Comment sécuriser un site WordPress contre les pirates (étape par étape) 

Ma première vraie alerte de sécurité est survenue lorsque des robots de spam ont bombardé ma page de connexion des centaines de fois pendant la nuit. Je n'ai pas perdu l'accès, mais j'ai failli le faire, et cela m'a rapidement appris que la sécurité de WordPress n'est pas une option.

Si vous avez besoin de sécuriser un site WordPress, ce guide vous montre les étapes exactes que j'utilise maintenant : mises à jour, connexions sécurisées, sauvegardes, pare-feu, SSL, et plus encore, le tout sans toucher au code.

Les enjeux sont réels. Google met sur liste noire des milliers de sites infectés chaque jour. Si votre site se retrouve sur cette liste, vous perdrez du trafic du jour au lendemain, et reconstruire cette confiance prend des mois. Les attaquants peuvent également voler les données des clients, injecter des liens de spam, propager des logiciels malveillants à vos visiteurs, ou vous bloquer jusqu'à ce que vous payiez une rançon.

La bonne nouvelle, c'est que la plupart des piratages exploitent des faiblesses évitables. Suivez ces étapes et vous fermerez la porte à la grande majorité des attaques.

Menaces courantes de sécurité WordPress à connaître

Avant de plonger dans les solutions, il est utile de savoir à quoi vous avez affaire. Voici les types d'attaques les plus courants ciblant les sites WordPress.

• Les attaques par force brute sont des scripts automatisés qui essaient des milliers de combinaisons de noms d'utilisateur et de mots de passe sur votre page de connexion. C'est la menace la plus courante à laquelle les sites WordPress sont confrontés, et la plus facile à arrêter.
• Le cross-site scripting (XSS) permet aux attaquants d'injecter du JavaScript malveillant dans les pages de votre site. Les visiteurs qui chargent ces pages peuvent voir leurs données volées sans rien savoir.
• L'injection SQL se produit lorsqu'un attaquant envoie du code malveillant via un formulaire ou une URL pour manipuler directement votre base de données. Une injection SQL réussie peut exposer tous les comptes d'utilisateurs, mots de passe et contenus de votre site.
• Les attaques DDoS inondent votre serveur de trafic factice jusqu'à ce qu'il plante et devienne inaccessible. Ils ne s'introduisent pas ; ils vous bloquent simplement et rendent votre site indisponible pour les visiteurs réels.
• L'exploitation de logiciels obsolètes est la menace la plus évitable sur cette liste. Les attaquants recherchent activement les sites exécutant d'anciennes versions de WordPress, de plugins ou de thèmes car les vulnérabilités connues sont documentées publiquement. Un plugin non corrigé est une invitation ouverte.

Comment sécuriser votre site WordPress : 11 étapes

1. Mettez à jour les fichiers du cœur de WordPress pour prévenir les piratages

Maintenez WordPress à jour. C'est le moyen le plus simple de combler les failles de sécurité connues.

Le cœur de WordPress, les plugins et les thèmes reçoivent des mises à jour régulières, dont beaucoup corrigent des vulnérabilités. Les mises à jour mineures s'installent généralement automatiquement, mais vous devrez appliquer vous-même les mises à jour majeures. Ignorer celles-ci laisse votre site exposé aux attaques.

Consultez votre tableau de bord souvent et mettez à jour vos plugins et thèmes dès que les mises à jour sont disponibles. Cela ne prend qu'un clic et peut éviter des dommages importants.

2. Supprimez les plugins et thèmes inutilisés pour améliorer la sécurité

Supprimez les plugins et thèmes que vous n'utilisez pas. Chaque fichier inactif est une autre porte d'entrée pour les pirates.

Même si un plugin ou un thème est désactivé, son code existe toujours sur votre serveur. Les pirates peuvent exploiter des logiciels anciens ou abandonnés pour s'infiltrer sur votre site. C'est pourquoi les outils inutilisés représentent un risque de sécurité.

Nettoyez régulièrement votre site en supprimant tout ce dont vous n'avez pas besoin. Cela maintient votre installation WordPress légère et plus facile à gérer, et c'est l'une des étapes de renforcement de WordPress les plus efficaces que vous puissiez prendre sans aucun outil.

3. Utilisez des mots de passe et des autorisations robustes

Utilisez des mots de passe uniques et forts, et limitez l'accès aux comptes. Des connexions faibles sont le moyen le plus simple pour les pirates de s'introduire.

