Comment sécuriser un site WordPress contre le piratage ?

Pour sécuriser un site WordPress, commencez par ce qui arrête la plupart des attaques automatisées. Mettez tout à jour, protégez les connexions avec un mot de passe fort et la double authentification, puis vérifiez qu'une sauvegarde externalisée se restaure vraiment. Le pare-feu et le durcissement viennent ensuite.

Ce qui suit est une checklist en trois temps : ce que vous faites aujourd'hui, cette semaine, puis en continu. Chaque mesure porte une étiquette qui dit ce qu'elle protège : [CA] pour le chiffre d'affaires, [Google] pour votre visibilité et [RGPD] pour les données personnelles.

En bref

• Les plugins sont la principale source des nouvelles failles WordPress recensées en 2025, bien avant le cœur du CMS.
• Mises à jour, accès verrouillés et sauvegardes testées couvrent la plus grande part du risque. Une demi-journée suffit pour en traiter une bonne partie.
• Un seul plugin de sécurité suffit. En empiler trois ralentit le site sans le protéger davantage.
• Après un piratage, la notification à la CNIL s'effectue dans les 72 h si des données personnelles sont à risque.

Sécuriser un site WordPress : la réponse courte

Cinq gestes portent l'essentiel du travail :

1. Mettre à jour le cœur, les plugins et les thèmes.
2. Utiliser des mots de passe forts et la double authentification (2FA).
3. Limiter les rôles utilisateurs au strict nécessaire.
4. Externaliser les sauvegardes et tester leur restauration.
5. Installer un pare-feu applicatif (WAF) et un monitoring.

La sécurité ne s'installe pas une fois pour toutes. Elle demande un entretien régulier, comme une flotte de véhicules.

Pourquoi les sites WordPress sont-ils autant ciblés par les pirates ?

Trois raisons. D'abord la taille de la cible : selon W3Techs, WordPress fait tourner près de 40 % de tous les sites web. Ensuite l'écosystème : des dizaines de milliers de plugins tiers, de qualité très inégale. Enfin l'automatisation : des bots scannent le web en continu à la recherche de versions vulnérables connues.

Le rapport 2026 de Patchstack ne laisse guère de place au doute. En 2025, les plugins concentrent la plus grande part des nouvelles vulnérabilités, bien devant les thèmes et le cœur de WordPress. Se contenter de « mettre à jour » ne suffit pas toujours, car certaines failles sont publiées avant qu'un correctif existe.

WordPress n'est pas fragile par nature. Ce sont les sites mal entretenus qui le sont. Le pirate ne vise pas votre PME : il vise la version 2.3.1 d'un plugin que vous n'avez pas mise à jour depuis deux ans, et il la trouve sans savoir qui vous êtes.

Ce que coûte vraiment un piratage à votre entreprise

Le nettoyage technique n'est que la partie visible. Trois pertes pèsent bien plus lourd.

• [CA] Site indisponible, formulaires de devis détournés, ou boutique WooCommerce infectée par du skimming (un script qui copie les données de carte bancaire au moment du paiement). Chaque heure d'indisponibilité est du chiffre d'affaires perdu.
• [Google] Le navigateur affiche « Ce site est dangereux » via Google Safe Browsing. Le trafic s'effondre, et du spam SEO (pages pharma, casino, « hack japonais ») peut polluer vos résultats pendant des semaines. Le référencement construit pendant des années se dégrade vite.
• [RGPD] Si des données de formulaires ou de clients sont exposées, vous devez notifier la CNIL sous 72 h (article 33 du RGPD). Un défaut de sécurité ou de notification peut coûter jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu (article 83 du RGPD). Ce plafond vise les manquements graves, mais il rappelle que la responsabilité vous incombe, pas à l'éditeur du plugin.

Ajoutez la facture d'un nettoyage en urgence, facturé au temps passé, et l'image écornée auprès de clients qui tombent sur une alerte rouge en cliquant sur votre lien.

Checklist niveau 1 : à faire aujourd'hui (impact maximal)

Ces trois mesures bloquent la majorité des attaques automatisées. Comptez deux à trois heures en tout.

Mettre à jour WordPress, plugins et thèmes sans casser le site

[CA] [Google] [RGPD] WordPress propose des mises à jour automatiques pour les plugins et les thèmes depuis la version 5.5 (août 2020). C'est pratique, mais une incompatibilité peut casser une page de paiement un vendredi soir. La crainte est légitime : c'est pourquoi nous testons chaque mise à jour en environnement de staging (une copie du site) avant la mise en production.

Sans staging, faites une sauvegarde complète juste avant, mettez à jour un plugin à la fois, puis testez vos pages clés : formulaire de contact, panier, paiement.

Supprimez les plugins et thèmes inutilisés. Même désactivés, ils restent exploitables. Vérifiez aussi votre version de PHP : WordPress recommande au minimum PHP 8.3, alors que son minimum technique est PHP 7.4. Cela se règle en général dans l'espace de l'hébergeur, après un test.

Mots de passe forts, 2FA et identifiant admin unique

[CA] [RGPD] Les attaques par force brute testent en continu un grand nombre de mots de passe. Le credential stuffing, lui, réutilise des identifiants volés ailleurs, en pariant que vous avez le même mot de passe partout.

