Nous ouvrons des sites piratés à peu près chaque mois. Dans presque tous les cas, l’entrée s’est faite par une extension que le propriétaire avait oubliée, pas par une attaque sophistiquée. Cette page rassemble ce qui protège un site WordPress ordinaire, ce que vous pouvez vérifier vous-même en une heure, et les articles qui traitent chaque point en détail.
Ce que « sécuriser WordPress » veut dire
Sécuriser un site ne consiste pas à le rendre inviolable. Personne ne vend ça, et le prestataire qui le promet ment. Sécuriser consiste à réduire la surface d’attaque, à repérer une intrusion vite, et à pouvoir remettre le site en état sans avoir tout perdu.
Ces trois objectifs demandent des actions différentes. Réduire la surface, c’est supprimer ce qui ne sert pas. Repérer, c’est surveiller. Remettre en état, c’est sauvegarder ailleurs que sur le serveur du site. Un plugin de sécurité couvre le premier et une partie du deuxième. Il ne couvre pas le troisième.
D’où viennent les failles
Le rapport State of WordPress Security in 2026 de Patchstack recense 11 334 vulnérabilités découvertes dans l’écosystème WordPress sur la seule année 2025, en hausse de 42 % par rapport à 2024. La répartition compte plus que le total.
| Origine de la faille | Part des vulnérabilités 2025 |
|---|---|
| Extensions | 91 % |
| Thèmes | 9 % |
| Cœur de WordPress | 6 failles sur 11 334, toutes de faible sévérité |
WordPress lui-même n’est donc pas votre problème. Vos extensions le sont. Un site qui porte quarante plugins porte quarante portes d’entrée, dont certaines appartiennent à des développeurs qui ont cessé de mettre à jour leur travail il y a trois ans.
Le même rapport donne le délai qui rend la mise à jour urgente : environ la moitié des failles à fort impact sont exploitées dans les 24 heures qui suivent leur publication, et la médiane tombe à cinq heures pour les plus ciblées. La publication du correctif sert de signal de départ aux robots qui cherchent les sites qui ne l’ont pas appliqué.
Les quatre mesures qui comptent
Beaucoup de guides listent vingt actions. Sur les sites que nous reprenons, quatre suffisent à écarter la grande majorité des scénarios.
Réduire le nombre d’extensions
Ouvrez Extensions, triez par date de dernière mise à jour. Toute extension sans mise à jour depuis plus d’un an devient un candidat à la suppression. Désactiver ne suffit pas : les fichiers restent sur le serveur et restent atteignables. Supprimez.
Appliquer les mises à jour vite
Activez les mises à jour automatiques sur les extensions dont vous ne dépendez pas pour le chiffre d’affaires. Gardez la main sur celles qui touchent au paiement, aux formulaires ou au thème. Le rythme adapté à votre type de site est détaillé dans notre article sur la fréquence idéale des mises à jour.
Bloquer les tentatives de connexion
Installez SecuPress et activez la limitation des tentatives de connexion plus le blocage de xmlrpc.php. Wordfence et Sucuri Security font le même travail. Leur défaut : sur un hébergement mutualisé modeste, leur scan consomme assez de ressources pour ralentir le site aux heures de pointe.
Ajoutez la double authentification sur les comptes administrateurs. C’est la seule mesure qui protège encore quand votre mot de passe fuite par ailleurs.
Sauvegarder ailleurs, et tester la restauration
Une sauvegarde stockée sur le serveur du site disparaît avec lui. Envoyez-la vers un stockage externe. Puis restaurez-la une fois, sur un site de test, pour vérifier qu’elle contient ce que vous croyez. Nous avons vu des sauvegardes quotidiennes qui tournaient depuis deux ans sans jamais avoir inclus la base de données.
Comment le vérifier chez vous
Cinq contrôles, réalisables depuis wp-admin et votre gestionnaire de fichiers, sans ligne de commande.
- Extensions, colonne de dernière mise à jour : combien de lignes dépassent un an ?
- Comptes utilisateurs : combien de comptes administrateurs, et connaissez-vous chaque personne derrière ?
- Votre dernière sauvegarde : quelle date, quel emplacement, et contient-elle la base de données ?
- Racine du site en FTP : trouvez-vous des fichiers PHP aux noms aléatoires à côté de
wp-config.php? - Version de PHP dans votre panneau d’hébergement : est-elle encore suivie par ses développeurs ?
Trois réponses inconfortables sur cinq et votre site mérite une reprise en main. La checklist complète de protection détaille chaque point.
Les limites de cette méthode
Ces mesures traitent les attaques automatisées, qui représentent la quasi-totalité de ce que reçoit un site ordinaire. Elles ne traitent pas une attaque ciblée conduite par quelqu’un qui vous vise en particulier.
Elles supposent aussi que le serveur est sain. Sur un mutualisé, un site voisin compromis peut atteindre le vôtre selon la configuration de l’hébergeur. Patchstack a testé les protections des hébergeurs en 2025 : le meilleur du panel bloque environ 60 % des attaques connues, la moyenne du secteur tombe autour de 26 %. Votre hébergeur ne vous protège pas à votre place.
Enfin, aucune de ces mesures ne récupère un site déjà compromis. Un site infecté se nettoie, il ne se sécurise pas.
Le guide par situation
- Savoir si votre site a été piraté et le nettoyer : si vous constatez des redirections, du contenu inconnu ou une chute de trafic.
- La checklist de protection point par point : si le site fonctionne et que vous voulez faire l’état des lieux.
- Rendre le site statique : si le site se fait pirater en boucle malgré les correctifs.
- WordPress et le RGPD : si vos obligations portent sur les données de vos visiteurs plutôt que sur l’intrusion.
- Erreur 503 à répétition : si le site tombe à heure fixe, un bourrage de mots de passe peut en être la cause.
Quand nous faire intervenir
Faites appel à nous si votre site remplit une de ces conditions :
- des signes d’intrusion déjà visibles, redirections ou fichiers inconnus
- un site nettoyé qui se recompromet dans les semaines qui suivent
- une extension abandonnée dont dépend une fonction que vous ne pouvez pas perdre
- aucune sauvegarde vérifiée depuis plus de six mois
Ce que nous prenons en charge : l’inventaire des extensions et de leur état de maintenance, la recherche de portes dérobées dans les fichiers, la reprise des accès et des sauvegardes. Voir notre audit de sécurité WordPress et, pour un site déjà compromis, le dépannage WordPress.
Publié par L’Agence Oueb le 18 août 2026, testé sur WordPress 7.03 et PHP 8.3. Chiffres issus du rapport State of WordPress Security in 2026, Patchstack.
