Plus de 43 % des sites web dans le monde tournent sous WordPress. Cette popularité en fait la cible numéro un des cyberattaques automatisées. Chaque jour, des milliers de sites WordPress sont compromis, et la plupart de leurs propriétaires ne s’en rendent compte que trop tard.
Un site piraté, c’est des données perdues, une réputation détruite, une pénalité Google qui vous fait disparaître des résultats de recherche, et parfois votre site transformé en machine à spammer vos visiteurs.
Table des matières
La bonne nouvelle ? La majorité des attaques exploitent des failles connues et facilement évitables. Dans ce guide complet, je vous montre exactement comment sécuriser votre WordPress en 2025 étape par étape, des bases aux mesures avancées.
1. Pourquoi la sécurité de votre site WordPress est-elle cruciale ?
La sécurité n’est pas une option, mais une nécessité. Ignorer ce point, c’est comme laisser la porte de votre maison grande ouverte. Les risques sont nombreux et peuvent être catastrophiques.
WordPress n’est pas intrinsèquement vulnérable. Le problème vient de son adoption massive couplée à une mauvaise configuration :
- Des milliers de thèmes et plugins tiers mal maintenus introduisent des failles régulièrement
- Les mises à jour ignorées laissent des vulnérabilités connues grandes ouvertes
- Les mots de passe faibles permettent des attaques par force brute en quelques heures
- Les installations par défaut exposent des URLs d’administration prévisibles (/wp-admin)
En 2024, selon Sucuri, 97 % des CMS infectés étaient WordPress, non pas parce qu’il est le moins sécurisé, mais parce qu’il est le plus utilisé et le moins correctement configuré.
Cas concret : un site piraté en 48h
| Dans un incident réel, ce qui arrive concrètement : Un blog WordPress avec un plugin de formulaire de contact datant de 2022 jamais mis à jour. En une nuit, des bots automatisés ont détecté la faille CVE connue dans ce plugin, injecté du code malveillant, et redirigé tous les visiteurs vers un site de phishing. Résultat : déréférencement Google en 72h, compte hébergeur suspendu, 3 semaines de travail pour tout restaurer. Tout cela aurait été évité avec les 5 mesures de base. |
2. Les 5 mesures essentielles pour sécuriser votre site WordPress
1. Des mots de passe forts et uniques
Votre compte administrateur WordPress, votre base de données MySQL, et votre accès FTP/hébergement doivent avoir des mots de passe d’au moins 16 caractères, mélangeant majuscules, minuscules, chiffres et symboles et complètement différents pour chaque accès.
| Outil recommandé : Utilisez un gestionnaire de mots de passe : Bitwarden (gratuit & open source), 1Password, ou LastPass. N’utilisez JAMAIS « admin » comme identifiant, c’est la première combinaison que les bots testent automatiquement. |
2. Mettre à jour WordPress, thèmes et plugins systématiquement
Chaque mise à jour WordPress ou plugin contient souvent des correctifs de sécurité critiques. Ignorer les mises à jour, c’est laisser une porte ouverte avec l’adresse de la clé cachée dessous.
- Activez les mises à jour automatiques mineures de WordPress (Réglages > Mises à jour)
- Vérifiez les mises à jour de plugins au moins une fois par semaine
- Supprimez les plugins et thèmes inactifs, ils restent une surface d’attaque même désactivés
3. Installer un plugin de sécurité dédié
Un bon plugin de sécurité surveille votre site 24h/24, bloque les tentatives de connexion suspectes et vous alerte en cas d’anomalie. Voici une comparaison des meilleures options :
| Plugin | Points forts | Prix |
| Wordfence | Pare-feu applicatif, scan malwares, blocage IP, 2FA inclus | Gratuit / Pro 119$/an |
| Sucuri Security | Monitoring intégrité fichiers, CDN sécurisé, détection malwares | Gratuit / Pro 199$/an |
| iThemes Security | Protection brute force, 2FA, détection de failles connues | Gratuit / Pro 99$/an |
| WP Cerber | Limitation connexions, anti-spam, logs d’activité | Gratuit / Pro 99$/an |
| Recommandation : Pour GandalSmart, Wordfence en version gratuite couvre l’essentiel très efficacement et s’installe en 5 minutes. |
4. Protéger wp-config.php et les fichiers sensibles
Le fichier wp-config.php contient vos identifiants de base de données et les clés secrètes WordPress. Protégez-le en ajoutant ce bloc dans votre .htaccess :
# Bloquer l’accès à wp-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>
Ou
<files wp-config.php>
order allow, deny
deny from all
</files>
# Bloquer l’accès aux fichiers .htaccess
<Files ~ « ^\.ht »>
Order allow,deny
Deny from all
</Files>
Conseil supplémentaire : déplacez wp-config.php un niveau au-dessus de la racine web. WordPress le détectera automatiquement, mais les bots ne le trouveront plus.
