WordPress équipe une part considérable des sites web, ce qui en fait une cible privilégiée pour les cybercriminels. Le CMS lui-même n'est pas nécessairement le principal problème : les attaques exploitent souvent des extensions ou thèmes vulnérables, des composants qui ne sont plus mis à jour, des mots de passe faibles ou de mauvaises configurations.
L'article insiste donc sur une approche globale de la sécurité. La première règle est de maintenir WordPress, les thèmes et les plugins à jour et de supprimer tout composant devenu inutile. Il faut également éviter les extensions et thèmes provenant de sources douteuses ou « crackés », qui peuvent contenir directement du code malveillant.
La protection de l'administration est tout aussi importante. Les comptes doivent utiliser des mots de passe forts et uniques, l'identifiant « admin » doit être évité et l'authentification à deux facteurs devrait être activée. La limitation des tentatives de connexion permet également de réduire l'efficacité des attaques automatisées par force brute.
L'article recommande l'utilisation d'outils spécialisés de sécurité capables de surveiller les fichiers, détecter des modifications suspectes, rechercher des malwares et bloquer certaines attaques. Le chiffrement HTTPS, une configuration correcte du serveur et le choix d'un hébergeur assurant un niveau de sécurité suffisant complètent ces protections.
Enfin, les sauvegardes constituent la dernière ligne de défense. Elles doivent être régulières, automatisées et idéalement stockées ailleurs que sur le serveur hébergeant le site. Leur restauration doit également être testée : une sauvegarde inutilisable n'offre aucune protection réelle en cas d'incident.
Les principaux points à respecter
Mettre régulièrement à jour WordPress, les thèmes et les plugins.
Supprimer les extensions et thèmes inutilisés.
Utiliser uniquement des composants provenant de sources fiables.
Éviter absolument les plugins et thèmes « crackés ».
Utiliser des mots de passe forts et uniques.
Ne pas conserver « admin » comme identifiant administrateur.
Activer l'authentification à deux facteurs (2FA).
Limiter les tentatives de connexion.
Limiter les droits de chaque utilisateur au strict nécessaire.
Utiliser systématiquement HTTPS.
Installer une solution de sécurité et de détection des malwares.
Surveiller les fichiers et les activités inhabituelles.
Protéger le site contre les attaques automatisées et les DDoS.
Choisir un hébergement correctement sécurisé et maintenu.
Effectuer des sauvegardes régulières, automatiques et externalisées.
Tester périodiquement la restauration des sauvegardes.
15 astuces pour sécuriser son site WordPress
Un WordPress compromis peut servir à voler des données, récupérer des identifiants, injecter du code malveillant, rediriger les visiteurs vers des sites frauduleux, diffuser des malwares ou mener d'autres attaques depuis le serveur. La sécurité de WordPress ne consiste donc pas à installer un plugin de sécurité puis à l'oublier. Elle repose surtout sur une maintenance continue : mettre à jour, réduire la surface d'attaque, contrôler les accès, surveiller et sauvegarder.