Sécuriser un site WordPress : la liste des bons réflexes 🔒

Pourquoi un site WordPress est-il souvent visé par les pirates ?

WordPress fait tourner un très grand nombre de sites. Les pirates lancent donc des robots qui testent automatiquement les failles connues, sur tous les sites, sans viser personne en particulier.

Beaucoup de patrons pensent : « Mon site est trop petit, personne ne s’y intéressera. » C’est une erreur courante. Le site d’une boulangerie de village est attaqué comme celui d’une grande marque.

La raison est simple. Les attaques ne sont pas faites à la main. Des robots parcourent le web jour et nuit. Ils cherchent une extension pas à jour, un mot de passe trop simple, une page de connexion mal protégée. Dès qu’ils trouvent une faille, ils entrent.

Ce que les pirates cherchent sur un petit site

• Envoyer du spam depuis votre serveur, ce qui peut faire bloquer vos propres e-mails.
• Rediriger vos visiteurs vers des sites frauduleux ou des boutiques de contrefaçon.
• Ajouter des pages cachées pour tromper Google, au détriment de votre réputation.
• Héberger de fausses pages de banque ou de livraison pour voler des identifiants.
• Récupérer les données de vos clients : noms, e-mails, adresses, commandes.

WordPress n’est pas le problème

Le cœur de WordPress est suivi par une large communauté. Les correctifs de sécurité sortent vite. Le danger vient presque toujours de ce qui l’entoure :

• des extensions installées puis oubliées ;
• un thème acheté il y a des années et jamais mis à jour ;
• un mot de passe partagé avec trois personnes ;
• un hébergement bas de gamme jamais vérifié.

Un plombier qui laisse la porte de son camion ouverte ne doit pas blâmer le constructeur. C’est pareil ici. La bonne nouvelle : la plupart des attaques sont évitées par quelques habitudes simples, détaillées dans les parties suivantes.

Comment savoir si votre site WordPress a été piraté ?

Redirections vers d'autres sites, pages inconnues sur Google, alerte du navigateur, utilisateurs inconnus dans le tableau de bord : ces signes doivent vous alerter et pousser à vérifier rapidement.

Un site piraté ne s’affiche pas toujours avec une tête de mort. Souvent, le pirate reste discret pour profiter longtemps de votre site. Il faut donc savoir repérer les indices.

Les signes qui ne trompent pas

• Vos visiteurs sont redirigés vers un autre site, parfois seulement sur mobile ou seulement depuis Google.
• Google affiche des pages étranges à votre nom : pharmacie, casino, textes en langue étrangère.
• Le navigateur affiche une alerte du type « site dangereux » ou « site trompeur ».
• Un administrateur inconnu apparaît dans la liste des utilisateurs.
• Le site devient très lent sans raison, ou plante souvent.
• L’hébergeur vous écrit pour signaler une activité suspecte ou suspend le site.
• Vos e-mails n’arrivent plus chez vos clients, car votre serveur envoie du spam.

Une vérification simple à faire vous-même

Tapez dans Google site:votredomaine.fr (avec votre propre adresse). Google liste alors les pages qu’il connaît de votre site. Si vous voyez des titres que vous n’avez jamais écrits, il y a un problème.

Pensez aussi à ouvrir votre site depuis votre téléphone, en navigation privée, en passant par Google. Certains piratages ne se montrent qu’à ce moment-là.

Un exemple courant

Une coiffeuse apprend par une cliente que son site « renvoie vers une boutique de montres ». Elle, connectée en permanence à son tableau de bord, ne voyait rien. Le pirate avait justement prévu de se cacher des administrateurs.

Si vous repérez un de ces signes, ne laissez pas traîner. Plus le piratage dure, plus le nettoyage est long et plus votre visibilité sur Google en souffre.

Faut-il vraiment mettre à jour WordPress, les thèmes et les extensions ?

Oui, c'est le réflexe le plus important. Chaque mise à jour corrige des failles. Une fois une faille rendue publique, les robots pirates la testent très vite sur tous les sites.

