Sécuriser WordPress : 20 mesures essentielles

Vous avez investi dans votre site, il génère des demandes, et pourtant sa sécurité repose peut-être sur un mot de passe partagé, une extension oubliée depuis deux ans et une sauvegarde que personne n'a jamais testée. Les pirates n'ont pas besoin de vous viser : des robots parcourent le web en continu et essaient les failles connues sur tous les sites qu'ils trouvent.

La sécurité d'un site WordPress n'est pas un produit à installer, c'est un empilement de petites protections : si l'une cède, une autre tient. Voici 20 mesures concrètes, regroupées en cinq familles, pour bâtir le socle d'un site professionnel. Elles ne rendent pas un site invulnérable (rien ne le fait), mais elles écartent l'essentiel des risques courants.

Les accès : verrouiller la porte d'entrée

1. Un mot de passe long et unique par compte, idéalement généré et rangé dans un gestionnaire de mots de passe.
2. La double authentification pour tous les comptes administrateurs.
3. Pas d'identifiant « admin » : un nom de connexion prévisible facilite les attaques par essais répétés.
4. Un compte par personne, avec le rôle le plus limité possible (auteur plutôt qu'administrateur quand cela suffit).
5. Une limite aux tentatives de connexion, pour bloquer les essais automatiques.

Les mises à jour et les extensions : réduire la surface d'attaque

6. Mettre à jour le cœur de WordPress, le thème et les extensions, sans laisser traîner. Notre guide pour mettre à jour WordPress sans rien casser détaille la méthode.
7. Supprimer (et non seulement désactiver) les extensions et thèmes inutilisés.
8. Installer uniquement depuis des sources fiables : répertoire officiel ou éditeur identifié. Les versions piratées d'extensions payantes (« nulled ») sont une cause classique d'infection.
9. Vérifier qu'une extension est encore maintenue : date de dernière mise à jour, compatibilité avec votre version de WordPress.
10. Limiter le nombre d'extensions à ce qui sert vraiment : chacune est une porte de plus à surveiller.

Le serveur et les fichiers : soigner les fondations

11. HTTPS avec un certificat valide, dont le renouvellement est surveillé.
12. Une version de PHP encore prise en charge par son éditeur, à faire évoluer avec votre hébergeur.
13. Des permissions de fichiers correctes : ni trop ouvertes, ni trop fermées.
14. Protéger wp-config.php et désactiver l'édition des fichiers depuis l'administration, pour qu'un compte compromis ne puisse pas modifier le code.
15. Un hébergement sérieux, avec isolation des sites et mises à jour du serveur : voir notre guide pour choisir un hébergement WordPress.

La surveillance et la reprise : prévoir l'incident

16. Un pare-feu applicatif ou une extension de sécurité maintenue, une seule : en cumuler plusieurs ralentit le site et crée des conflits.
17. Une alerte de disponibilité et d'expiration du certificat, pour ne pas apprendre la panne par un client.
18. Une alerte sur les modifications de fichiers ou de comptes qui n'ont pas de raison d'exister.
19. Des sauvegardes automatiques et externalisées, stockées ailleurs que sur le serveur du site, avec une durée de conservation définie.
20. Une restauration testée et une procédure écrite : si le pire arrive, voici les 8 étapes à suivre pour un site piraté.

Par où commencer si vous n'avez qu'une heure ?

Trois actions donnent le meilleur rapport effet / effort : activer la double authentification, tout mettre à jour et supprimer ce qui ne sert pas, et vérifier que vous avez une sauvegarde externalisée récente. Le reste vient ensuite, par étapes.

Le vrai sujet : tenir dans la durée

Ce qui fait la différence n'est pas la liste, c'est sa régularité. Une protection réglée un jour mais jamais revue vieillit vite : de nouvelles failles sont publiées chaque semaine. C'est le rôle d'un contrat de maintenance WordPress ; les facteurs qui font varier son prix sont expliqués à part. Notre service de maintenance WordPress se fait à distance et sur devis.

Côté données personnelles : RGPD : les obligations d'un site de PME.

À lire aussi : Espace membre WordPress : les solutions.