Sécurité WordPress : guide hardening complet 2026

WordPress propulse environ 42 % du web et près de 60 % des sites qui tournent sur un CMS connu, d’après les statistiques W3Techs publiées en mai 2026. Cette domination en fait la cible préférée des robots d’attaque. Le rapport Sucuri 2024 indiquait que la grande majorité des sites CMS nettoyés étaient des sites WordPress, conformément à son rapport annuel sur les sites piratés. Ce guide détaille les mesures de hardening qui réduisent vraiment la surface d’attaque, sans transformer votre back-office en bunker inutilisable.

La sécurité s’inscrit dans une démarche projet plus large : voir notre guide complet de création de site WordPress pour la méthode globale, et notre guide de refonte de site internet si la sécurité fait partie des motifs de refonte.

La sécurité protège aussi votre référencement naturel : un site piraté peut être déclassé, voire retiré de l’index de Google.

Pourquoi WordPress est-il une cible privilégiée des attaques ?

WordPress concentre les attaques pour trois raisons cumulées. Sa part de marché en fait une cible rentable à industrialiser. Son architecture extensible (plus de 60 000 plugins gratuits sur le répertoire officiel) multiplie les points d’entrée. Sa popularité auprès des TPE implique souvent une maintenance légère ou absente.

Les attaques sont massivement automatisées. Des botnets scannent en permanence le web à la recherche de signatures WordPress, testent des mots de passe ou exploitent des CVE connues. Entre fin 2024 et début 2025, le rapport hebdomadaire Wordfence a recensé 348 vulnérabilités sur trois semaines, réparties sur 291 plugins et 11 thèmes. Le rythme reste stable en 2025.

Conclusion pratique : la question n’est pas de savoir si votre site sera attaqué, mais comment vous l’avez préparé.

Les 5 attaques WordPress les plus courantes

1. Brute force et credential stuffing

Le robot teste des milliers de combinaisons login / mot de passe sur `wp-login.php` ou `xmlrpc.php`. Le credential stuffing rejoue des couples email / mot de passe issus de fuites publiques.

2. Vulnérabilités plugins et thèmes

C’est le vecteur d’attaque dominant. Un plugin abandonné ouvre une brèche que les scanners détectent en quelques heures. Wordfence considère les vulnérabilités plugins comme la première source de compromission WordPress.

3. Injection SQL (SQLi)

Un formulaire mal écrit, un paramètre d’URL non échappé : l’attaquant injecte du SQL dans la requête vers la base. Conséquence : extraction de `wp_users`, modification d’options, création d’un compte administrateur fantôme.

4. Cross-Site Scripting (XSS)

Le XSS injecte du JavaScript dans une page (commentaire, champ de profil, paramètre d’URL). Le script s’exécute dans le navigateur d’un visiteur ou d’un admin connecté, vole un cookie de session ou redirige vers un site malveillant.

5. Upload de fichier malveillant

Une faille dans un plugin de formulaire ou de gestion média permet d’uploader un fichier PHP. L’attaquant l’appelle via une URL directe, exécute le code, installe une porte dérobée (backdoor).

À ces cinq attaques s’ajoutent les CSRF (Cross-Site Request Forgery), les défaillances de configuration côté hébergement et les compromissions par chaîne logicielle (plugin légitime racheté puis vérolé). Le référentiel OWASP Top 10 2025 place les Software Supply Chain Failures en troisième position des risques applicatifs.

Mises à jour : la défense numéro un (core, plugins, thèmes)

Aucune mesure de sécurité ne rattrape un site non mis à jour. C’est la cause de compromission la plus fréquente et la plus évitable.

Le bon rythme

• WordPress core : les mises à jour mineures (5.x.y) s’installent automatiquement par défaut depuis 2013. Activez aussi l’auto-update des versions majeures si votre stack le tolère.
• Plugins et thèmes : auto-update sur les composants stables (Yoast, WooCommerce, Wordfence, Solid Security). Pour les plugins critiques métier (paiement, builder), mise à jour manuelle après test sur préproduction.
• Avant chaque mise à jour majeure : sauvegarde fraîche obligatoire.

Identifier les plugins à risque

Un plugin sans mise à jour depuis plus de 12 mois ou dont l’éditeur a disparu de WordPress.org doit être remplacé. Pour un site critique, limitez le nombre total de plugins à 15-20. Chaque extension élargit la surface d’attaque. Notre guide complet WordPress détaille la pile minimale, et notre comparatif des builders Etch, Bricks, Breakdance et Elementor aide à choisir un constructeur qui ne multiplie pas les dépendances tierces.

Authentification : 2FA, mots de passe forts, limit login

L’authentification reste la porte d’entrée principale. Trois mesures bloquent l’écrasante majorité des tentatives.

Mots de passe : longueur avant complexité

Les recommandations actuelles (NIST SP 800-63B) privilégient la longueur. Visez 16 caractères minimum, générés par un gestionnaire (Bitwarden, 1Password, KeePass). Pas de réutilisation entre sites. Supprimez le compte `admin` historique.