Une mise à jour n’est pas qu’un changement de couleur ou une nouvelle fonction. Très souvent, elle bouche un trou de sécurité découvert récemment.

Le problème, c’est le calendrier. Dès qu’un correctif sort, la faille devient connue de tous, y compris des pirates. Un site qui ne se met pas à jour reste alors exposé, avec une porte que tout le monde sait ouvrir.

Les trois éléments à mettre à jour

Élément	C’est quoi	Risque s’il est oublié
WordPress	Le logiciel de base du site	Failles du cœur, rares mais connues
Le thème	L’habillage graphique du site	Failles dans le code du thème
Les extensions	Les modules ajoutés (formulaire, boutique, galerie…)	La première porte d’entrée des pirates

Mettre à jour sans casser le site

Une mise à jour peut parfois provoquer un bug d’affichage. Ce n’est pas une raison pour ne rien faire. Il suffit de suivre un ordre simple :

1. Faites une sauvegarde complète du site avant toute mise à jour.
2. Mettez à jour les extensions une par une, si possible.
3. Mettez à jour le thème, puis WordPress.
4. Vérifiez les pages clés : accueil, contact, formulaire de devis, panier pour une boutique.
5. En cas de souci, restaurez la sauvegarde et cherchez l’extension en cause.

À quel rythme ?

Une vérification par semaine suffit pour la plupart des sites vitrines. Une boutique en ligne mérite un œil plus attentif, car elle traite des commandes et des données clients.

WordPress propose aussi les mises à jour automatiques. Elles sont utiles, à condition d’avoir des sauvegardes régulières et de vérifier que le site fonctionne toujours. Pour un avocat ou un artisan très occupé, c’est souvent ce point qui coince : on oublie, puis six mois passent.

Comment sécuriser la connexion à votre tableau de bord WordPress ?

Utilisez un mot de passe long et unique, un identifiant différent de « admin », la double authentification, et un compte personnel pour chaque personne qui travaille sur le site.

La page de connexion est la porte d’entrée de votre site. Des robots essaient chaque jour des milliers de combinaisons d’identifiants et de mots de passe. Il faut donc rendre cette porte solide.

Un mot de passe qui tient la route

• Long : une phrase de plusieurs mots vaut mieux qu’un mot court compliqué.
• Unique : jamais le même que votre messagerie ou votre banque.
• Rangé dans un gestionnaire de mots de passe, un coffre-fort numérique qui les retient pour vous.

Le dispositif public d’assistance aux victimes donne des conseils pratiques pour créer et gérer ses mots de passe, clairs et accessibles.

L’identifiant compte aussi

Évitez « admin », le nom de votre entreprise ou votre prénom seul. Ce sont les premiers testés par les robots.

La double authentification

C’est un second contrôle après le mot de passe. Vous recevez un code sur votre téléphone, ou vous le lisez dans une application dédiée. Même si votre mot de passe fuit, le pirate reste bloqué. Plusieurs extensions de sécurité proposent cette fonction.

Limiter les tentatives

Une bonne extension bloque une adresse qui se trompe plusieurs fois de suite. Cela arrête la plupart des robots qui testent des mots de passe en série.

Un compte par personne, avec le bon rôle

Un plombier confie la mise à jour des actualités à son neveu. Il lui donne son propre accès administrateur. Mauvaise idée.

WordPress prévoit des rôles : administrateur, éditeur, auteur… Un éditeur peut publier des textes sans toucher aux extensions ni aux réglages. Donnez à chacun le minimum utile. Et quand un prestataire ou un salarié s’en va, supprimez son compte le jour même.

Quelle extension de sécurité WordPress choisir ?

Des extensions reconnues comme Wordfence, Sucuri ou Solid Security ajoutent un pare-feu, un scan et une protection de la connexion. Installez-en une seule, bien réglée, jamais plusieurs à la fois.

