Site WordPress piraté : les 10 réglages pour l’éviter

Un site WordPress piraté, ce sont des visiteurs redirigés vers des pages douteuses, des liens de casino glissés dans vos articles, un référencement qui s’effondre et des heures perdues à nettoyer. Et cela n’arrive pas qu’aux autres : des robots testent des milliers de sites chaque jour, à la recherche d’une porte ouverte.

Pendant le webinaire, j’ai passé en revue les réglages que j’applique sur les sites que je maintiens. En voici la version écrite, avec uniquement des extensions gratuites et sans une ligne de code.

Pourquoi les sites WordPress sont la cible préférée des pirates

WordPress fait tourner environ 43 % des sites web. C’est un logiciel libre, audité par tout le monde, et c’est plutôt une bonne chose. Mais pour un pirate, le calcul est simple : une faille trouvée dans WordPress ou dans une extension populaire, c’est potentiellement des millions de sites à visiter.

Le pirate ne vous cible donc pas personnellement. Il lance des scripts qui essaient la même chose partout : l’adresse de connexion par défaut, les mots de passe les plus courants, les extensions connues pour avoir une faille. Votre travail consiste à ne pas faire partie des sites où ça marche.

Et je le dis aussi en formation : une bonne partie des sites « cassés » que je récupère ne l’ont pas été par un pirate, mais par une erreur humaine. Une mise à jour lancée sans sauvegarde, une extension installée sans vérifier. C’est pour cela que la sauvegarde occupe la moitié de cet article.

La faille PHP d’octobre 2026 : la vérification à faire aujourd’hui

Juste avant le webinaire, une faille critique de PHP, le langage qui fait tourner WordPress, a été rendue publique (surnommée « php2shell », notée 9,2 sur 10). Elle permet de prendre la main sur un serveur sans aucun identifiant. Elle a été corrigée le 21 octobre dans PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Ce que je vous conseille :

• Regardez votre version dans WordPress : Outils, puis Santé du site, onglet Infos, rubrique Serveur.
• Sur un hébergement mutualisé (OVH, Ionos, o2switch…), c’est l’hébergeur qui applique le correctif. Sur un serveur dédié ou un cloud, c’est à vous.
• Si vous êtes encore en PHP 7.4 ou 8.0, ces versions ne reçoivent plus aucune correction. Même si l’hébergeur a bouché cette faille-là, d’autres resteront ouvertes. Je recommande de passer en 8.4.
• Avant de changer de version, mettez à jour WordPress, le thème et les extensions. Un passage de 7.4 à 8.x peut casser un vieux thème : testez sur une copie du site si vous le pouvez.

Vous ne savez pas faire ? Écrivez simplement à votre hébergeur : « Mon site est en PHP X, avez-vous appliqué le correctif de la faille d’octobre et que me recommandez-vous ? » Vous le payez chaque année : il vous répondra.

Les signes d’un site WordPress piraté

Un piratage ne se voit pas toujours tout de suite. Certains pirates entrent aujourd’hui et ne se servent du site que deux ou quatre mois plus tard. Ce qui doit vous alerter :

• un compte administrateur que vous n’avez pas créé ;
• des extensions inconnues dans la liste ;
• des liens vers des sites de casino ou de vente douteuse ajoutés dans vos pages ou vos articles ;
• des visiteurs redirigés vers un autre site ;
• des fichiers WordPress modifiés, ce qu’un scanner comme Wordfence détecte (réglage n°9).

Si vous voyez l’un de ces signes, ne nettoyez pas à l’aveugle : faites d’abord une copie de l’état actuel, puis lancez un scan.

Fermer les accès : les réglages 1 à 6

1. Le certificat SSL

Le « s » de https : les échanges avec votre site sont chiffrés. Google en tient compte, un peu : à contenu égal, un site en https passe devant un site qui ne l’est pas. Il s’active depuis l’espace client de votre hébergeur, sur le nom de domaine, et il est gratuit chez la plupart d’entre eux.

2. Changer l’adresse de connexion

Par défaut, on se connecte à WordPress par /wp-admin. Les robots le savent et tentent leur chance sur cette adresse sur tous les sites. J’utilise l’extension WPS Hide Login, qui ne fait que ça : vous choisissez une nouvelle adresse et une bonne partie des tentatives disparaît.