Un mot de passe sécurisé doit comporter au moins 12 caractères et inclure un mélange de majuscules, de minuscules, de chiffres et de symboles. Évitez d'utiliser des noms, des dates de naissance ou tout ce qui est facile à deviner.

Utilisez un gestionnaire de mots de passe pour générer et stocker des mots de passe complexes. Vous n'aurez pas à vous en souvenir, et vous ne réutiliserez jamais le même mot de passe sur différents comptes.

Évitez également de partager le compte administrateur principal. Attribuez des rôles et des autorisations d'utilisateur afin que chaque personne n'ait que l'accès dont elle a besoin.

Pour les sites avec plusieurs utilisateurs ou des ordinateurs partagés, envisagez d'ajouter un plugin de déconnexion automatique comme Inactive Logout. Il termine les sessions automatiquement après une période d'inactivité définie, ce qui réduit les risques si quelqu'un oublie de se déconnecter.

Ajouter un CAPTCHA à votre page de connexion est une autre victoire facile pour la sécurité de la connexion WordPress. Il bloque les soumissions de bots avant même qu'ils ne tentent de se connecter. WPForms inclut une protection anti-spam intégrée que vous pouvez utiliser sur les formulaires de votre site.

4. Choisissez une société d'hébergement WordPress sécurisée

Votre hébergeur est votre première ligne de défense, alors choisissez un fournisseur d'hébergement WordPress sécurisé qui protège activement votre site contre les attaques.

Les meilleures sociétés d'hébergement WordPress comme Bluehost, SiteGround et Hostinger incluent des couches de sécurité intégrées pour empêcher les pirates de s'introduire.

• Surveillance 24h/24 et 7j/7 pour les activités suspectes
• Protection contre les attaques DDoS à grande échelle
• Logiciels serveur et versions PHP à jour
• Systèmes de reprise après sinistre et de sauvegarde

L'hébergement mutualisé peut mettre votre site en danger si un autre site sur le même serveur est piraté. Pour une protection plus solide, envisagez un hébergement WordPress géré. Il comprend des mises à jour automatiques, des sauvegardes et des fonctionnalités de sécurité avancées intégrées.

5. Sauvegardez votre site WordPress pour récupérer après des piratages

Une sauvegarde fiable est votre filet de sécurité. Elle vous permet de restaurer rapidement votre site si des pirates, des erreurs ou des plantages le font tomber.

Les meilleurs plugins de sauvegarde WordPress vous permettent de planifier des sauvegardes automatiques et de les stocker en toute sécurité hors site, de sorte que vous ne vous retrouvez jamais sans copie fonctionnelle.

Les deux fonctionnalités les plus importantes : stockage hors site (pour que votre sauvegarde survive même si votre hébergeur tombe en panne) et restauration en un clic (pour que la récupération prenne quelques minutes, pas quelques heures).

Les plugins populaires incluent Duplicator, UpdraftPlus, BlogVault et Jetpack VaultPress Backups. Ils sont conviviaux pour les débutants et ne nécessitent pas de codage.

Protégez la réputation de votre site lors d'un incident de sécurité

Même avec une bonne sécurité en place, les sites tombent parfois hors ligne pour maintenance, mises à jour ou nettoyage après un piratage. Ce que les visiteurs voient pendant cette période est important.

J'utilise les pages « Bientôt disponible » et « En maintenance » de SeedProd pour afficher une page d'attente propre et personnalisée chaque fois que mon site doit être hors ligne.

Au lieu que les visiteurs tombent sur une page cassée ou un écran d'erreur, ils voient quelque chose de professionnel qui maintient leur confiance intacte.

Si vous avez besoin de mettre votre site hors ligne pour le nettoyer après un incident de sécurité, SeedProd rend cela simple. Activez une page de maintenance en un clic, personnalisez-la pour qu'elle corresponde à votre marque, et remettez le site en ligne dès que vous êtes prêt. Aucun code nécessaire.

6. Choisissez le meilleur plugin de sécurité WordPress

Un plugin de sécurité, c'est comme avoir un chien de garde pour votre site. Il analyse les menaces, bloque les attaques et vous alerte si quelque chose semble suspect.

