Un site WordPress piraté une fois, ça se nettoie. Deux fois, ça se sécurise mieux. Mais quand les piratages se répètent malgré tous les efforts (plugins de sécurité, mots de passe renforcés, mises à jour scrupuleuses), il faut envisager une approche différente. Transformer un site WordPress dynamique en site statique, c’est l’une des solutions les plus radicales et les plus efficaces qui existent. Voici ce que ça implique, concrètement.
Avant de lire la suite, sachez que si vous n’avez pas le temps ou l’envie (ou les deux) de corriger ce problème vous-même, on peut s’en occuper.
Rendez-vous ici 👇
Contexte et enjeux de sécurité
Pourquoi certains sites sont piratés en boucle
Prenons un cas réel. Un site vitrine sous WordPress, sans WooCommerce, avec un trafic modeste. Rien d’extraordinaire. Et pourtant : trois piratages en dix-huit mois. À chaque fois, des redirections malveillantes, des fichiers infectés, des heures de nettoyage. Le site était à jour. SecuPress était installé et configuré. Les mots de passe étaient solides.
Le problème, ce n’était pas la négligence. C’était l’architecture elle-même.
Un site WordPress dynamique exécute du code PHP à chaque visite. Il interroge une base de données. Il fait tourner des dizaines de fichiers. Chacun de ces points est une surface d’attaque potentielle. Les pirates ne ciblent pas forcément votre site en particulier : ils lancent des scripts automatisés qui scannent des millions de sites à la recherche de la moindre faille dans un plugin, un thème ou la configuration du serveur.
Les limites d’un site dynamique face aux attaques répétées
La sécurité d’un site WordPress dynamique repose sur une vigilance permanente. Mettre à jour, surveiller, corriger. C’est un travail continu, car chaque nouvelle version de plugin peut introduire une nouvelle vulnérabilité. Et entre le moment où une faille est découverte et le moment où le correctif est appliqué, il y a une fenêtre d’exposition.
Pour un site qui n’a pas besoin de fonctionnalités dynamiques (pas de formulaire complexe, pas de compte utilisateur, pas de boutique), cette exposition permanente n’est pas justifiée. C’est là qu’un site statique prend tout son sens.
Les avantages de la transformation en site statique
Réduction radicale de la surface d’attaque
Un site statique ne fait tourner aucun PHP. Pas de base de données accessible. Pas de wp-login.php exposé. Pas de xmlrpc.php. Pas de point d’entrée dynamique exploitable par un script automatisé.
Ce que le serveur envoie au visiteur, c’est du HTML, du CSS et du JavaScript purs : des fichiers inertes, prégénérés. Il n’y a rien à injecter, rien à exploiter. Un pirate qui tente une attaque par injection SQL ou une attaque sur wp-admin se retrouve face à un mur vide. La surface d’attaque passe de dizaines de points d’entrée potentiels à quasiment zéro.
Gain de performance immédiat
Pas de PHP à exécuter, pas de base de données à interroger : les pages s’affichent directement depuis le serveur ou depuis un CDN. Les temps de chargement s’effondrent. Un site qui mettait 3 secondes à répondre peut descendre sous la seconde, sans aucune optimisation supplémentaire.
C’est un bénéfice direct pour le SEO et pour l’expérience utilisateur. Google favorise les sites rapides. Les visiteurs aussi.
WordPress reste votre outil de gestion de contenu
L’idée reçue sur les sites statiques, c’est qu’ils seraient difficiles à maintenir. Ce n’est plus vrai avec les outils actuels.
Vous continuez à rédiger vos articles, modifier vos pages et gérer votre contenu depuis l’interface WordPress habituelle, en back-office. C’est le plugin de génération statique qui prend la main ensuite : il génère les fichiers HTML correspondants et les déploie. Votre façon de travailler ne change pas. Seul ce que le visiteur reçoit change.
Processus de conversion en site statique
Choisir l’outil de génération
Plusieurs plugins permettent de générer un site statique depuis WordPress. Les deux plus utilisés en 2026 sont WP2Static et Simply Static.
Simply Static est le plus accessible. Il crawle votre site, génère l’ensemble des fichiers HTML, et peut les déployer directement sur un serveur FTP, un bucket S3 ou un service comme Netlify ou Cloudflare Pages. La version gratuite couvre la majorité des cas d’usage pour un site vitrine.
WP2Static offre plus de flexibilité et de destinations de déploiement, au prix d’une configuration un peu plus technique. Il convient mieux aux projets avec des exigences spécifiques d’hébergement.