• N'utilisez pas l'identifiant « admin » : WordPress ne permet pas de modifier un identifiant. Créez un nouveau compte administrateur avec un identifiant moins évident, connectez-vous avec, puis supprimez l'ancien compte en attribuant ses contenus au nouveau.
• Utilisez un gestionnaire de mots de passe, avec un mot de passe unique par compte.
• Activez la double authentification pour tous les comptes qui peuvent éditer du contenu.

Appliquer le principe du moindre privilège sur les rôles utilisateurs

[RGPD] [Google] Chaque compte ne doit disposer que des droits dont il a besoin. WordPress distingue cinq rôles : l'administrateur (tout), l'éditeur (gère tous les contenus), l'auteur (publie les siens), le contributeur (rédige sans publier) et l'abonné (lecture seule).

Le cas que nous croisons le plus souvent : le freelance de 2019 a toujours un accès administrateur. Supprimez les comptes d'anciens prestataires et salariés, puis relisez la liste des utilisateurs une fois par trimestre.

Checklist niveau 2 : à faire cette semaine (durcissement)

Ces mesures réduisent la surface d'attaque. Pour chacune, nous indiquons si vous pouvez agir seul ou s'il faut un développeur.

1. HTTPS forcé et certificat SSL. Seul, via l'hébergeur. [Google] [RGPD]
2. Pare-feu applicatif (WAF). Il filtre le trafic malveillant avant qu'il n'atteigne WordPress, et peut venir de l'hébergeur, de Cloudflare ou d'un plugin. Seul pour l'activer, développeur pour le configurer finement. [CA] [Google]
3. Limitation des tentatives de connexion. Seul, avec votre plugin de sécurité. [CA]
4. Désactivation de XML-RPC s'il n'est pas utilisé. Seul avec un plugin, ou par un développeur. [CA]
5. Désactivation de l'éditeur de fichiers : on ajoute DISALLOW_FILE_EDIT dans wp-config.php. Développeur. [Google]

define( 'DISALLOW_FILE_EDIT', true );

1. Permissions de fichiers correctes : dossiers en 755, fichiers en 644, wp-config.php en 600. Développeur. [RGPD]

find /chemin/du/site -type d -exec chmod 755 {} \;
find /chemin/du/site -type f -exec chmod 644 {} \;
chmod 600 /chemin/du/site/wp-config.php

1. En-têtes de sécurité HTTP, qui limitent des attaques comme le XSS. Développeur. [Google]
2. Hébergeur sérieux en France ou dans l'UE : un argument RGPD autant que technique. [RGPD]

Une réserve sur le WAF : un filtrage, même utile, ne remplace pas les mises à jour.

Sauvegardes externalisées : la règle 3-2-1 appliquée à WordPress

[CA] [Google] [RGPD] La règle 3-2-1 tient en une ligne : 3 copies de vos données, sur 2 supports différents, dont 1 hors site. Pour WordPress, cela donne par exemple le site en production, une sauvegarde sur le serveur de l'hébergeur et une copie chez un tiers (stockage cloud externe).

Sauvegardez toujours les fichiers et la base de données. Sans la base, vous perdez vos contenus, vos commandes et vos comptes. Une sauvegarde quotidienne s'impose pour un e-commerce ; une hebdomadaire peut suffire pour un site vitrine qui bouge peu.

Ne stockez jamais vos sauvegardes uniquement sur le serveur du site : un pirate ou une panne les emporte avec lui. Gardez au moins 30 jours d'historique, car une infection peut rester dormante avant de se manifester.

Dernier point, le plus négligé : une sauvegarde jamais testée n'est pas une sauvegarde. Une fois par trimestre, restaurez-la sur un environnement de test et vérifiez que le site s'ouvre, que les formulaires partent et que le paiement fonctionne.

Checklist niveau 3 : en continu (entretien)

Ces gestes se répètent tout au long de l'année.

• Appliquer les mises à jour de sécurité dans la semaine de leur publication.
• Relire la liste des utilisateurs chaque trimestre et supprimer les comptes inutiles.
• Restaurer une sauvegarde sur un environnement de test chaque trimestre.
• Activer une alerte de monitoring (disponibilité et modifications de fichiers) via votre plugin de sécurité ou votre prestataire.

Plugins de sécurité WordPress : lesquels sont utiles, lesquels sont superflus

Notre position est simple : un seul plugin de sécurité complet, bien configuré. Chaque plugin ajoute du code, donc de la surface d'attaque, et les doublons entrent en conflit.

Les page-builders lourds posent un problème comparable : beaucoup de code, beaucoup d'extensions complémentaires. Les extensions complémentaires pour Elementor ajoutent elles aussi du code à surveiller. C'est l'une des raisons pour lesquelles nous construisons des sites WordPress sur thème sur-mesure, sans page-builder : moins de code inutile, moins de dépendances à surveiller.

