Un site WordPress qui tombe, c’est rarement un grand coup d’éclat de pirate génial. C’est presque toujours une porte laissée ouverte : une mise à jour oubliée, un mot de passe trop simple, une sauvegarde qui n’existait que sur le serveur qui vient de brûler. Lors d’un webinaire BienveNum animé par Laurent Cipicchia, de l’Agence SW, le 17 juin 2026, nous avons fait le tour des gestes concrets qui sécurisent un site WordPress sans être développeur. L’objectif annoncé d’entrée était honnête : viser une sécurité d’environ 90 %, parce que le risque zéro n’existe pas, même au plus haut niveau. Voici, point par point, comment fermer les portes les plus exposées de votre site.
La sécurité WordPress, en une phrase
Sécuriser son site WordPress, ce n’est pas installer un plugin magique : c’est empiler plusieurs mesures simples (HTTPS, mots de passe solides, mises à jour, sauvegardes externes, surveillance) qui, mises bout à bout, découragent les robots des pirates et vous permettent de revenir en arrière en cas de problème. Aucune ne protège à 100 % seule ; ensemble, elles couvrent l’essentiel du risque.
des sites web dans le monde tournent sous WordPress
le niveau de sécurité réaliste à viser, le risque zéro n’existant pas
tentatives avant blocage avec un plugin anti-force brute
Table des matières
Pourquoi WordPress est une cible (et pourquoi vous êtes concerné)
WordPress fait tourner plus de 43 % des sites internet dans le monde, un site sur deux. Cette popularité en fait une cible logique : si un pirate trouve une faille sur le cœur de WordPress, sur un thème ou sur une extension répandue, il peut viser des centaines de milliers de sites d’un coup, à l’aide de robots qui balaient le web en permanence. Et depuis quelques mois, l’arrivée de l’intelligence artificielle dans la création de sites multiplie les failles : beaucoup de personnes génèrent leur site avec l’IA sans relire le code qui tourne derrière.
“Protéger son site, ce n’est pas seulement se protéger des méchants pirates qui en veulent à vos données. C’est aussi se protéger des erreurs humaines : une mise à jour qui casse tout, un hébergement qu’on oublie de renouveler.”
Laurent Cipicchia, BienveNum
Les attaques externes
Des robots testent en continu les sites à la recherche d’une faille connue, d’un mot de passe faible ou d’une interface ouverte. Automatisées, massives, impersonnelles.
Les erreurs humaines
Une extension qui plante le site, une mise à jour mal maîtrisée, un hébergement non renouvelé. La moitié des sinistres vient de l’intérieur, et se traite avec les mêmes outils.
Les premiers réflexes : HTTPS, connexion et mots de passe
Ces quatre réflexes de base bloquent déjà la grande majorité des attaques automatiques. Ils se mettent en place en une après-midi, sans toucher au code.
Activer le HTTPS
Le certificat SSL chiffre les connexions et apporte un bonus de référencement : Google valorise les sites en HTTPS face à ceux en HTTP. La plupart des hébergeurs le proposent gratuitement.
Masquer l’adresse /wp-admin
Tous les pirates connaissent cette adresse de connexion par défaut. Le plugin WPS Hide Login la remplace par une adresse connue de vous seul. Notez-la bien, sinon plus d’accès.
Mots de passe + 2FA
Mots de passe longs via un gestionnaire, jamais d’identifiant admin. Ajoutez la double authentification (2FA) : même un mot de passe trouvé ne suffit plus au pirate.
Limiter les connexions
WPS Limit Login bloque après 3 essais (15 min, puis 2 h, puis 24 h). Sans cela, un robot peut tenter dix mille combinaisons par seconde sans jamais être arrêté.
Le point commun de ces réflexes : ils visent les attaques par force brute, où un robot essaie des milliers de combinaisons à la seconde. WordPress ne bloque rien nativement, c’est donc à vous d’ajouter ces garde-fous. Un mot de passe complexe protège un compte ; le combiner à la double authentification et à la limitation des tentatives protège tout le site. Un CAPTCHA sur le formulaire de connexion complète le dispositif en filtrant les robots dès le premier essai.
Fermer les portes dérobées : XML-RPC et API REST
WordPress embarque deux interfaces qui permettent d’agir sur le site à distance, et que la plupart des sites n’utilisent jamais. Inutilisées, elles ne font qu’élargir la surface d’attaque. Autant les fermer.
XML-RPC
Activée par défaut depuis WordPress 3.5, elle permet d’enchaîner des tentatives de connexion sans blocage, ce qu’adorent les pirates. Plugin : Disable XML-RPC API.
API REST
Expose par défaut la liste de vos utilisateurs via /wp-json/wp/v2/users, et a déjà connu des failles d’effacement de contenu. Plugin : Disable WP REST API.
