. Voici la checklist en 12 points que j’utilise lors de mes audits, du plus simple au plus technique.
Les fondamentaux : versions et extensions
1. Mettre à jour le cœur, les thèmes et les extensions
La plupart des failles exploitées ont déjà été corrigées par l’éditeur : c’est l’absence de mise à jour qui ouvre la porte. Sur un site e-commerce, testez les mises à jour sur une copie avant de les appliquer en production.
2. Supprimer ce qui ne sert pas
Une extension désactivée reste présente sur le serveur et peut être exploitée. Supprimez-la, ainsi que les thèmes inutilisés (gardez un seul thème par défaut comme solution de secours).
3. Installer uniquement depuis des sources officielles
Le répertoire WordPress.org ou le site de l’éditeur, rien d’autre. Les versions « nulled » d’extensions payantes, distribuées gratuitement, contiennent très souvent une porte dérobée.
4. Choisir des extensions maintenues
Avant d’installer une extension, regardez la date de sa dernière mise à jour, le nombre d’installations actives et la réactivité du support. Une extension abandonnée ne recevra pas de correctif le jour où une faille sera découverte.
Les accès : comptes et connexion
5. Des mots de passe longs et uniques
Chaque compte administrateur doit avoir un mot de passe long, unique et conservé dans un gestionnaire de mots de passe. Évitez l’identifiant « admin » et les comptes partagés : chacun son compte, pour savoir qui fait quoi.
6. La double authentification
Activez la double authentification (code généré par une application) au minimum pour les administrateurs et les éditeurs. C’est la mesure qui neutralise le mieux un mot de passe volé.
7. Le moindre privilège et la limitation des tentatives
Donnez à chaque utilisateur le rôle strictement nécessaire : un rédacteur n’a pas besoin d’être administrateur. Limitez les tentatives de connexion et, si vous n’utilisez ni l’application mobile ni d’outil de publication à distance, désactivez XML-RPC, souvent visé par les attaques par force brute.
Le serveur et les fichiers
8. HTTPS sur tout le site
Un certificat TLS, gratuit chez la plupart des hébergeurs grâce à Let’s Encrypt, chiffre les échanges, à commencer par les identifiants de connexion. Forcez la redirection de HTTP vers HTTPS sur toutes les pages.
9. Désactiver l’éditeur de fichiers
Ajoutez define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php. Un attaquant qui obtiendrait un accès administrateur ne pourrait plus modifier le code des thèmes et des extensions depuis le tableau de bord.
10. Protéger wp-config.php et le dossier uploads
Appliquez des droits de fichiers stricts (en général 644 pour les fichiers et 755 pour les dossiers, plus restrictif pour wp-config.php), interdisez l’exécution de PHP dans wp-content/uploads/ et désactivez le listage des répertoires. Ces réglages se font côté serveur et dépendent de votre hébergement.
11. Une version de PHP maintenue
Une version de PHP qui ne reçoit plus de correctifs de sécurité expose tout le serveur. Vérifiez la version utilisée dans Outils > Santé du site et passez à une version activement maintenue, après avoir testé la compatibilité de votre site.
Le filet de sécurité
12. Des sauvegardes externalisées et une surveillance
Des sauvegardes automatiques, stockées ailleurs que chez votre hébergeur, conservées sur plusieurs jours et testées : une sauvegarde qu’on n’a jamais restaurée n’est qu’une hypothèse. Ajoutez une surveillance de disponibilité, les alertes de sécurité de la Google Search Console et, si possible, un pare-feu applicatif (WAF) fourni par l’hébergeur ou par un service spécialisé.
Faut-il une extension pour sécuriser WordPress ?
Une extension de sécurité peut faciliter plusieurs points de cette liste (limitation des connexions, double authentification, analyse des fichiers), mais elle ne remplace ni les mises à jour ni les bons réglages côté serveur. Évitez d’en empiler plusieurs : elles se gênent mutuellement et ralentissent le site. Une seule, bien configurée, suffit.
Vous voulez savoir où en est votre site sur ces 12 points ? L’audit express (290 € HT, 30 000 DA en Algérie) vérifie la sécurité, les versions et la performance, et vous remet 10 actions prioritaires. Pour appliquer les mises à jour sans risque, la mise à jour WordPress sécurisée est à 190 € HT (20 000 DA).