Comment Sécuriser Son Site WordPress en 2025 — Le Guide Complet

WordPress propulse plus de 43% des sites web dans le monde. Cette popularité en fait la cible numéro un des hackers et des bots malveillants. En 2024, plus de 90 000 attaques par minute ont été enregistrées sur des sites WordPress dans le monde. La bonne nouvelle, c’est que la grande majorité de ces attaques exploitent des failles connues et facilement évitables. En appliquant les bonnes pratiques de sécurité décrites dans ce guide, vous réduisez considérablement le risque de piratage.

1. Maintenez WordPress, Vos Plugins et Votre Thème à Jour

C’est la mesure de sécurité la plus importante et la plus simple. Plus de 90% des piratages WordPress exploitent des vulnérabilités connues dans des versions obsolètes de plugins ou de thèmes. Quand une faille est découverte et publiée, les pirates automatisent des scans massifs pour trouver les sites qui n’ont pas encore appliqué le correctif. Vérifiez les mises à jour au moins une fois par semaine et appliquez-les dès que possible, en commençant toujours par les mises à jour de sécurité critiques.

Bonne pratique : créez toujours une sauvegarde complète avant d’appliquer des mises à jour, et appliquez-les une par une pour identifier rapidement tout problème de compatibilité.

2. Utilisez des Mots de Passe Forts et Uniques

Les attaques par force brute testent des milliers de combinaisons de mots de passe par minute sur votre page de connexion. Un mot de passe faible est la porte d’entrée la plus facile pour un pirate. Utilisez des mots de passe d’au moins seize caractères combinant majuscules, minuscules, chiffres et caractères spéciaux. Ne réutilisez jamais le même mot de passe entre WordPress, votre hébergement, votre base de données et votre FTP. Un gestionnaire de mots de passe comme Bitwarden ou 1Password facilite cette pratique.

3. Activez l’Authentification à Deux Facteurs (2FA)

L’authentification à deux facteurs ajoute une couche de sécurité supplémentaire au-delà du mot de passe. Même si un pirate devine ou vole votre mot de passe, il ne pourra pas se connecter sans le code temporaire généré par votre application d’authentification (Google Authenticator, Authy). Plusieurs plugins WordPress permettent d’activer le 2FA en quelques minutes.

4. Installez un Pare-feu Applicatif (WAF)

Un pare-feu applicatif web filtre les requêtes malveillantes avant qu’elles n’atteignent votre site WordPress. Il bloque les tentatives d’injection SQL, les attaques XSS, les exploits de plugins connus et les bots malveillants. Des plugins comme Wordfence ou Sucuri offrent un WAF efficace. Pour une protection encore plus robuste, un WAF au niveau du DNS comme Cloudflare bloque les attaques avant même qu’elles n’atteignent votre serveur.

5. Limitez les Tentatives de Connexion

Par défaut, WordPress permet un nombre illimité de tentatives de connexion, ce qui facilite les attaques par force brute. Installez un plugin qui limite les tentatives de connexion et bloque automatiquement les adresses IP après plusieurs échecs. Configurez un blocage après cinq tentatives échouées avec un délai de verrouillage progressif.

6. Configurez des Sauvegardes Automatiques

Les sauvegardes ne préviennent pas les attaques mais elles sont votre filet de sécurité en cas de piratage. Une sauvegarde récente et fiable vous permet de restaurer votre site propre en quelques minutes au lieu de passer des heures à nettoyer un site infecté. Configurez des sauvegardes quotidiennes automatiques stockées sur un serveur externe (pas sur le même serveur que votre site).

7. Durcissez la Configuration WordPress

Désactivez l’éditeur de fichiers intégré en ajoutant define('DISALLOW_FILE_EDIT', true); dans votre wp-config.php. Changez le préfixe de table par défaut (wp_) lors de l’installation. Désactivez XML-RPC si vous ne l’utilisez pas. Masquez la version de WordPress. Protégez le fichier wp-config.php via .htaccess. Désactivez l’exécution PHP dans le dossier wp-content/uploads.

8. Choisissez un Hébergement Sécurisé

Votre hébergeur joue un rôle crucial dans la sécurité de votre site. Privilégiez un hébergeur qui propose l’isolation des comptes (pour éviter la contamination entre sites sur un serveur mutualisé), des versions PHP récentes et à jour, un pare-feu réseau, une surveillance serveur proactive, des sauvegardes automatiques et un support technique réactif en cas d’incident.