Bien choisir et nettoyer ses extensions et thèmes
Chaque extension ajoute du code à votre site, donc potentiellement des failles. Avant d’installer un plugin, trois critères se vérifient en quelques secondes sur sa fiche.
Mise à jour récente
Une extension non mise à jour depuis plus de 6 mois est suspecte : elle n’a probablement pas suivi les dernières versions de WordPress et peut devenir une faille ambulante.
Beaucoup d’installations
Un plugin utilisé par des centaines de milliers de sites a été testé et corrigé par la communauté. Yoast SEO et ses 10 millions d’installations, c’est un repère fiable.
De bonnes notes, en nombre
Méfiez-vous d’une extension qui n’a que trois ou cinq avis : ce sont souvent ceux de l’auteur. Un nombre élevé d’avis positifs est bien plus rassurant.
Les sauvegardes : votre dernier rempart
Si vous ne deviez retenir qu’une chose, ce serait celle-ci : ayez une sauvegarde, et ne la stockez pas uniquement chez votre hébergeur.
“Avoir une sauvegarde chez l’hébergeur, c’est bien, mais ne faites jamais une confiance aveugle à votre hébergeur. Ayez toujours une sauvegarde à vous, de votre côté.”
Laurent Cipicchia, BienveNum
L’exemple resté célèbre, c’est l’incendie d’un centre de données d’OVH : les sites des clients ont brûlé, mais aussi leurs sauvegardes, stockées juste à côté. Beaucoup n’ont jamais pu récupérer leur site. Un hébergeur peut aussi connaître une panne, ou supprimer un compte pour un renouvellement impayé, et emporter les sauvegardes avec lui. La parade est simple : une copie ailleurs, sur un disque dur, un cloud, ou un autre hébergeur.
Le bon outil
Duplicator (Pro) ou UpdraftPlus sauvegardent tout (cœur WordPress, base de données, fichiers) et envoient automatiquement vers Google Drive, un FTP ou Amazon S3. Évitez les outils qui ne sauvegardent que les fichiers.
La bonne fréquence
Une sauvegarde par semaine pour un site vitrine qui bouge peu, une par jour pour une boutique en ligne active. Adaptez au volume de modifications.
Le piège à éviter
Une sauvegarde qu’on ne sait pas remettre ne sert à rien. Testez la restauration sur une préproduction, avant le sinistre. Selon l’hébergeur, l’exercice va du clic unique au parcours très technique.
Détecter les intrusions : scan, journal et en-têtes
Une fois les portes fermées, il reste à surveiller ce qui se passe à l’intérieur, avec trois briques complémentaires.
Scan de fichiers
L’antivirus du site (Wordfence, Security & Malware scan) repère les fichiers modifiés ou un intrus glissé dans le dossier upload. En cas de doute, lancez les deux, ils ne détectent pas toujours la même chose.
Journal d’activité
WP Activity Log garde la trace de qui a fait quoi, et quand, dès qu’on gère le site à plusieurs. Précieux pour remonter à la source d’un problème : WordPress, lui, ne garde aucune trace.
En-têtes HTTP
Plus avancé : HTTP Security Headers durcit la configuration du serveur (parfois via le fichier .htaccess) pour gagner les derniers pourcentages. À confier à un prestataire si besoin.
Un fil rouge relie ces outils : face à un piratage, le plus simple est souvent de tout supprimer et de restaurer une version saine. La surveillance détecte le problème, la sauvegarde le répare.
Rester à jour : la veille sur les failles et PHP
La sécurité n’est pas un réglage que l’on fait une fois pour toutes. De nouvelles failles sont découvertes chaque semaine, et les pirates les exploitent en masse dès qu’elles sont publiques.
Faire les mises à jour
Cœur WordPress, thèmes, extensions : chaque mise à jour applique des correctifs de sécurité. Les pirates ciblent en priorité les sites qui ont pris du retard.
Surveiller les failles
Les bases de vulnérabilités (exploit-db, annuaires WordPress) recensent les failles connues par plugin. Exemples cités : WooCommerce Stripe (patch 1.8.8), WP Rocket (failles 2017, 2023, 2025). Pas de correctif ? Remplacez le plugin.
Mettre à jour PHP
PHP, le langage qui fait tourner le site, n’est pas mis à jour automatiquement par l’hébergeur. C’est à vous de le faire depuis votre espace, puis de vérifier que le site fonctionne.
Se former ou déléguer, mais ne rien faire est le pire choix
Former son équipe
Un collaborateur qui sait ce qu’il fait dans WordPress vaut mieux que dix plugins de surveillance. La plupart des incidents internes viennent d’une manipulation maladroite, pas d’une mauvaise intention.
Déléguer à un prestataire
Mettre en place ces sécurités, surveiller les failles et tenir les sauvegardes à jour est un métier. Sans le temps ni les compétences, déléguez plutôt que de laisser un site sans aucune protection.