Une extension de sécurité ajoute une couche de protection à votre site. Elle ne remplace pas les mises à jour, mais elle bloque beaucoup d’attaques automatiques.

Ce qu’une bonne extension apporte

• Un pare-feu : un filtre qui bloque les visites suspectes avant qu’elles n’atteignent votre site.
• Un scan : une analyse des fichiers pour repérer du code malveillant ou modifié.
• La protection de la connexion : limite des tentatives, double authentification.
• Des alertes par e-mail quand quelque chose d’anormal se produit.

Les noms que vous croiserez

Wordfence, Sucuri et Solid Security (anciennement iThemes Security) font partie des extensions les plus connues. Toutes proposent une version gratuite et des options payantes. Les tarifs vont de quelques euros à quelques dizaines d’euros par mois selon les options, et ils changent régulièrement.

Pour un site vitrine d’artisan, la version gratuite bien réglée couvre déjà l’essentiel. Une boutique en ligne peut avoir intérêt aux options payantes, comme un pare-feu plus réactif.

Les erreurs fréquentes

• Installer deux ou trois extensions de sécurité : elles se gênent, ralentissent le site et peuvent provoquer des bugs.
• Installer sans régler : les réglages par défaut ne sont pas toujours suffisants.
• Ignorer les alertes : une alerte lue trois semaines après ne sert plus à grand-chose.
• Croire que l’extension fait tout : un site jamais mis à jour reste fragile.

Aller plus loin

WordPress publie lui-même une documentation officielle sur le renforcement de la sécurité d’un site WordPress. Elle est en anglais et assez technique, mais elle sert de référence aux professionnels. Pour un patron de TPE, retenez l’idée générale : plusieurs petites protections valent mieux qu’une seule grosse.

Comment sauvegarder un site WordPress correctement ?

Sauvegardez à la fois les fichiers et la base de données, régulièrement, avec au moins une copie stockée en dehors de votre hébergement. Testez de temps en temps la restauration.

La sauvegarde, c’est votre roue de secours. Le jour où le site est piraté, cassé par une mise à jour ou effacé par erreur, elle vous sauve la mise. Sans elle, il faut parfois tout refaire.

Que faut-il sauvegarder ?

Un site WordPress se compose de deux parties :

• Les fichiers : WordPress, le thème, les extensions, vos photos et documents.
• La base de données : l’endroit où sont rangés vos textes, vos réglages, vos commandes et vos comptes clients.

Une sauvegarde qui oublie l’une des deux ne sert presque à rien.

Où ranger les sauvegardes ?

Beaucoup d’hébergeurs font des sauvegardes automatiques. C’est un bon début, mais pas suffisant. Si le compte d’hébergement est compromis, ces copies peuvent l’être aussi.

Ajoutez une copie à l’extérieur : un espace de stockage en ligne, par exemple. Des extensions comme UpdraftPlus savent envoyer les sauvegardes automatiquement vers ce type d’espace.

À quelle fréquence ?

Type de site	Fréquence conseillée	Pourquoi
Site vitrine (couvreur, avocat, gîte)	Chaque semaine	Le contenu change peu
Site avec blog actif	Après chaque publication ou chaque semaine	Pour ne pas perdre vos textes
Boutique en ligne	Chaque jour	Les commandes et les clients changent tous les jours

Gardez plusieurs versions dans le temps. Un piratage discret peut dater de plusieurs semaines. Une seule sauvegarde récente risque alors d’être déjà infectée.

Le test que personne ne fait

Une sauvegarde jamais testée est une promesse, pas une garantie. Une ou deux fois par an, vérifiez qu’elle se restaure bien, par exemple sur un site de test. Un boulanger vérifie que son extincteur est chargé ; c’est le même principe.

Le HTTPS suffit-il à sécuriser un site WordPress ?

Non. Le HTTPS chiffre les échanges entre le visiteur et le site, ce qui est indispensable. Mais il ne protège pas le site contre une extension vulnérable ou un mot de passe volé.