Votre site WordPress a été piraté : la procédure d'urgence

Premiers signaux d'alerte : redirections suspectes vers d'autres sites, comptes administrateurs que vous n'avez pas créés, pages en langue étrangère indexées dans Google, alerte du navigateur ou e-mail de l'hébergeur. Si l'un d'eux apparaît, déroulez ces étapes dans l'ordre.

1. Mettez le site en maintenance ou hors ligne pour stopper la propagation.
2. Changez tous les mots de passe : WordPress, FTP/SFTP, base de données, hébergeur. Régénérez aussi les clés de sécurité (salts) dans wp-config.php.
3. Prévenez votre hébergeur. Il dispose souvent de journaux utiles.
4. Restaurez une sauvegarde saine, antérieure à l'infection, ou faites nettoyer le site par un professionnel. Ne vous contentez pas de supprimer un fichier suspect : une backdoor (porte dérobée) permet au pirate de revenir.
5. Identifiez et corrigez la faille d'origine. Sans cela, la réinfection est quasi certaine.
6. Vérifiez Google. Dans la Search Console, consultez le rapport « Problèmes de sécurité » et demandez un réexamen une fois le site nettoyé. Notre article pour utiliser Google Search Console détaille la démarche.
7. Évaluez la fuite de données. Si des données personnelles sont concernées, la CNIL demande une notification dans les meilleurs délais, au plus tard sous 72 h, via son téléservice. Les personnes concernées doivent être informées si le risque pour elles est élevé.

Le site cybermalveillance.gouv.fr, plateforme officielle d'assistance, peut aussi vous orienter vers des prestataires de proximité.

Quand confier la sécurité de votre site à un prestataire de maintenance ?

Faites-vous accompagner si au moins un de ces critères s'applique :

• le site génère du chiffre d'affaires ou des leads ;
• il collecte des données personnelles ;
• personne en interne n'a une à deux heures par mois à y consacrer ;
• il compte plus de 15 plugins ;
• il a déjà été piraté.

Un bon contrat de maintenance inclut des mises à jour testées en staging, des sauvegardes externalisées, un monitoring 24/7, un délai d'intervention contractuel (SLA) et le nettoyage en cas d'incident. Nos critères pour choisir votre agence web vous aident à poser les bonnes questions.

Chez Kameo, les forfaits de maintenance WordPress vont de 79 à 299 € HT par mois, sans engagement, avec un SLA de 24 h ouvrées. À ce jour, aucun site piraté sous contrat de maintenance depuis 2023. Comparez avec un nettoyage en urgence suivi de semaines de trafic perdu : le calcul se fait vite.

Si votre site repose sur un thème obsolète, un page-builder lourd ou un PHP ancien, la maintenance seule ne suffira pas. Une refonte de votre site WordPress sans perdre votre SEO sera alors plus rentable que d'empiler les rustines.

Questions fréquentes

WordPress est-il moins sécurisé que Wix, Shopify ou Framer ?

Pas forcément. Les plateformes hébergées gèrent les mises à jour à votre place, ce qui supprime le risque des plugins obsolètes. WordPress offre plus de liberté, mais exige un entretien régulier. Bien maintenu, il convient parfaitement à une PME.

Un plugin de sécurité suffit-il à protéger un site WordPress ?

Non. Un plugin de sécurité complet aide, mais il ne remplace ni les mises à jour, ni la double authentification, ni les sauvegardes testées. Un seul, bien configuré : les cumuler ralentit le site sans améliorer la protection.

À quelle fréquence faut-il mettre à jour son site WordPress ?

Les correctifs de sécurité doivent être appliqués vite, de préférence dans la semaine. Un contrôle hebdomadaire est un bon rythme pour un site professionnel. Testez toujours sur une copie ou après une sauvegarde, surtout sur un site e-commerce.

Comment savoir si mon site WordPress a été piraté ?

Cherchez des redirections inattendues, des comptes administrateurs inconnus, des pages étrangères dans Google, une alerte du navigateur ou un message de l'hébergeur. Un scan avec votre plugin de sécurité et le rapport « Problèmes de sécurité » de la Search Console complètent le diagnostic.

Combien coûte la maintenance sécurité d'un site WordPress ?

Chez Kameo, les forfaits vont de 79 à 299 € HT par mois, sans engagement. Ils incluent mises à jour testées, sauvegardes externalisées et monitoring. Le prix varie selon la taille du site, son niveau de criticité et le temps de développement inclus.

Faut-il prévenir la CNIL si mon site WordPress a été piraté ?

Oui, si des données personnelles sont concernées et qu'il existe un risque pour les personnes. La notification se fait sous 72 h après la découverte, via le téléservice de la CNIL. Si le risque est élevé, informez aussi les personnes concernées.

Par où commencer dès ce soir

Prenez 30 minutes : listez vos utilisateurs WordPress, supprimez les comptes inutiles, activez la 2FA sur ceux qui restent, puis lancez une sauvegarde complète et stockez-la hors du serveur. Vous aurez fermé les portes d'entrée les plus courantes.

Pour le reste, laissez-nous nous en charger : notre équipe n'a eu aucun site piraté sous contrat de maintenance depuis 2023. Découvrez nos forfaits de maintenance WordPress ou réservez un brief découverte gratuit de 30 minutes.