Toutes les 30 secondes, des bots scannent des sites WordPress à la recherche d’une faille connue — la vôtre peut-être, si un plugin attend sa mise à jour depuis mars. La bonne nouvelle : la quasi-totalité des piratages exploitent des négligences basiques. Voici le socle de sécurité 2026, applicable en une demi-journée.
1. Les mises à jour : 90 % du travail
Cœur WordPress, thème, plugins, PHP : tout à jour, en permanence. Activez les mises à jour automatiques pour les correctifs de sécurité, supprimez (pas seulement désactivez) les plugins et thèmes inutilisés, et remplacez les extensions abandonnées par leur auteur — un plugin sans mise à jour depuis 2 ans est une porte d’entrée en sursis.
2. L’authentification forte
- Mots de passe uniques et longs gérés par un gestionnaire — pour tous les comptes
- Double authentification (2FA) sur les comptes administrateurs, sans exception
- Pas de compte « admin », et le strict minimum de comptes administrateurs
- Limitation des tentatives de connexion et URL de login protégée
3. Le pare-feu applicatif (WAF)
Un WAF filtre les requêtes malveillantes avant qu’elles n’atteignent WordPress : injections SQL, exploitation de failles connues, brute force. Deux couches possibles et complémentaires : au niveau DNS/CDN (Cloudflare) et au niveau applicatif (Wordfence). Le WAF protège aussi pendant la fenêtre critique entre la découverte d’une faille et votre mise à jour.
4. Les sauvegardes : votre vraie assurance
La règle 3-2-1 adaptée : sauvegarde quotidienne automatique, stockée hors du serveur du site (cloud tiers), avec 30 jours d’historique — et un test de restauration trimestriel. Face à un piratage ou une mise à jour qui casse tout, la sauvegarde saine est la différence entre 1 heure et 1 semaine d’interruption.
5. Le durcissement (hardening)
- HTTPS partout avec redirection forcée
- Édition de fichiers désactivée dans l’admin (DISALLOW_FILE_EDIT)
- Clés de sécurité wp-config régénérées, préfixe de base personnalisé à l’installation
- Listing des répertoires désactivé, XML-RPC bloqué si inutilisé
- Permissions de fichiers correctes (644/755)
6. La surveillance
Un scanner d’intégrité hebdomadaire (fichiers modifiés, malware connu), des alertes de connexion administrateur, et un œil sur la Search Console — Google vous prévient souvent d’une compromission avant vos visiteurs. La sécurité n’est pas un état mais un processus : c’est précisément ce que couvre un contrat de maintenance sérieux.
FAQ — vos questions fréquentes
Q. WordPress est-il un CMS sécurisé ?
R. Le cœur de WordPress est très sécurisé et audité en continu. Plus de 90 % des compromissions passent par des plugins et thèmes vulnérables ou obsolètes, et par des mots de passe faibles — des facteurs entièrement maîtrisables.
Q. Quel plugin de sécurité choisir ?
R. Un seul suffit : Wordfence (pare-feu applicatif + scanner) ou Solid Security sont les références. Deux plugins de sécurité simultanés créent plus de conflits que de protection. Le pare-feu au niveau serveur/CDN (type Cloudflare) est un excellent complément.
Q. À quelle fréquence sauvegarder ?
R. Quotidiennement pour un site actif, avec conservation sur 30 jours et stockage externalisé (cloud, hors du serveur du site). Et surtout : testez la restauration une fois par trimestre — une sauvegarde jamais testée n’existe pas.
Q. Mon site a été piraté, que faire ?
R. Isolez (mode maintenance), changez tous les mots de passe (admin, FTP, base, hébergeur), restaurez une sauvegarde saine antérieure à l’infection, mettez tout à jour, scannez, puis identifiez la porte d’entrée pour la fermer. En cas de doute, faites intervenir un professionnel : les réinfections sont la norme sur les nettoyages incomplets.
Q. La maintenance WordPress est-elle vraiment indispensable ?
R. Oui : 55 % des vulnérabilités exploitées ont un correctif disponible depuis plus d’un mois au moment de l’attaque. La maintenance, c’est l’application de ces correctifs avant que les bots ne les exploitent — ils scannent le web en continu.
Conclusion
La sécurité WordPress n’est pas un produit qu’on installe mais une hygiène qu’on tient : mises à jour, authentification forte, pare-feu, sauvegardes testées et surveillance. 90 % des piratages exploitent des négligences évitables en une demi-journée de mise en conformité. Notre agence WordPress inclut ce socle dans tous ses contrats de maintenance : confiez-nous la sérénité de votre site.
Sources : rapports Patchstack et Wordfence 2025-2026, WPScan, pratiques de maintenance Exoa.