Le petit cadenas dans la barre d’adresse rassure. Il signifie que votre site utilise le HTTPS, grâce à un certificat SSL. Mais ce cadenas a un rôle précis, et limité.

Ce que le HTTPS protège

Il chiffre, c’est-à-dire brouille, les informations échangées entre le navigateur du visiteur et votre site. Un formulaire de contact, un mot de passe ou une adresse de livraison ne circulent plus en clair.

C’est indispensable aujourd’hui. Sans lui, les navigateurs affichent un avertissement qui fait fuir les clients. Si vous voyez ce message, lisez notre explication sur le message « site non sécurisé » et comment le corriger.

Ce que le HTTPS ne protège pas

• une extension pas à jour avec une faille connue ;
• un mot de passe trop faible ou partagé ;
• un fichier malveillant déposé sur le serveur ;
• une sauvegarde inexistante.

Une image simple : le HTTPS est un camion blindé pour transporter l’argent. Il ne protège pas la boutique si la porte arrière reste ouverte.

Gratuit ou payant ?

Pour la grande majorité des artisans, commerçants et TPE, un certificat gratuit fait parfaitement le travail. Le niveau de chiffrement est le même. Les certificats payants apportent surtout des garanties ou des vérifications d’identité utiles à certaines structures. Le détail est expliqué dans notre comparatif certificat SSL gratuit ou payant.

Les vérifications à faire

• Toutes les pages s’ouvrent bien en https://.
• L’ancienne adresse en http:// redirige automatiquement vers la nouvelle.
• Le certificat se renouvelle tout seul, sans action de votre part.
• Aucune image ni aucun script n’est encore chargé en http://, ce qui casse le cadenas.

Quel rôle joue l’hébergeur dans la sécurité de WordPress ?

Un rôle important. L'hébergeur gère le serveur, la version de PHP, l'isolation entre les sites, souvent les sauvegardes et un pare-feu. Un hébergement négligé fragilise même un site bien entretenu.

Votre site WordPress vit sur le serveur d’un hébergeur. Si les fondations sont fragiles, la maison l’est aussi, même avec une bonne serrure.

Ce que l’hébergeur doit assurer

• Une version de PHP à jour : PHP est le langage qui fait tourner WordPress. Une version trop ancienne ne reçoit plus de correctifs.
• L’isolation des sites : sur un hébergement partagé, votre site ne doit pas être contaminé par celui du voisin.
• Des sauvegardes automatiques, avec une restauration simple.
• Un pare-feu et une surveillance du serveur.
• Un support joignable quand il y a un problème.

Les questions à poser à votre hébergeur

1. Quelle version de PHP mon site utilise-t-il ?
2. Les sauvegardes sont-elles automatiques, et combien de temps sont-elles gardées ?
3. Comment restaurer une sauvegarde, et est-ce payant ?
4. Le certificat HTTPS est-il inclus et renouvelé automatiquement ?
5. Que se passe-t-il si mon site est piraté ?

Les offres les moins chères ne sont pas forcément mauvaises. Mais un hébergement très bas de gamme rogne souvent sur le support et la surveillance.

Ne pas oublier le compte du nom de domaine

Le nom de domaine, c’est votre adresse sur internet. Il est souvent géré dans un compte à part, chez un registraire. Si quelqu’un y accède, il peut détourner votre site et vos e-mails. Si le renouvellement est oublié, le site disparaît. Pour bien comprendre ce que c’est, lisez notre explication sur le nom de domaine et son rôle pour votre entreprise.

Un réflexe utile : vérifiez que ce compte est à votre nom, avec un mot de passe solide. Un gîte dont le domaine est au nom d’un ancien prestataire injoignable se retrouve bloqué le jour où il faut agir.

Comment éviter les extensions et thèmes dangereux ?

Installez uniquement des extensions et thèmes venant du répertoire officiel ou d'un éditeur sérieux, récemment mis à jour, et supprimez tout ce que vous n'utilisez plus. Moins il y en a, mieux c'est.

