Sécuriser son site WordPress : le guide complet 2026

Avec l'IA qui se développe à grande vitesse, les sites WordPress sont constamment mis à l'épreuve. Pour sécuriser un site WordPress, 5 petites mesures couvrent l'essentiel des risques : réduire le nombre de plugins installés, activer les mises à jour automatiques, sauvegarder côté serveur (pas via un plugin), durcir le fichier .htaccess, et activer la double authentification (2FA).

Aucune ne demande d'être développeur. Ce guide les détaille une par une, avec pour objectif d'être le plus simple possible.

WordPress propulse plus de 43 % des sites web selon W3Techs. C'est aussi, mécaniquement, la cible numéro un des attaques automatisées : des robots qui scannent le web en permanence à la recherche de sites mal configurés. La bonne nouvelle : la quasi-totalité des piratages exploitent des négligences basiques, pas des failles sophistiquées.

1. Les vulnérabilités WordPress : d'où viennent-elles vraiment ?

« WordPress est la cause » : c'est faux et c'est une idée reçue. Selon le rapport annuel State of WordPress Security de Patchstack, plus de 90 % des vulnérabilités découvertes chaque année se situent dans les plugins, le reste presque entièrement dans les thèmes. Le cœur de WordPress lui-même ? Une poignée de failles par an, corrigées en quelques jours (comme les deux failles critiques exploitées en juillet 2026).

La règle d'or découle directement de ce constat, chaque plugin installé est une porte d'entrée potentielle.

Donc :

• Supprimez (pas seulement désactiver) tout plugin et thème inutilisé. Un plugin désactivé mais présent sur le disque reste exploitable.

• Avant d'installer un plugin, vérifiez : date de dernière mise à jour, compatibilité avec votre version de WordPress, nombre d'installations actives, réactivité du support.

• Vérifiez vos plugins dans les bases de vulnérabilités WPScan ou Patchstack. Ou avec le plugin Wp Vulnerability, notre coup de cœur. Ce dernier vous alerte par mail et sur votre dashboard dès qu'une faille de sécurité est détectée.

Côté configuration de base : pas de compte nommé admin, un identifiant différent du nom d'auteur affiché publiquement, le rôle minimum nécessaire pour chaque utilisateur (un rédacteur n'a pas besoin d'être administrateur), et des mots de passe longs et uniques gérés par un gestionnaire de mots de passe (nous utilisons personnellement Bitwarden depuis des années, c'est entièrement gratuit).

2. Activer les mises à jour automatiques WordPress

Une faille de plugin populaire est exploitée massivement dans les heures qui suivent sa publication. Si vous mettez à jour seulement quand vous y pensez, c'est peut-être déjà trop tard.

WordPress gère les mises à jour automatiques nativement, sans plugin supplémentaire !

Le cœur : les mises à jour mineures (sécurité) sont automatiques par défaut. Laissez-les. Pour tout automatiser, ajoutez dans wp-config.php :

define( 'WP_AUTO_UPDATE_CORE', true );

Plugins et thèmes : dans Extensions, colonne « Mises à jour automatiques », activez-les au minimum pour tous les plugins exposés au public (formulaires, e-commerce, SEO, sécurité).

« - Oui mais une mise à jour peut casser mon site. »

C'est vrai, ça arrive. Comparez les 2 risques : une mise à jour qui casse l'affichage se répare en quelques minutes avec une sauvegarde ou une intervention ; un site piraté, blacklisté par Google et qui envoie du spam se répare en jours, parfois jamais complètement. Le calcul est vite fait, à condition que vos sauvegardes soient fiables !

3. Sauvegardes WordPress : côté serveur, pas côté site

Parlons franchement : les sauvegardes par plugin WordPress (UpdraftPlus, All-in-One WP Migration et compagnie), c'est nul. Pas parce que ces outils sont mal codés, mais parce que le concept lui-même est bancal :

1. La sauvegarde est faite par le système qu'elle est censée protéger. Si votre site est compromis, l'attaquant contrôle aussi le plugin de sauvegarde. Il peut supprimer les archives, les corrompre, ou y glisser sa porte dérobée. Vous restaurez... le piratage.

2. Elle tourne en PHP avec les limites de PHP : timeout au milieu d'un export sur un site volumineux, archives incomplètes, sauvegardes « réussies » en apparence mais irrestaurables.

3. Elle dépend du cron WordPress, qui ne se déclenche que si quelqu'un visite le site. Site peu visité = sauvegardes qui sautent en silence.

4. Les archives traînent souvent sur le même serveur, parfois même téléchargeables publiquement si le dossier est mal protégé. Serveur mort = sauvegardes mortes.

La bonne approche, ce sont les sauvegardes serveur faites en dehors de WordPress :

• Chez votre hébergeur : la plupart (IONOS, o2switch, OVH, Kinsta...) proposent des snapshots quotidiens. Vérifiez 3 choses : que c'est activé, la durée de rétention (7 jours ? 30 jours ?) et comment on restaure.

• En autonomie (VPS, serveur dédié) : un cron système avec mysqldump pour la base et rsync ou tar pour les fichiers, exécuté par le serveur, pas par PHP.