Configuration et génération des fichiers statiques
Une fois le plugin installé, la configuration de base prend moins d’une heure. Voici les étapes principales.
1. Définir la destination de déploiement : serveur FTP, hébergement statique (Netlify, GitHub Pages, Cloudflare Pages) ou dossier local.
2. Lancer une première génération complète. Le plugin parcourt toutes les pages, articles et médias de votre site et génère les fichiers correspondants. Sur un site de taille moyenne, ça prend quelques minutes.
3. Vérifier le résultat : parcourir le site généré pour s’assurer que tout s’affiche correctement (menus, images, formulaires de contact).
4. Configurer le déploiement automatique : à chaque modification de contenu dans WordPress, une nouvelle génération est déclenchée et les fichiers sont mis à jour automatiquement.
Le cas des formulaires et des fonctionnalités dynamiques
Un formulaire de contact ne peut pas fonctionner sur un site purement statique, car il nécessite du traitement côté serveur. La solution : externaliser cette fonctionnalité vers un service tiers.
Formspree ou Netlify Forms permettent d’intégrer des formulaires de contact fonctionnels sur un site statique, sans code serveur. Les soumissions sont reçues par e-mail ou stockées dans un tableau de bord. Pour la grande majorité des sites vitrines, c’est largement suffisant.
Résultats obtenus et retour d’expérience
Ce qui change concrètement après la conversion
Pour le site évoqué en introduction (trois piratages en dix-huit mois), la conversion en site statique a été réalisée en une journée. Résultat : zéro piratage depuis la mise en ligne. Pas de tentative réussie, parce qu’il n’y a plus rien à tenter.
Les autres bénéfices mesurés sur ce projet :
- Le score PageSpeed Mobile est passé de 54 à 91 sans aucune optimisation supplémentaire, simplement parce que le serveur n’a plus besoin d’exécuter PHP.
- Le coût d’hébergement a baissé : un hébergement statique sur Cloudflare Pages ou Netlify est gratuit pour un site vitrine standard.
- Le back-office WordPress reste installé sur un serveur séparé, non exposé publiquement. Seuls les fichiers générés sont accessibles depuis Internet.
À quel type de site cette approche convient-elle ?
Un site statique convient parfaitement à un site vitrine, un portfolio, un blog sans espace membres, un site institutionnel. Il ne convient pas, ou nécessite des adaptations importantes, pour un site e-commerce, un site avec espace client, un annuaire avec recherche dynamique ou tout site où les utilisateurs interagissent en temps réel avec la base de données.
Pour les boutiques WooCommerce ou les sites avec des fonctionnalités avancées, d’autres approches de sécurisation sont à privilégier. Notre audit de sécurité WordPress permet d’identifier la stratégie adaptée à votre configuration.
Recommandations pour pérenniser la sécurité
Le back-office WordPress reste à sécuriser
Passer en statique ne signifie pas abandonner toute vigilance. Le back-office WordPress, depuis lequel vous gérez votre contenu, doit rester sécurisé, même s’il n’est pas exposé au public.
Les bonnes pratiques restent les mêmes : mises à jour régulières du cœur WordPress, des plugins et des thèmes, double authentification sur le compte administrateur, sauvegardes automatiques. SecuPress reste pertinent pour surveiller l’état de sécurité de l’installation, même sur un back-office non public.
Pour aller plus loin sur ces fondamentaux, notre article sur la sécurité WordPress détaille la checklist complète à appliquer.
Sauvegardes et plan de reprise
Même sur un site statique, les sauvegardes ont leur importance. Ce n’est pas le site public qui risque d’être corrompu (les fichiers statiques sont régénérés à volonté), mais la base de données WordPress qui contient tout votre contenu.
Une sauvegarde automatique quotidienne de votre installation WordPress (base de données + fichiers back-office) reste indispensable. Si quelque chose se passe mal sur le back-office, vous devez pouvoir restaurer rapidement sans perdre de contenu.
Transformer votre WordPress en site statique, c’est choisir de réduire la surface d’attaque au minimum. Pour un site qui n’a pas besoin de dynamisme côté serveur, c’est souvent la décision la plus intelligente qu’on puisse prendre. Si vous voulez évaluer si cette approche est adaptée à votre site, notre service de dépannage WordPress peut vous accompagner dans ce diagnostic, notamment si vous faites face à des piratages répétés que les solutions classiques n’arrivent pas à endiguer.