Chaque extension ajoute du code sur votre site. Chaque morceau de code peut contenir une faille. Une extension utile et bien suivie vaut le risque. Une extension oubliée, non.

Où télécharger ?

• Le répertoire officiel de WordPress, accessible depuis votre tableau de bord.
• Le site de l’éditeur, pour les extensions et thèmes payants.

N’installez jamais une version « gratuite » d’un produit normalement payant trouvée sur un site inconnu. Ces copies piratées contiennent souvent du code malveillant caché. L’économie se paie très cher ensuite.

Les critères avant d’installer

Critère	Bon signe	Signal d’alerte
Dernière mise à jour	Il y a quelques semaines ou mois	Plus d’un an sans nouvelle version
Compatibilité	Testée avec votre version de WordPress	Aucune information
Nombre d’installations	Large, sur la durée	Très faible et récent
Avis et support	Questions traitées par l’éditeur	Questions sans réponse

Faire le ménage régulièrement

Une extension désactivée reste présente sur le serveur. Ses fichiers peuvent encore être exploités. Si vous ne vous en servez plus, supprimez-la.

Même chose pour les thèmes : gardez celui que vous utilisez, plus un thème par défaut de WordPress en secours. Supprimez les autres.

Un cas fréquent

Une boutique en ligne de vêtements accumule des extensions au fil des années : un ancien module de livraison, deux galeries photos, un formulaire testé puis abandonné. Résultat : un site lent, difficile à mettre à jour, et plein de portes d’entrée.

Un bon tri, une fois par trimestre, suffit souvent. Posez-vous une question simple pour chaque extension : « Si je la supprime, qu’est-ce que je perds ? » Si la réponse est « rien », supprimez-la.

Que faire si votre site WordPress est piraté ?

Gardez votre calme, changez tous les mots de passe, prévenez votre hébergeur, restaurez une sauvegarde saine, puis mettez tout à jour et vérifiez que la faille est bien fermée.

Découvrir son site piraté est stressant. Mais agir dans le bon ordre limite les dégâts. L’erreur classique est de tout supprimer dans la panique, ou au contraire d’attendre.

Les étapes dans l’ordre

1. Notez ce que vous voyez : captures d’écran, date, pages touchées. Cela aidera l’hébergeur ou le professionnel.
2. Changez tous les mots de passe : WordPress, hébergement, accès FTP (l’accès direct aux fichiers du serveur), base de données, messagerie liée au site.
3. Prévenez votre hébergeur. Il peut voir des choses que vous ne voyez pas, et parfois isoler le site.
4. Mettez le site en maintenance si des visiteurs sont redirigés vers des pages dangereuses.
5. Restaurez une sauvegarde saine, datant d’avant le piratage. D’où l’intérêt de garder plusieurs versions.
6. Mettez tout à jour : WordPress, thème, extensions. Sinon, le pirate revient par la même porte.
7. Supprimez les comptes inconnus et les extensions inutiles.
8. Lancez un scan avec votre extension de sécurité pour vérifier qu’il ne reste rien.
9. Vérifiez Google : si des pages étranges sont apparues, elles doivent disparaître de ses résultats.

Et sans sauvegarde ?

Le nettoyage devient un travail fichier par fichier. Il demande du temps et de l’expérience. C’est souvent le moment où il vaut mieux faire appel à un professionnel.

Penser aux données des clients

Si le site contenait des comptes clients, des commandes ou des formulaires, des données personnelles ont peut-être été exposées. Cela peut entraîner des obligations, détaillées dans la partie suivante.

Tirer la leçon

Un piratage a toujours une cause : une extension oubliée, un mot de passe faible, un ancien compte. Une fois le site nettoyé, identifiez cette cause. Sinon, le même scénario recommence quelques semaines plus tard.

Sécurité WordPress et RGPD : quelles obligations pour une petite entreprise ?

Dès que votre site collecte des données personnelles, le RGPD vous oblige à les protéger correctement. En cas de fuite présentant un risque, la CNIL doit en principe être prévenue sous 72 heures.