9. Utilisez HTTPS (Certificat SSL)

Le certificat SSL chiffre les données échangées entre le navigateur de vos visiteurs et votre serveur. C’est indispensable pour protéger les mots de passe, les données de formulaires et les informations de paiement. Google pénalise les sites sans HTTPS dans ses résultats de recherche et les navigateurs affichent un avertissement « Non sécurisé » qui fait fuir les visiteurs.

10. Surveillez Votre Site en Continu

La surveillance proactive permet de détecter les problèmes avant qu’ils ne causent des dégâts. Mettez en place un monitoring de disponibilité (uptime), un scan de sécurité régulier (hebdomadaire minimum), une surveillance des modifications de fichiers et des alertes en cas d’activité suspecte.

Les Erreurs de Sécurité les Plus Fréquentes

Au-delà des bonnes pratiques à appliquer, certaines erreurs courantes méritent d’être soulignées car nous les rencontrons régulièrement lors de nos audits de sécurité.

La première erreur est d’utiliser le nom d’utilisateur « admin » pour le compte administrateur. C’est le premier identifiant testé par les robots d’attaque par force brute. Si votre compte administrateur s’appelle « admin », créez un nouveau compte avec un nom personnalisé, transférez-lui les droits d’administration et supprimez l’ancien compte.

La deuxième erreur est d’installer des plugins et thèmes provenant de sources non officielles, souvent qualifiés de « nulled » ou « crackés ». Ces versions piratées contiennent presque systématiquement du code malveillant : backdoors, scripts de minage de cryptomonnaie, redirections cachées ou vol de données. L’économie de quelques dizaines d’euros sur une licence se transforme en facture de plusieurs centaines d’euros pour le nettoyage du site piraté.

La troisième erreur est de ne pas supprimer les plugins et thèmes désactivés. Même désactivé, un plugin reste physiquement sur votre serveur et ses fichiers PHP sont accessibles. Si une vulnérabilité est découverte dans ce plugin, elle peut être exploitée même si le plugin n’est pas actif. Supprimez tout ce que vous n’utilisez pas.

La quatrième erreur est de négliger les permissions de fichiers. Les fichiers WordPress doivent avoir les permissions 644 et les dossiers 755. Le fichier wp-config.php devrait idéalement être en 640 ou 600. Des permissions trop permissives (777) permettent à n’importe quel script sur le serveur de modifier vos fichiers WordPress.

La cinquième erreur est de ne pas tester les sauvegardes. Avoir des sauvegardes automatiques en place est essentiel, mais si vous n’avez jamais testé la restauration, vous n’avez aucune certitude que vos sauvegardes fonctionnent réellement. Testez la restauration complète au moins une fois par trimestre sur un environnement de test.

Conclusion

La sécurité WordPress n’est pas un événement ponctuel mais un processus continu. Les menaces évoluent constamment et votre protection doit évoluer avec elles. Si la gestion de la sécurité vous semble trop complexe ou chronophage, un forfait de maintenance WordPress professionnel prend en charge l’ensemble de ces mesures pour vous.

## FAQ

Q : Mon site WordPress a-t-il vraiment besoin de toutes ces mesures de sécurité ?

Oui. Les attaques sur WordPress sont automatisées et massives. Les robots ne ciblent pas votre site spécifiquement, ils scannent Internet à la recherche de failles. Même un petit blog personnel peut être piraté pour envoyer du spam ou héberger des malwares.

Q : Quel plugin de sécurité recommandez-vous ?

Wordfence est le plus populaire et offre un excellent pare-feu et scanner gratuit. Sucuri est une excellente alternative avec un WAF cloud. iThemes Security Pro offre un bon rapport fonctionnalités/simplicité. L’important est d’en choisir un seul (ne pas en installer plusieurs) et de bien le configurer.

Q : Les mises à jour automatiques de WordPress sont-elles sûres ?

Les mises à jour mineures de sécurité (automatiques par défaut) sont généralement sûres. Les mises à jour majeures et celles de plugins doivent être appliquées manuellement avec supervision pour éviter les incompatibilités.