Réponse rapide : la plupart des sites WordPress sont piratés à cause d’extensions périmées et de mots de passe faibles ou volés, pas à cause de WordPress lui-même. Selon le rapport 2026 de Patchstack cité par des chercheurs en sécurité, environ 91 % des vulnérabilités divulguées en 2025 se trouvaient dans des extensions, 9 % dans des thèmes et moins de 1 % dans le cœur de WordPress. Les mesures les plus efficaces sont donc simples : tout mettre à jour, supprimer les extensions inutilisées, utiliser des mots de passe forts avec l’authentification à deux facteurs, conserver des sauvegardes hors du serveur et ajouter une extension de sécurité ou un pare-feu reconnu.
D’où viennent les vulnérabilités
| Source | Part des vulnérabilités (2025) |
|---|---|
| Extensions | ~91 % |
| Thèmes | ~9 % |
| Cœur de WordPress | Moins de 1 % |
Chiffres Patchstack 2026 rapportés par des guides de sécurité. La même étude indique que certaines failles sont exploitées massivement quelques heures après leur divulgation : d’où l’importance de mettre à jour vite.
Les 15 étapes
1. Mettre à jour WordPress, les extensions et les thèmes
Les mises à jour corrigent les failles connues. Activez les mises à jour automatiques des versions mineures du cœur et des extensions de confiance, et consultez l’écran Mises à jour chaque semaine. Sauvegardez avant les mises à jour majeures.
2. Supprimer ce que vous n’utilisez pas
Une extension désactivée peut contenir des fichiers vulnérables. Si elle ne sert pas, supprimez-la. Gardez un thème par défaut comme solution de repli et retirez les autres.
3. N’installer que des extensions fiables
Avant d’installer, vérifiez la date de dernière mise à jour, le nombre d’installations actives, les avis et la réactivité du développeur. Évitez les extensions premium « nulled » (piratées) : elles contiennent souvent des logiciels malveillants.
4. Utiliser des mots de passe forts et uniques
Un gestionnaire de mots de passe crée des mots de passe longs et aléatoires pour chaque compte : administrateur, hébergement, FTP et base de données.
5. Activer l’authentification à deux facteurs (2FA)
La 2FA bloque la plupart des attaques par mot de passe volé. Activez-la pour chaque administrateur et éditeur.
6. Limiter les tentatives de connexion
Bloquez ou ralentissez les échecs répétés pour freiner les robots. Beaucoup d’extensions et d’hébergeurs l’offrent.
7. Utiliser un pare-feu applicatif (WAF)
Un pare-feu filtre le trafic malveillant avant qu’il atteigne votre site, sous forme d’extension, chez l’hébergeur ou dans le nuage. Certains offrent des « correctifs virtuels » qui bloquent une faille connue avant votre mise à jour.
8. Conserver des sauvegardes hors du serveur
Programmez des sauvegardes quotidiennes automatiques stockées ailleurs que sur votre serveur, et testez une restauration au moins une fois.
9. Passer au HTTPS partout
Installez un certificat SSL (souvent gratuit) et vérifiez que chaque page se charge en HTTPS.
10. Choisir un hébergement sûr
Un bon hébergeur isole les comptes, utilise un PHP récent (8.3+ recommandé), recherche les logiciels malveillants et vous aide en cas de pépin. Voir le comparatif d’hébergement WordPress au Canada. Ne comptez toutefois pas uniquement sur lui : la plupart des attaques visent les extensions et les connexions.
11. Donner à chacun le rôle minimal
Tout le monde n’a pas besoin d’être Administrateur. Utilisez les rôles Éditeur, Auteur ou Contributeur et supprimez les anciens comptes.
12. Désactiver l’édition des fichiers dans le tableau de bord
Ajoutez define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php : un intrus qui accède à un compte ne pourra pas modifier le code des thèmes et extensions.
13. Protéger wp-config.php et les permissions
Des permissions courantes et sûres : 755 pour les dossiers, 644 pour les fichiers, plus strictes pour wp-config.php. Votre hébergeur peut les vérifier.
14. Suivre l’actualité des failles
Surveillez les bases de données de vulnérabilités et les journaux de modifications de vos extensions pour savoir quand mettre à jour d’urgence.
