WordPress est un logiciel sûr quand il est bien entretenu. La plupart des piratages viennent d'une extension pas mise à jour, d'un mot de passe trop simple ou d'un compte oublié. Je crée et j'entretiens des sites WordPress depuis 2010 : voici comment les sites se font pirater, et les mesures concrètes pour protéger le vôtre.
Pourquoi les sites WordPress sont-ils visés ?
WordPress fait fonctionner plus de 40 % des sites web dans le monde (40,1 % au 12 octobre 2026 selon W3Techs). Pour un pirate, une seule faille dans une extension répandue ouvre la porte de milliers de sites. Les attaques sont donc automatisées : des robots testent en permanence des sites au hasard, sans viser votre entreprise en particulier.
Selon Patchstack, 11 334 nouvelles vulnérabilités ont été recensées dans l'écosystème WordPress en 2025, dont 91 % dans des extensions et 9 % dans des thèmes. Seules 6, de faible priorité, concernaient le cœur de WordPress. Le risque vient donc surtout de ce que l'on ajoute au logiciel.
Comment un site WordPress se fait-il pirater ?
- L'attaque par force brute : un robot essaie des milliers de combinaisons d'identifiants et de mots de passe sur la page de connexion. L'identifiant « admin » et les mots de passe courants sont les premiers testés.
- Une faille dans une extension ou un thème qui n'a pas été mis à jour, alors que le correctif existe.
- Une extension piratée : une version payante téléchargée gratuitement sur un site douteux contient souvent du code malveillant.
- Des accès volés : un mot de passe réutilisé sur un autre service, un accès FTP ou d'hébergement partagé par e-mail.
- Un hébergement mal entretenu, sur lequel un autre site compromis peut servir de point d'entrée.
Les mesures de sécurité essentielles
Tout mettre à jour
Le cœur de WordPress, le thème et les extensions. Les mises à jour de sécurité doivent être appliquées dès leur publication, idéalement après une sauvegarde. Je détaille le rythme conseillé dans l'article maintenance WordPress.
Protéger les comptes
La documentation officielle de WordPress recommande des mots de passe longs et uniques, gérés avec un gestionnaire de mots de passe, de ne pas garder l'identifiant « admin », de limiter le nombre d'administrateurs et d'activer la double authentification sur tous les comptes administrateurs (WordPress.org). WordPress ne l'intègre pas d'origine : elle s'ajoute avec une extension reconnue. Supprimez aussi les comptes des anciens salariés et des prestataires qui n'interviennent plus.
Limiter les tentatives de connexion
Bloquer une adresse après plusieurs échecs rend la force brute inefficace. Le blocage peut se faire au niveau de l'hébergement, ce qui soulage le serveur, ou avec une extension de sécurité.
Ajouter un pare-feu
Un pare-feu applicatif filtre les requêtes malveillantes avant qu'elles n'atteignent votre site. Certains hébergeurs en proposent un ; côté extension, WordFence est l'une des plus connues : elle combine pare-feu, analyse des fichiers et protection de la connexion.
Sauvegarder hors de l'hébergement
Une sauvegarde complète comprend les fichiers et la base de données. Gardez-en une copie ailleurs que sur le serveur du site, et testez la restauration de temps en temps.
Choisir ses extensions avec soin
Installez le moins d'extensions possible, uniquement depuis le répertoire officiel ou chez des éditeurs reconnus, jamais de version piratée. Supprimez celles que vous n'utilisez plus : une extension désactivée reste présente sur le serveur. Je présente celles que j'installe sur un site vitrine dans thème et extensions WordPress.
Passer en HTTPS et choisir un bon hébergement
Le HTTPS chiffre les échanges entre le visiteur et le site, y compris les mots de passe saisis à la connexion (WordPress.org). Côté hébergement, je conseille WPServeur, formule Freelance à 215 € HT par an, souscrite par le client : voir la page hébergement d'un site vitrine.
| Mesure | Contre quoi elle protège | Fréquence |
|---|---|---|
| Mises à jour | Les failles connues | Dès leur publication pour la sécurité |
| Mots de passe et double authentification | La force brute et les accès volés | Une fois, puis à chaque nouveau compte |
| Revue des comptes | Les accès oubliés | Chaque trimestre |
| Pare-feu et limitation des connexions | Les attaques automatisées | En continu |
| Sauvegarde externalisée | La perte de données | Au moins chaque semaine, et avant chaque mise à jour |
| Tri des extensions | Les failles des extensions inutiles | Plusieurs fois par an |
Les signes qui doivent vous alerter
- Un compte administrateur que vous ne connaissez pas.
- Des visiteurs redirigés vers un autre site, parfois seulement depuis Google ou sur téléphone.
- Des pages inconnues dans les résultats de Google, souvent dans une autre langue.
- Un message dans le rapport Problèmes de sécurité de la Search Console, ou un avertissement de votre hébergeur.
Dans ce cas, prévenez sans attendre votre hébergeur et la personne qui gère votre site, et changez tous les mots de passe d'accès.
Déléguer la sécurité de votre site
Ces tâches demandent de la régularité. Chez CREANICO, la maintenance WordPress coûte 990 € HT par an : mises à jour testées avec retour arrière, sauvegardes externalisées avec restauration, surveillance 24 h/24, test mensuel des formulaires et rapport trimestriel. Je la réserve aux sites que j'ai créés, mis en place ou déjà optimisés. Pour un autre site, je commence par un audit et les corrections nécessaires, sur devis.
Vous pouvez aussi comparer d'autres offres, comme les forfaits de maintenance WPline.fr : regardez ce qui est inclus, où sont stockées les sauvegardes et qui garde les accès.
Enfin, si vous ne voulez rien avoir à gérer, un site Communik est hébergé par la plateforme, sans extensions ni serveur à mettre à jour de votre côté. Je compare les deux solutions sur la page WordPress ou Communik.
Questions fréquentes
Comment sécuriser mon site WordPress ?
Mettez à jour le cœur, le thème et les extensions, utilisez des mots de passe longs et uniques avec la double authentification, limitez les tentatives de connexion, ajoutez un pare-feu et gardez des sauvegardes hors de votre hébergement.
Quelle extension permet de renforcer la sécurité de WordPress ?
Des extensions comme WordFence combinent pare-feu, analyse des fichiers et protection de la connexion. Une extension ne remplace pas les mises à jour ni les bons mots de passe.
Pourquoi mon site WordPress est-il indiqué comme non sécurisé ?
Le navigateur affiche « non sécurisé » quand le site n'utilise pas le HTTPS. Il faut installer un certificat SSL chez votre hébergeur, puis passer les adresses du site en https dans WordPress.
Quels sont les premiers réglages de sécurité après l'installation de WordPress ?
Choisir un identifiant autre que « admin » et un mot de passe long, activer le HTTPS, activer la double authentification, limiter les tentatives de connexion et programmer des sauvegardes externalisées.
WordPress est-il moins sûr que les autres CMS ?
Le cœur de WordPress compte très peu de failles. Les risques viennent surtout des extensions et des thèmes non mis à jour, et des mots de passe faibles.