Avec le bon plugin, vous pouvez surveiller les tentatives de connexion échouées, analyser les logiciels malveillants et renforcer les points faibles de WordPress sans toucher au code.

Sucuri est mon préféré. Après l'installation, allez dans Sucuri Security » Settings » Hardening et cliquez sur « Apply Hardening » pour chaque option. Ces paramètres verrouillent les zones que les pirates ciblent souvent.

D'autres excellentes options incluent Wordfence et iThemes Security, qui fournissent tous deux des pare-feu, des analyses de logiciels malveillants et une protection des connexions.

Quel que soit le plugin que vous choisissez, configurez une analyse hebdomadaire automatique des logiciels malveillants. La plupart des plugins de sécurité gèrent cela dans les paramètres. Si une analyse détecte quelque chose, restaurez à partir de votre sauvegarde propre la plus récente, contactez votre hébergeur ou utilisez le service de suppression de logiciels malveillants de Sucuri, qui est inclus dans leurs plans payants.

7. Bloquez les pirates avec un pare-feu WordPress (WAF)

Un pare-feu arrête les pirates avant même qu'ils n'atteignent votre site en filtrant le trafic malveillant.

Il existe deux principaux types de pare-feu WordPress :

• Pare-feu au niveau DNS : Filtre le trafic via des serveurs cloud sécurisés avant qu'il n'atteigne votre site.
• Pare-feu au niveau de l'application : Vérifie le trafic sur votre serveur avant de charger les scripts WordPress.

Sucuri Firewall est l'une des options les plus efficaces. Il a aidé WPBeginner à bloquer 450 000 attaques en 3 mois, ce qui montre ce qu'un pare-feu au niveau DNS peut faire à grande échelle.

Avec Sucuri, vous bénéficiez également d'une suppression des logiciels malveillants et d'un retrait de liste noire. Si votre site est piraté pendant son utilisation, ils le répareront sans frais supplémentaires. C'est un service qui vaut bien plus que le prix de 199 $/an.

8. Désactiver la modification des fichiers WordPress

WordPress inclut un éditeur de fichiers intégré sous Apparence > Éditeur de fichiers du thème qui vous permet de modifier les fichiers PHP directement depuis le tableau de bord. Si un attaquant obtient un accès administrateur, cet éditeur devient un problème sérieux.

Le désactiver prend 30 secondes et c'est l'une des étapes de renforcement de WordPress les plus efficaces que la plupart des débutants négligent. Ajoutez cette ligne à votre fichier wp-config.php :

define('DISALLOW_FILE_EDIT', true);

Une fois ajoutée, l'éditeur de fichiers disparaît entièrement de votre tableau de bord. Même si quelqu'un accède à votre compte administrateur, il ne pourra pas l'utiliser pour injecter du code malveillant dans vos fichiers de thème.

9. Activer le protocole SSL/HTTPS pour sécuriser les données WordPress

SSL/HTTPS crypte les données entre votre site et les visiteurs, rendant beaucoup plus difficile pour les pirates de voler des informations.

Une fois SSL actif, votre site affichera HTTPS au lieu de HTTP, ainsi qu'une icône de cadenas dans le navigateur. Cela renforce la confiance et protège les données sensibles comme les identifiants et les paiements.

La plupart des hébergeurs incluent désormais des certificats SSL gratuits via Let’s Encrypt. Si le vôtre ne le fait pas, vous pouvez en acheter un sur Domain.com, qui comprend une garantie de sécurité de 10 000 $ et un sceau TrustLogo.

Pour obtenir de l'aide lors de la configuration, consultez mon guide sur comment ajouter SSL à WordPress.

10. Arrêter les attaques par force brute en limitant les tentatives de connexion

Limiter les tentatives de connexion empêche les pirates de deviner votre mot de passe encore et encore jusqu'à ce qu'ils réussissent.

Lorsque quelqu'un entre le mauvais mot de passe trop de fois, il est temporairement bloqué hors de votre site. Cette étape simple bloque les attaques par force brute et vous envoie des alertes en cas d'activité suspecte.

Le moyen le plus simple est d'utiliser le plugin gratuit Limit Login Attempts Reloaded. Il vous permet de définir le nombre de tentatives échouées autorisées et vous envoie un e-mail chaque fois qu'une connexion échoue.

