Un site WordPress piraté coûte rarement cher en rançon : il coûte en indisponibilité, en indexation perdue et en confiance client. La sécurité WordPress n’est pas une case technique à cocher une fois, c’est une hygiène continue qui protège le chiffre d’affaires généré par le site. Cet article détaille les attaques les plus fréquentes, la checklist à appliquer en priorité, et la marche à suivre si le site est déjà compromis.
En bref
La sécurité WordPress repose sur cinq réflexes prioritaires : mises à jour systématiques du cœur, des thèmes et des extensions, authentification renforcée (mot de passe unique et double authentification), sauvegardes externalisées testées, permissions de fichiers strictes, et surveillance des connexions suspectes. La majorité des compromissions observées sur le terrain ne viennent pas d’une faille inconnue, mais d’un identifiant réutilisé ou d’une extension jamais mise à jour.
Un site correctement durci réduit fortement le risque d’infection par malware, de defacement ou d’envoi de spam depuis le serveur, trois conséquences qui pénalisent directement le référencement et la relation client.
Pourquoi la sécurité WordPress est un sujet business
Négliger la sécurité WordPress a un impact direct sur le chiffre d’affaires, pas seulement sur la technique. Un site infecté perd du trafic organique dès que Google le détecte : l’affichage d’un avertissement « site piraté » dans les résultats de recherche fait chuter les clics en quelques heures. Google Search Central documente précisément ce scénario et les signaux qui déclenchent ce type d’alerte pour les propriétaires de sites concernés.
Au-delà du référencement, une intrusion expose souvent des données de contact, de facturation ou de rendez-vous stockées dans les formulaires et plugins du site. Pour une PME, la remise en état d’un site compromis mobilise plusieurs jours d’un prestataire technique, sans compter le temps perdu à rassurer les clients qui ont reçu un email suspect envoyé depuis le domaine.
Les attaques les plus courantes sur un site WordPress
Comprendre ces scénarios est le point de départ de toute démarche de sécurité WordPress. Quatre familles d’attaques reviennent dans l’immense majorité des compromissions constatées.
| Type d’attaque | Mécanisme | Signe d’alerte fréquent |
|---|---|---|
| Brute force sur wp-login.php | Tentatives automatisées de connexion avec des identifiants courants | Pic de requêtes POST vers wp-login.php dans les logs |
| Extension ou thème obsolète | Exploitation d’une faille connue et déjà corrigée dans une version récente | Fichiers modifiés dans wp-content sans intervention humaine |
| Injection via formulaire non filtré | Insertion de code malveillant dans un champ mal validé côté serveur | Redirections inattendues ou pages inconnues indexées |
| Phishing ciblant un compte administrateur | Email frauduleux imitant WordPress ou l’hébergeur pour voler un mot de passe | Connexions depuis des adresses IP ou des horaires inhabituels |
Ces quatre familles ont un point commun : elles exploitent presque toujours une négligence humaine ou un retard de mise à jour, rarement une vulnérabilité inédite du cœur WordPress lui-même.
La checklist technique prioritaire
Une bonne partie de la sécurité WordPress tient à cinq actions qui couvrent l’essentiel du risque et demandent peu de temps de mise en œuvre.
- Activer les mises à jour automatiques pour le cœur, et planifier une revue mensuelle des extensions et thèmes.
- Imposer un mot de passe unique et complexe par compte administrateur, avec double authentification.
- Externaliser les sauvegardes (base de données et fichiers) sur un espace distinct de l’hébergement principal.
- Supprimer les comptes utilisateurs inactifs et limiter le rôle administrateur au strict nécessaire.
- Vérifier les permissions de fichiers (644 pour les fichiers, 755 pour les dossiers, jamais 777).
Ce socle suffit à écarter la grande majorité des tentatives automatisées, qui ciblent des configurations par défaut plutôt que des sites réellement durcis.
Durcir WordPress sans usine à gaz
Trois réglages complètent la checklist sans multiplier les extensions de sécurité, souvent lourdes et parfois elles-mêmes sources de failles.