La boîte à outils en un coup d’œil
Revoir le webinaire sécurité WordPress
Le webinaire du 17 juin 2026, animé par Laurent Cipicchia, avec toutes les démonstrations et la liste complète des extensions, est accessible avec nos autres replays et ressources gratuites.
Accéder aux replays gratuitsQuestions fréquentes sur la sécurité WordPress
Les bases de la protection
Non, le risque zéro n’existe pas, même pour les plus grandes organisations. L’objectif réaliste est d’atteindre environ 90 % de sécurité en empilant plusieurs mesures simples : HTTPS, mots de passe solides, mises à jour régulières, sauvegardes externes et surveillance. Ensemble, elles découragent les robots des pirates et permettent de revenir en arrière en cas de problème.
Parce que WordPress fait tourner plus de 43 % des sites internet dans le monde. Une faille trouvée sur le cœur, un thème ou une extension répandue peut donc être exploitée sur des centaines de milliers de sites à la fois, via des robots automatisés. Cette popularité, doublée de sites créés sans relecture par l’IA, en fait une cible logique.
Extensions et réglages
Les essentiels : WPS Hide Login pour masquer l’adresse de connexion, WPS Limit Login contre les attaques par force brute, Disable XML-RPC API et Disable WP REST API pour fermer les interfaces inutilisées, Duplicator ou UpdraftPlus pour les sauvegardes, et Wordfence Security pour le scan de fichiers et le pare-feu. WP Activity Log complète l’ensemble dès que plusieurs personnes gèrent le site.
Oui, si vous ne les utilisez pas. XML-RPC permet des tentatives de connexion sans blocage, et l’API REST expose par défaut la liste de vos utilisateurs via l’adresse /wp-json/wp/v2/users, ce qui aide un pirate à deviner vos identifiants. On les désactive avec les plugins Disable XML-RPC API et Disable WP REST API, en gardant l’API active pour les administrateurs connectés si besoin.
Vérifiez trois critères sur sa fiche : une dernière mise à jour de moins de 6 mois, un nombre élevé d’installations actives (signe d’une communauté qui teste et corrige), et de nombreuses bonnes notes. Méfiez-vous des extensions à très peu d’avis. Et supprimez, plutôt que de simplement désactiver, tous les plugins et thèmes que vous n’utilisez plus.
Sauvegardes et mises à jour
Jamais uniquement chez votre hébergeur. Conservez toujours une copie ailleurs : disque dur personnel, espace cloud comme Google Drive, ou autre hébergeur. L’incendie d’un centre de données OVH a montré que sites et sauvegardes stockés au même endroit peuvent disparaître ensemble. Des extensions comme Duplicator ou UpdraftPlus automatisent l’envoi vers un espace externe.
Cela dépend de l’activité du site. Une sauvegarde hebdomadaire suffit pour un site vitrine qui bouge peu. Pour une boutique en ligne avec de nombreuses commandes, optez pour une sauvegarde quotidienne. Surtout, testez la restauration sur une préproduction : une sauvegarde que l’on ne sait pas remettre ne sert à rien le jour d’un incident.
Les pirates exploitent en masse les failles connues des anciennes versions, à l’aide de robots. Mettre à jour le cœur de WordPress, les thèmes et les extensions applique les correctifs de sécurité. PHP, le langage qui fait tourner le site, n’est pas mis à jour automatiquement par l’hébergeur : c’est à vous de le faire depuis votre espace d’hébergement, puis de vérifier que le site fonctionne.
Gérer votre site WordPress en confiance avec l’IA
Nos formations Claude vous aident à comprendre, maintenir et sécuriser votre présence en ligne sans être développeur, avec vos propres données. Accès à vie, finançables OPCO et France Travail.
Voir le Pack Claude x3 · les 3 formationsÀ retenir
La sécurité d’un site WordPress ne tient pas à une seule extension miracle, mais à un empilement de gestes simples : HTTPS, adresse de connexion masquée, mots de passe solides avec double authentification, API inutiles fermées, extensions choisies et tenues à jour, et surtout une sauvegarde externe que vous savez restaurer. Faites le maximum en prévention, et gardez la sauvegarde comme dernier rempart.
Sécuriser son site WordPress n’a rien d’insurmontable, même sans être technicien. Commencez par les fondations (HTTPS, mots de passe, mises à jour et une sauvegarde externe testée), puis avancez vers le reste à votre rythme. Si WordPress vous intéresse au-delà de la sécurité, découvrez pourquoi apprendre WordPress reste un atout, et parcourez tous nos articles sur la cybersécurité pour aller plus loin dans la protection de votre activité en ligne.
À propos de l'auteur
Laurent Cipicchia
Laurent Cipicchia est développeur web et formateur SEO chez BienveNum. Spécialisé dans la création de sites WordPress, le référencement naturel et les automatisations, il aide les professionnels à mettre en…
Voir tous les articles →