5. Sauvegardes automatiques et régulières
La sauvegarde est votre filet de sécurité ultime. Même si tout le reste échoue, une bonne sauvegarde vous permet de tout restaurer en quelques minutes.
Stratégie recommandée – Règle 3-2-1 :
- 3 copies de vos données
- Sur 2 supports différents
- Dont 1 hors site (cloud externe : Google Drive, Amazon S3, Backblaze)
Plugins recommandés : UpdraftPlus (gratuit, excellent), BackWPup, ou Duplicator Pro.
Mesures avancées pour aller plus loin
Activer l’authentification à deux facteurs (2FA)
La gestion des identités et des accès est un pilier de la cybersécurité moderne. L’authentification 2FA ajoute une deuxième couche de vérification après le mot de passe même si un attaquant vole votre mot de passe, il ne peut pas se connecter sans votre téléphone.
- WP 2FA (le plus simple à configurer)
- Google Authenticator par miniOrange
- Wordfence (inclut le 2FA dans la version gratuite)
Changer l’URL de connexion par défaut
Par défaut, tous les sites WordPress sont accessibles via /wp-admin ou /wp-login.php. Les bots connaissent ces URLs et les bombardent en permanence. Le plugin WPS Hide Login permet de changer cette URL en 30 secondes.
| Attention : Notez bien la nouvelle URL quelque part avant de l’activer — si vous l’oubliez, vous pouvez être bloqué hors de votre propre site ! |
Certificat SSL et HTTPS
Le SSL est obligatoire depuis 2014. Google le considère comme un signal de classement, et les navigateurs modernes affichent une alerte « Non sécurisé » sur les sites sans SSL. La plupart des hébergeurs proposent Let’s Encrypt gratuitement. Vous pouvez installer ensuite Really Simple SSL pour forcer la redirection HTTP → HTTPS.
Pare-feu applicatif (WAF)
Un WAF filtre le trafic malveillant avant qu’il n’atteigne votre serveur. Pour un hébergement sécurisé dans le cloud, c’est une couche de protection essentielle.
- Cloudflare (plan gratuit très efficace + CDN inclus)
- Sucuri Firewall (plan payant mais très puissant)
- Wordfence (WAF intégré au plugin)
Checklist de sécurité WordPress 2026
Voici votre checklist à imprimer et cocher dès aujourd’hui :
| Fondamentaux (faire en premier) ☐ Changer le nom d’utilisateur « admin » ☐ Définir des mots de passe forts (admin, BDD, FTP) ☐ Mettre à jour WordPress + thèmes + plugins ☐ Supprimer plugins et thèmes inutilisés ☐ Installer et configurer Wordfence | Intermédiaire ☐ Activer le 2FA sur le compte admin ☐ Changer l’URL de connexion wp-admin ☐ Configurer sauvegardes automatiques quotidiennes ☐ Protéger wp-config.php via .htaccess ☐ Activer le SSL / HTTPS |
| Avancé ☐ Configurer Cloudflare comme WAF ☐ Surveillance des fichiers (Sucuri ou Wordfence) ☐ Restreindre l’accès wp-admin par IP ☐ Activer les logs d’activité (WP Activity Log) ☐ Planifier un audit de sécurité mensuel | |
En tant qu’ingénieur Systèmes & infra, je peux vous garantir qu’une bonne sécurité est un travail continu. Avec ce guide, vous avez toutes les clés en main pour bâtir une base solide pour la protection de votre site WordPress. N’ayez plus peur, soyez proactif !
La sécurité de votre WordPress n’est pas un projet qu’on règle une fois pour toutes c’est une vigilance continue. En appliquant les 5 mesures essentielles de ce guide et en activant les protections avancées, vous réduisez drastiquement votre surface d’attaque.
Commencez maintenant par : la mise à jour de vos plugins, l’installation de Wordfence, et l’activation du 2FA. Ces trois actions prennent moins d’une heure et font une différence immédiate.
Pour aller plus loin sur la gestion des identités et des accès, consultez mon article complet sur l’IAM en cybersécurité. Et si vous voulez comprendre comment sécuriser votre infrastructure dans le cloud, découvrez mon guide sur le Cloud Computing et la sécurité.
| Et vous ? Avez-vous déjà subi une tentative de piratage sur votre site WordPress ? Partagez votre expérience dans les commentaires, vos retours aident toute la communauté ! |
Mamadou Mouslim Diallo – Ingénieur en informatique, spécialiste cybersécurité & développement web | Gandalsmart.com