Vous pouvez renforcer la sécurité de connexion WordPress en changeant votre URL de connexion par défaut. Les robots et scripts ciblent /wp-login.php par défaut, donc le changer pour quelque chose de personnalisé arrête la majorité des attaques automatisées avant qu'elles ne commencent. Un plugin comme WPS Hide Login gère cela sans toucher au code.

11. Utiliser l'authentification à deux facteurs

L'authentification à deux facteurs (2FA) ajoute un verrou supplémentaire à votre connexion afin que les pirates ne puissent pas y accéder avec votre seul mot de passe.

Avec la 2FA, vous vous connectez avec votre nom d'utilisateur et votre mot de passe, puis vous confirmez un code unique envoyé à votre téléphone ou application. Même si votre mot de passe est divulgué, les attaquants ne peuvent pas accéder à votre site sans ce second code.

Une option gratuite est le plugin WordPress Two Factor Authentication. Après l'installation, allez dans Two Factor Auth dans votre tableau de bord, scannez le code QR avec une application comme Google Authenticator, et vous êtes prêt.

La prochaine fois que vous vous connecterez à WordPress, on vous demandera le code après votre mot de passe, protégeant ainsi votre site contre les attaques par force brute.

FAQ sur la sécurisation de votre site WordPress

Comment puis-je changer mon URL de connexion WordPress pour empêcher les attaques par force brute ?

Utilisez un plugin comme WPS Hide Login pour changer votre URL /wp-login.php par défaut en un chemin personnalisé. Cela empêche les robots automatisés de trouver votre page de connexion, car ils ciblent l'URL par défaut.

L'installation prend moins d'une minute. Allez dans Paramètres > WPS Hide Login, entrez votre URL de connexion personnalisée et enregistrez. Votre ancienne URL de connexion renverra une erreur 404 à quiconque essaiera de l'utiliser.

Quel est le meilleur plugin de sécurité WordPress pour les débutants ?

Sucuri est la meilleure option pour la plupart des débutants car il combine un pare-feu, une analyse des logiciels malveillants, un renforcement de la connexion et une suppression professionnelle des logiciels malveillants en un seul endroit. La version gratuite couvre les bases ; le plan payant ajoute le pare-feu au niveau du DNS.

Wordfence est une alternative gratuite solide avec un pare-feu et un scanner intégrés. Si vous avez un budget limité, Wordfence couvre la plupart de ce dont vous avez besoin sans rien payer.

Comment savoir si mon site WordPress a été piraté ?

Les signes avant-coureurs incluent une baisse soudaine du trafic, des liens ou du contenu étranges apparaissant sur vos pages, un avertissement de Google dans les résultats de recherche, votre hébergeur suspendant votre compte, ou des visiteurs étant redirigés vers d'autres sites.

Exécutez une analyse gratuite sur Sucuri SiteCheck pour vérifier les logiciels malveillants et le statut de mise sur liste noire. La plupart des plugins de sécurité incluent également une analyse des logiciels malveillants intégrée que vous pouvez exécuter depuis votre tableau de bord.

Ai-je besoin d'un plugin de sécurité si j'ai déjà un hébergeur WordPress géré ?

L'hébergement géré vous offre une protection au niveau du serveur, mais il ne couvre pas tout. Votre hébergeur ne peut pas vous protéger contre les mots de passe faibles, les plugins vulnérables ou les attaques qui exploitent directement votre application WordPress.

Un plugin de sécurité ajoute une surveillance au niveau de l'application, une analyse des logiciels malveillants et une protection de la connexion en plus de ce que votre hébergeur fournit. Les deux fonctionnent ensemble, pas l'un à la place de l'autre.

Prochaines étapes

Ces étapes couvrent tout ce dont vous avez besoin pour protéger votre site WordPress contre les pirates, sans aucun codage requis. Commencez par les mises à jour et les mots de passe forts dès aujourd'hui, puis ajoutez un plugin de sécurité, un pare-feu et une authentification à deux facteurs.

Pour plus d'informations, consultez ces guides :

• Meilleurs plugins WordPress multisite
• Comment protéger par mot de passe un site WordPress
• Meilleurs plugins de duplication WordPress
• Comment accepter les paiements sécurisés par Stripe dans WordPress

Merci de votre lecture ! Nous serions ravis d’entendre vos réflexions, alors n’hésitez pas à participer à la conversation sur YouTube, X et Facebook pour plus de conseils et de contenu utiles pour développer votre entreprise.