Désactiver XML-RPC quand aucun service tiers ne l’utilise réellement supprime un vecteur classique de brute force distribué. Limiter le nombre de tentatives de connexion échouées, via une règle serveur ou une extension légère, bloque les scripts automatisés sans gêner un usage humain normal. Enfin, un pare-feu applicatif (WAF) positionné en amont du serveur filtre une partie du trafic malveillant avant même qu’il n’atteigne WordPress, ce qui allège la charge et réduit la surface d’attaque.
Ces réglages relèvent d’un audit technique plutôt que d’un ajout d’extension supplémentaire : c’est le rôle d’un accompagnement conseil IT que d’identifier lesquels s’appliquent réellement à une configuration donnée, sans surcharger un site qui n’en a pas besoin.
Que faire si le site est déjà compromis
Même une sécurité WordPress bien pensée n’élimine pas totalement le risque : voici la marche à suivre en cas d’incident. Trois signes doivent alerter immédiatement : des pages inconnues indexées dans Google, un avertissement de l’hébergeur ou du navigateur, ou un ralentissement soudain accompagné d’un pic d’utilisation serveur.
La marche à suivre se déroule dans un ordre précis. D’abord, mettre le site en maintenance pour couper l’accès public sans supprimer les données. Ensuite, changer tous les mots de passe (administration, base de données, FTP, hébergement). Puis restaurer une sauvegarde saine antérieure à l’infection, ou nettoyer manuellement les fichiers injectés en comparant avec une installation propre. Enfin, demander une réévaluation à Google Search Console une fois le nettoyage confirmé, pour lever l’avertissement affiché dans les résultats de recherche.
Note terrain Lead4you
Sur nos audits techniques, la faille la plus fréquente n’est jamais un zero-day exotique : c’est un compte administrateur créé par un ancien prestataire, jamais désactivé, avec un mot de passe réutilisé sur trois autres services. XML-RPC reste actif par défaut dans huit installations sur dix que nous auditons, alors qu’il n’est presque jamais utilisé une fois l’application mobile ou l’intégration tierce d’origine abandonnée. Avant d’ajouter une extension de sécurité supplémentaire, l’ordre de priorité qui fait vraiment baisser le risque est : purge des comptes inutiles, mots de passe uniques, puis durcissement technique.
Demander un diagnostic technique
À lire ensuite
Sources et repères utiles
FAQ
Qu’est-ce que la sécurité WordPress concrètement ?
C’est l’ensemble des mesures qui réduisent le risque d’intrusion, de vol de données ou d’infection par malware sur un site sous WordPress : mises à jour, gestion des accès, sauvegardes, permissions de fichiers et surveillance des connexions.
Faut-il installer un plugin de sécurité par défaut ?
Pas systématiquement. Beaucoup de risques se corrigent par la configuration de base (mots de passe, mises à jour, permissions) avant d’ajouter une extension supplémentaire, qui augmente elle aussi la surface à maintenir.
Combien de temps pour sécuriser un site existant ?
Un audit et la mise en œuvre des correctifs prioritaires (comptes, mots de passe, mises à jour, sauvegardes) se traitent généralement en une à deux journées de travail technique, selon le nombre d’extensions installées.
Un hébergeur mutualisé suffit-il pour un site sécurisé ?
Il fournit une base, mais ne remplace pas la configuration propre à WordPress. Les permissions de fichiers, la gestion des comptes et les mises à jour restent à la charge du site, quel que soit l’hébergement choisi.
Comment savoir si mon site a déjà été piraté ?
Les signaux les plus fiables sont des pages inconnues indexées dans Google, un avertissement affiché par le navigateur ou l’hébergeur, et des fichiers modifiés sans intervention connue dans wp-content.
La sécurité WordPress concerne-t-elle aussi les données personnelles ?
Oui : un site qui collecte des données via des formulaires est soumis aux principes de sécurité des données rappelés par la CNIL, au même titre que n’importe quel traitement de données personnelles.