Notez la nouvelle adresse dans votre gestionnaire de mots de passe. Si vous l’oubliez, vous ne pourrez plus vous connecter.

Brique par brique

1. Installer WPS Hide Login depuis Extensions, Ajouter.
2. Réglages, Général, champ « Login url ».
3. Choisir une adresse que vous seul connaissez.
4. L’enregistrer dans votre gestionnaire de mots de passe avant de cliquer sur Enregistrer.

3. Désactiver XML-RPC

XML-RPC est une ancienne porte qui permet de piloter WordPress à distance, active par défaut depuis la version 3.5. Elle a été remplacée par l’API REST, mais elle reste ouverte, et elle permet aussi d’essayer des mots de passe en série. Sur un site récent, vous ne vous en servez presque jamais : l’extension Disable XML-RPC la ferme.

4. Fermer l’API REST au public

Faites le test maintenant : ajoutez /wp-json/wp/v2/users à l’adresse de votre site. Si la liste de vos utilisateurs s’affiche, un pirate connaît déjà vos identifiants de connexion. Il ne lui reste qu’à deviner le mot de passe.

L’extension Disable REST API bloque cet accès pour les visiteurs non connectés. Si l’éditeur de pages Gutenberg ne fonctionne plus ensuite, retirez-la. L’API REST a déjà connu une faille grave en 2017 (versions 4.7 et 4.7.1), qui permettait de modifier n’importe quelle page sans être connecté : si vous ne l’utilisez pas, autant la fermer.

Le test en 30 secondes

1. Ouvrir votre site dans le navigateur.
2. Ajouter /wp-json/wp/v2/users à la fin de l’adresse.
3. Une liste de noms s’affiche : votre API est ouverte.
4. Installer Disable REST API, puis refaire le test.

5. Limiter les tentatives de connexion

Par défaut, WordPress laisse essayer autant de mots de passe qu’on veut. Les robots le font avec des listes de mots du dictionnaire : c’est l’attaque par force brute. L’extension WPS Limit Login, du même éditeur que WPS Hide Login, bloque l’accès après trois échecs consécutifs.

6. Des identifiants et des mots de passe solides

Aucun compte ne doit s’appeler admin, administrateur ou administrator. Et on oublie azerty, 123456, les dates de naissance et le prénom des enfants.

Je génère mes mots de passe avec le gestionnaire du navigateur ou un site comme motdepasse.xyz : lettres, chiffres, caractères spéciaux, et 30 caractères. Vous n’avez pas à le retenir, votre gestionnaire le fait pour vous.

Un mot de passe qui tient

1. Au moins 20 caractères, 30 c’est mieux.
2. Majuscules, minuscules, chiffres et caractères spéciaux.
3. Un mot de passe différent par site.
4. Rangé dans un gestionnaire, jamais dans un fichier texte.

7. Bien choisir ses extensions et son thème

Une extension mal choisie est l’une des portes d’entrée les plus fréquentes. Avant d’installer quoi que ce soit, je regarde quatre choses dans le répertoire WordPress :

• la date de dernière mise à jour : moins de 6 mois ;
• le nombre d’installations actives : une extension à 10 ou 1 000 installations, pas mise à jour depuis un an, je ne l’installe pas ;
• les notes, et surtout les avis à une étoile, à lire ;
• la compatibilité avec votre version de WordPress et de PHP.

Pendant le webinaire, j’ai comparé deux extensions SEO prises en page 20 des résultats avec Yoast SEO : plus de 10 millions d’installations actives et des mises à jour toutes les deux semaines. La différence saute aux yeux.

Supprimez aussi les thèmes et extensions que vous n’utilisez plus : désactivés, ils restent une porte. Et faites vos mises à jour tous les 15 jours, sauvegarde faite avant.

Les 4 vérifications avant d’installer

1. Dernière mise à jour il y a moins de 6 mois.
2. Installations actives : plusieurs dizaines de milliers au moins.
3. Avis à une étoile lus.
4. Compatible avec votre WordPress et votre PHP.

8. La sauvegarde, et surtout la restauration

Pendant le direct, j’ai posé la question : « Vous sauvegardez votre site ? » Réponses : « pas souvent », « jamais ». C’est pourtant la chose la plus importante de cet article.

