Sécuriser WordPress : checklist en 15 points pour PME

WordPress fait tourner environ 40 % de tous les sites web selon W3Techs : c’est la cible la plus visée, surtout par des attaques automatisées. La bonne nouvelle, c’est que l’essentiel des failles vient de ce que vous contrôlez. Voici 15 points à appliquer, du plus urgent au plus avancé.

D’où viennent les failles

Selon le rapport 2025 de Patchstack, 96 % des vulnérabilités découvertes en 2024 dans l’écosystème WordPress concernaient des extensions, 4 % des thèmes, et seulement sept le cœur de WordPress. La documentation officielle de WordPress le dit aussi : les piratages viennent le plus souvent de l’application et de sa configuration, rarement de l’infrastructure.

Les 15 points

Mises à jour

1. Cœur WordPress à jour, avec les mises à jour mineures de sécurité automatiques.
2. Extensions et thème à jour, après une sauvegarde. C’est le point le plus important : le guide de Cybermalveillance.gouv.fr rappelle que les mises à jour corrigent des failles connues.
3. Suppression des extensions et thèmes inutilisés : désactivés, ils restent présents sur le serveur.
4. Pas de thème ou d’extension « nulled » (piraté) : ils contiennent souvent du code malveillant.

Accès

5. Mots de passe longs et uniques pour chaque compte, gérés avec un gestionnaire de mots de passe.
6. Double authentification sur tous les comptes administrateurs.
7. Limitation des tentatives de connexion sur la page d’identification.
8. Le moins de comptes administrateurs possible, avec le rôle juste nécessaire pour chacun.
9. Pas de compte nommé « admin ».

Serveur et configuration

10. HTTPS partout, avec redirection depuis HTTP.
11. PHP dans une version encore maintenue.
12. Éditeur de fichiers désactivé dans l’administration (constante DISALLOW_FILE_EDIT).
13. Pare-feu applicatif : extension de sécurité ou protection de l’hébergeur.

Plan de secours

14. Sauvegardes automatiques stockées hors du serveur, et une restauration testée au moins une fois.
15. Surveillance : alertes de disponibilité, et Search Console pour être prévenu si Google détecte un problème de sécurité.

Si le site est piraté

• mettez le site en maintenance et changez tous les mots de passe (WordPress, hébergement, base de données) ;
• restaurez une sauvegarde saine antérieure à l’intrusion, puis mettez tout à jour ;
• cherchez la porte d’entrée (souvent une extension non mise à jour), sinon l’attaque recommencera ;
• vérifiez la Search Console et demandez un réexamen si Google a signalé le site ;
• si des données personnelles ont pu être exposées, la violation doit en principe être notifiée à la CNIL dans les 72 heures.

Déléguer ou faire soi-même ?

Ces 15 points tiennent en quelques heures par mois si quelqu’un s’en charge régulièrement. Si personne n’a ce temps en interne, la maintenance WordPress mensuelle de SiteNova comprend mises à jour, sauvegardes et support, sur devis.