• Testez une restauration. Une sauvegarde jamais restaurée est une hypothèse, pas une sauvegarde.

4. Durcir le .htaccess de WordPress

Sur un hébergement Apache (le cas typique en mutualisé), le fichier .htaccess bloque les attaques avant même que WordPress ne se charge. Les indispensables :

# Protéger wp-config.php et .htaccess lui-même
<FilesMatch "^(wp-config\.php|\.htaccess)$">
    Require all denied
</FilesMatch>

# Bloquer xmlrpc.php (vecteur classique de brute force)
# Attention : à ne PAS faire si vous utilisez Jetpack ou l'app mobile WordPress
<Files "xmlrpc.php">
    Require all denied
</Files>

# Interdire l'exécution de PHP dans le dossier uploads
# (les malwares s'y téléversent via les failles de plugins)
# À placer dans wp-content/uploads/.htaccess
<FilesMatch "\.php$">
    Require all denied
</FilesMatch>

# Désactiver le listing des répertoires
Options -Indexes

5. Les headers de sécurité HTTP

Les headers HTTP indiquent au navigateur comment se comporter face à votre site : ils protègent vos visiteurs du clickjacking, des injections de scripts et de l'écoute du trafic. Testez votre site en 30 secondes sur securityheaders.com, puis ajoutez dans votre .htaccess :

<IfModule mod_headers.c>
    # Forcer le HTTPS pendant 1 an (uniquement quand le HTTPS est 100% fonctionnel)
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

    # Interdire l'affichage du site dans une iframe (anti-clickjacking)
    Header always set X-Frame-Options "SAMEORIGIN"

    # Empêcher le navigateur de "deviner" les types de fichiers
    Header always set X-Content-Type-Options "nosniff"

    # Limiter les informations envoyées aux sites tiers
    Header always set Referrer-Policy "strict-origin-when-cross-origin"

    # Couper l'accès aux API sensibles du navigateur
    Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
</IfModule>

6. 2FA, WAF, permissions : les mesures qu'on oublie toujours

Les points précédents sont la base. Pour la suite :

• La double authentification (2FA) sur tous les comptes admin. LA mesure au meilleur rapport effort/protection : même mot de passe volé, l'attaquant ne peut pas s'y connecter.

• Désactiver l'éditeur de fichiers intégré : un attaquant qui obtient un accès admin ne doit pas pouvoir injecter du code en deux clics : ajoutez define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php.

• Mettre PHP à jour. Une version PHP en fin de vie ne reçoit plus de correctifs de sécurité. Ça se change en un clic dans le panneau de votre hébergeur.

• Un pare-feu applicatif (WAF) en amont du serveur, type Cloudflare (le plan gratuit suffit largement) : il filtre les attaques connues et les robots avant qu'ils n'atteignent WordPress.

• Limiter les tentatives de connexion (Limit Login Attempts Reloaded, ou via le WAF) pour stopper le brute force, ou côté serveur un Fail2ban bien configuré (à voir avec votre hébergeur).

• Les permissions fichiers : 644 pour les fichiers, 755 pour les dossiers, 600 pour wp-config.php. Jamais de 777. Deux commandes simples et efficaces que j'ai l'habitude d'utiliser : find . -type d -exec chmod 755 {} \; && find . -type f -exec chmod 644 {} \; (à éxécuter dans la racine de votre site)

• Surveiller : un scan régulier (WPScan, Wordfence, Wp Vulnerability) et un œil sur la liste des utilisateurs. Un compte admin que vous n'avez pas créé = compromission.

Checklist sécurité WordPress : par quoi commencer

La sécurité WordPress n'est pas un produit qu'on installe, c'est une hygiène : peu de surface d'attaque, des mises à jour rapides, des sauvegardes hors du site, et de la vigilance. Faites les six lignes de ce tableau et vous serez déjà mieux protégé que 95 % des sites WordPress en ligne.

Questions fréquentes

Un plugin de sécurité comme Wordfence suffit-il à protéger mon site ?

Pas vraiment. Un plugin de sécurité est un outil de détection et de filtrage utile, qui peut aider, mais il tourne à l'intérieur du système qu'il protège, comme les sauvegardes par plugin. Il complète les mesures de ce guide, il ne les remplace pas.

Comment savoir si mon site WordPress est déjà piraté ?

Signes classiques : comptes administrateurs inconnus, fichiers PHP récents dans wp-content/uploads/, redirections vers des sites douteux, alerte Google Search Console « site piraté », ou chute brutale de trafic. Un scan WPScan ou Wordfence confirme souvent le diagnostic.

Faut-il cacher l'adresse /wp-admin ou /wp-login.php ?

C'est du bonus, pas une priorité. Cacher la page de connexion réduit le bruit des robots, mais un mot de passe fort + 2FA + limitation des tentatives protègent mieux qu'une URL secrète, qui finit toujours par fuiter.

Les mises à jour automatiques peuvent-elles casser mon site ?

Rarement, mais oui. C'est précisément pour ça que sauvegardes fiables et mises à jour automatiques vont ensemble : l'un ne fonctionne pas sans l'autre. Avec un snapshot serveur quotidien, le pire scénario d'une mise à jour ratée est une restauration de quelques minutes.