Pourquoi ne pas compter sur votre hébergeur

En mars 2021, un incendie a détruit un centre de données OVH à Strasbourg. Certains clients ont perdu en même temps leur site et sa sauvegarde, stockée sur le même site. La sauvegarde de l’hébergeur est un complément gratuit, souvent sur 14 jours à 2 mois, pas votre seule sauvegarde. Et si le pirate est entré il y a quatre mois, elle ne suffira pas.

Côté restauration, les hébergeurs ne se valent pas : chez OVH, on revient à un jour donné en un clic. Chez d’autres, la sauvegarde est déposée dans un dossier et c’est à vous de la remettre en place.

À quelle fréquence

Un blog publié une fois par mois : une sauvegarde par mois. Une boutique qui vend tous les jours : une sauvegarde par jour, la nuit, en dehors des heures de visite. La méthode pas à pas est dans le guide pour sauvegarder et restaurer son site WordPress.

Avec quel outil

À l’agence, on utilise Duplicator en version payante. La version gratuite sauvegarde déjà tout le site (fichiers et base de données) : vous lancez la sauvegarde à la main et vous la téléchargez sur votre ordinateur. La version payante ajoute les sauvegardes programmées et l’envoi automatique vers Google Drive, Amazon S3 ou un FTP. UpdraftPlus et Backup Guard font aussi le travail : essayez-en plusieurs.

La sauvegarde par FTP et phpMyAdmin existe, mais elle est longue, manuelle, et réservée à ceux qui savent déjà le faire.

Duplicator gratuit, brique par brique

1. Installer Duplicator.
2. Créer une sauvegarde (« package »).
3. Télécharger les deux fichiers : l’archive et installer.php.
4. Les copier sur un disque ou un Google Drive.

Testez la restauration au moins une fois

Une sauvegarde que vous ne savez pas remettre ne sert à rien. Le jour où vous choisissez votre outil, faites l’essai. J’ai déjà vu une extension refuser de restaurer parce que la version de WordPress avait changé entre-temps : mieux vaut le découvrir un jour calme.

Avec Duplicator, deux cas : si vous accédez encore à l’administration, la restauration se fait depuis l’extension. Si le site est complètement cassé, vous videz l’hébergement, déposez les deux fichiers et lancez installer.php depuis votre navigateur.

9. Détecter un piratage avec Wordfence

Wordfence Security, gratuit, combine un pare-feu et un scanner. Il bloque les attaques par force brute et compare vos fichiers WordPress aux originaux : un fichier modifié est souvent la trace d’un piratage. En cas de doute, installez-le et lancez un scan. On a déjà sauvé des sites à l’agence grâce à lui.

Nettoyer un site infecté peut prendre des heures et coûter cher. Souvent, le plus simple est de tout supprimer et de remettre une sauvegarde saine. Encore une raison de l’avoir.

10. Savoir qui fait quoi, et former l’équipe

Si plusieurs personnes modifient le site, WP Activity Log garde la trace de chaque connexion et de chaque action : extension mise à jour, page modifiée, réglage changé. Il ne s’agit pas de chercher un coupable : la plupart des erreurs ne sont pas volontaires. Il s’agit de comprendre en deux minutes ce qui a cassé.

Et une personne formée fait moins d’erreurs qu’une personne surveillée : tutoriels, blogs, formations, tout est bon à prendre.

Pour aller plus loin

• Les en-têtes de sécurité : testez votre site sur securityheaders.com (note de A+ à F) ou serpworx.com (note sur 100). Ne vous inquiétez pas d’une mauvaise note : la correction est plutôt affaire de développeur. Demandez à votre prestataire, ou à une IA, toujours après une sauvegarde.
• Les failles connues : Patchstack recense les failles des extensions et thèmes WordPress, Exploit Database celles de tous les logiciels. Si une de vos extensions a une faille sans correctif, vous avez deux options : accepter le risque en attendant, ou la remplacer.

Pour approfondir le sujet, lisez aussi notre guide pour sécuriser son site web.

Si vous avez appliqué les dix réglages de cet article, votre site est déjà mieux protégé que la très grande majorité des sites WordPress.

Lire une fiche de faille

1. Le nom de l’extension concernée.
2. Le score de risque (au-dessus de 7, on agit vite).
3. Les versions vulnérables.
4. La version corrigée : mettez à jour.

Questions fréquentes sur un site WordPress piraté