15. Surveiller votre site
Utilisez une surveillance de disponibilité et des analyses de sécurité pour être averti avant vos visiteurs. Consultez régulièrement Outils → Santé du site.
Faut-il une extension de sécurité ?
Une extension reconnue regroupe pare-feu, protection de la connexion, 2FA, analyse des logiciels malveillants et alertes. Options connues : Wordfence, Solid Security, Sucuri et Patchstack. N’en choisissez qu’une : plusieurs à la fois peuvent entrer en conflit et ralentir le site.
Liste de vérification rapide
| Élément | Fait ? |
|---|---|
| Cœur, extensions et thèmes à jour | ☐ |
| Extensions et thèmes inutilisés supprimés | ☐ |
| 2FA sur tous les comptes administrateurs | ☐ |
| Sauvegardes quotidiennes hors serveur testées | ☐ |
| HTTPS sur chaque page | ☐ |
| Pare-feu ou extension de sécurité actif | ☐ |
| Édition des fichiers désactivée | ☐ |
| PHP 8.3+ sur le serveur | ☐ |
Que faire si votre site est piraté
- Ne paniquez pas, et ne supprimez pas tout.
- Mettez le site en maintenance ou demandez à l’hébergeur de l’isoler.
- Changez tous les mots de passe : comptes WordPress, hébergement, FTP/SFTP, base de données.
- Restaurez une sauvegarde saine antérieure au piratage, si vous en avez une.
- Mettez tout à jour et supprimez extensions, thèmes et administrateurs inconnus.
- Analysez le site avec un outil de sécurité ou faites appel à un service de nettoyage.
- Si Google affiche un avertissement, demandez un réexamen dans la Search Console après nettoyage.
- Si des renseignements personnels sont touchés : au Canada, la LPRPDE exige de déclarer au Commissariat à la protection de la vie privée les atteintes présentant un risque réel de préjudice grave ; au Québec, la Loi 25 impose d’aviser la Commission d’accès à l’information et les personnes concernées en cas de risque de préjudice sérieux, et de tenir un registre des incidents.
La couche oubliée : le serveur
La sécurité dépend aussi des logiciels du serveur : système d’exploitation, serveur Web et PHP. En octobre 2026, deux failles critiques de PHP surnommées PHP2Shell ont permis d’exécuter du code sur des serveurs non corrigés sans se connecter à WordPress. Mettre à jour les extensions n’y changeait rien : seule une version de PHP corrigée protégeait. Vérifiez votre version dans Outils → Santé du site → Infos → Serveur.
Un cas réel
Le site d’un petit organisme de bienfaisance s’est mis à rediriger vers une fausse page de prix. Cause : une extension de formulaire non mise à jour depuis huit mois, avec une faille connue. L’organisme a restauré une sauvegarde saine, tout mis à jour, supprimé quatre extensions inutilisées, activé la 2FA et ajouté un pare-feu. Depuis, un bénévole consacre 15 minutes par semaine aux mises à jour et aux sauvegardes.
Questions fréquentes
WordPress est-il sécuritaire ?
Le cœur est bien entretenu et très sûr. La plupart des problèmes viennent d’extensions périmées, de mots de passe faibles et de mauvais hébergements.
Faut-il une extension de sécurité payante ?
Pas toujours. Les versions gratuites et de bonnes habitudes protègent la plupart des petits sites.
Faut-il cacher la page de connexion ?
Cela réduit le bruit des robots, mais la 2FA et des mots de passe forts comptent bien davantage.
Où trouver les recommandations officielles ?
Dans le guide Hardening WordPress de WordPress.org (en anglais).
Pour conclure
La sécurité, c’est surtout des habitudes : mettre à jour, supprimer l’inutile, activer la 2FA et sauvegarder. Inscrivez la liste de vérification à votre agenda chaque mois. Et si une mise à jour tourne mal, voyez comment régler l’erreur critique WordPress.
WordPressPrime.com est un guide indépendant, sans lien avec la WordPress Foundation, WordPress.org ou Automattic. Faites toujours une sauvegarde de votre site avant toute modification et consultez les sources officielles pour les informations les plus récentes.