Le RGPD, c’est le règlement européen sur la protection des données personnelles. Il ne concerne pas que les grandes entreprises. Un formulaire de contact suffit pour être concerné.

Quelles données votre site collecte-t-il ?

• Formulaire de contact ou de devis : nom, e-mail, téléphone, parfois adresse.
• Réservations : dates, nombre de personnes, coordonnées, pour un gîte par exemple.
• Boutique en ligne : comptes clients, adresses de livraison, historique de commandes.
• Inscription à une lettre d’information : e-mails.

Toutes ces informations sont des données personnelles. Vous devez prendre des mesures de sécurité adaptées pour les protéger. Mises à jour, mots de passe solides, HTTPS et sauvegardes en font partie.

En cas de fuite de données

Si un piratage expose des données personnelles et présente un risque pour les personnes, vous devez le signaler à la CNIL. Le délai prévu est de 72 heures après en avoir pris connaissance. Dans certains cas, il faut aussi prévenir les personnes concernées.

La CNIL explique la marche à suivre sur sa page pour notifier une violation de données personnelles. Gardez aussi une trace écrite de l’incident et des mesures prises, même quand la notification n’est pas obligatoire.

Limiter ce que vous gardez

Le meilleur moyen de protéger une donnée, c’est de ne pas la stocker inutilement. Quelques réflexes :

• ne demandez dans vos formulaires que les informations vraiment utiles ;
• supprimez régulièrement les anciens messages de contact stockés dans WordPress ;
• évitez d’accumuler des comptes clients inactifs depuis des années.

Les mentions obligatoires

Votre site doit aussi informer les visiteurs sur l’éditeur du site et sur l’usage de leurs données. Le point est détaillé dans notre guide sur les mentions légales obligatoires d’un site internet.

Faut-il confier la sécurité de votre WordPress à un professionnel ?

Ce n'est pas obligatoire. Vous pouvez appliquer ces réflexes vous-même si vous avez du temps. Un contrat de maintenance évite surtout d'oublier et assure une réaction rapide en cas de problème.

La sécurité d’un site WordPress n’est pas un geste unique. C’est une habitude. La vraie question est donc : avez-vous le temps et l’envie de vous en occuper chaque semaine ?

Le faire vous-même : pour qui ?

• un site vitrine simple, avec peu d’extensions ;
• un patron à l’aise avec l’outil, qui se connecte souvent ;
• quelqu’un de rigoureux, qui bloque un créneau fixe chaque semaine.

Dans ce cas, la liste des réflexes ci-dessus couvre l’essentiel. Gardez-la sous la main.

Déléguer : pour qui ?

• une boutique en ligne qui traite des commandes chaque jour ;
• un artisan ou un commerçant qui n’a jamais le temps ;
• un site qui compte beaucoup pour trouver des clients ;
• un site déjà piraté une fois.

Un professionnel s’occupe des mises à jour, des sauvegardes, de la surveillance et du nettoyage si besoin. Avant de signer, vérifiez ce que le contrat couvre vraiment. Notre guide sur le contenu d’un contrat de maintenance de site internet liste les points à exiger.

Combien ça coûte ?

Sur le marché, les formules vont de quelques dizaines d’euros à quelques centaines d’euros par mois. Le prix dépend du type de site, du nombre d’extensions et du niveau de réactivité. Pour estimer votre budget, consultez notre page sur le prix de la maintenance d’un site internet.

Un site sain peut aussi grandir

La sécurité n’est pas qu’une dépense défensive. Un site entretenu reste rapide, fiable et bien vu de Google. Pour TB Rénovation & Nettoyage, couvreur en Loire-Atlantique, le travail sur le site et le référencement local a fait passer les visites venues de Google de 2 à 63 par jour entre juin 2025 et octobre 2026.

Si vous préférez ne plus y penser, notre service de maintenance de site internet prend en charge ces réflexes à votre place.