Limit login attempts

Limitez les tentatives échouées par adresse IP. Wordfence, Solid Security et Limit Login Attempts Reloaded font le travail. Réglage type : 5 essais, blocage 30 minutes, blocage prolongé après récidive.

2FA : authentification à deux facteurs

Le 2FA (Two-Factor Authentication) ajoute un code temporaire généré par une application. Même si le mot de passe fuit, le compte reste protégé.

La méthode recommandée est le TOTP (Time-based One-Time Password) via une application : Google Authenticator, Authy, Microsoft Authenticator, Bitwarden, 1Password. Toutes supportent le standard RFC 6238 et fonctionnent sans réseau. Le SMS est à éviter : depuis 2017, la norme NIST SP 800-63B déconseille le SMS pour les facteurs de second niveau (interception SIM swap, redirection SS7).

Plugins recommandés en 2026 : WP 2FA (Melapress) pour imposer le 2FA par rôle, Two Factor Authentication maintenu par WordPress, ou Wordfence Login Security (gratuit). Imposez le 2FA à tous les comptes back-office.

Hardening core WordPress : wp-config.php, salts, file permissions, désactiver XML-RPC

Le fichier `wp-config.php` est le poste de contrôle de votre installation. Quelques constantes bien placées renforcent la défense en profondeur.

Constantes à ajouter dans wp-config.php

“`php // Désactive l’éditeur de thème et plugin dans wp-admin define(‘DISALLOW_FILE_EDIT’, true);

// Bloque toute installation ou mise à jour depuis le back-office (mode extrême) define(‘DISALLOW_FILE_MODS’, true);

// Force HTTPS dans le back-office define(‘FORCE_SSL_ADMIN’, true);

// Désactive le debug en production define(‘WP_DEBUG’, false); define(‘WP_DEBUG_DISPLAY’, false); “`

`DISALLOW_FILE_EDIT` empêche un attaquant ayant compromis un compte admin d’injecter du code via l’éditeur intégré. La documentation officielle WordPress recommande cette constante par défaut. `DISALLOW_FILE_MODS` est plus strict : il bloque aussi les installations légitimes, à réserver aux sites gérés via Composer ou SSH.

Salts et clés de sécurité

Les salts chiffrent les cookies de session WordPress. Si vous suspectez une compromission, régénérez-les via le générateur officiel et collez le résultat dans `wp-config.php` : tous les utilisateurs connectés seront déconnectés. Rotation conseillée tous les 6 à 12 mois, immédiate après tout incident.

Permissions de fichiers

Sur un serveur Linux standard :

• Dossiers : `755`
• Fichiers : `644`
• `wp-config.php` : `600` ou `400`

Idéalement, placez `wp-config.php` un niveau au-dessus du répertoire web (WordPress le détecte automatiquement). Cela empêche tout accès direct via URL en cas de mauvaise configuration du serveur web.

Désactiver XML-RPC

`xmlrpc.php` est un ancien protocole d’API utilisé par Jetpack, l’application mobile WordPress et certains éditeurs externes. Il sert aussi à amplifier les attaques brute force (méthode `system.multicall` qui teste des milliers de mots de passe par requête).

Si vous n’utilisez pas Jetpack ni l’application mobile, désactivez XML-RPC via Wordfence, Solid Security, ou dans le `.htaccess` :

“`apache order deny,allow deny from all “`

Limiter la REST API

L’API REST WordPress (`/wp-json/`) expose par défaut la liste des utilisateurs (endpoint `/wp/v2/users`). Pour un site sans besoin public, bloquez-les via Wordfence ou un snippet PHP. Vous évitez l’énumération des logins par un scanner.

Préfixe de base de données personnalisé

Le préfixe par défaut `wp_` est connu de tous les scanners SQLi. À l’installation, choisissez un préfixe aléatoire (`wp_x7k2_` par exemple). Sur un site déjà en production, le changement est possible mais demande une procédure rigoureuse (sauvegarde, renommage des tables, mise à jour de `wp-config.php` et `wp_options`).

Plugins de sécurité 2026 : Wordfence, Solid Security, Sucuri, MalCare

Un plugin de sécurité concentre pare-feu applicatif, scanner malware, 2FA et journalisation. Voici les références fiables en 2026.

Plugin	Modèle	Points forts	Limite
Wordfence	Freemium (Premium ~ 119 $/an)	Pare-feu WAF + scanner + 2FA + base de signatures la plus large	Pare-feu PHP, peut être contourné si l’attaque arrive avant le chargement WordPress
Solid Security (ex iThemes)	Freemium (Pro ~ 99 $/an)	Bundle complet, intégration SolidWP	Moins riche que Wordfence sur le scan malware
Sucuri Security	Plugin gratuit + service cloud (199 $/an+)	Pare-feu cloud externe au serveur, nettoyage post-piratage inclus dans la formule payante	Service payant indispensable pour bénéficier du WAF cloud
MalCare	Freemium (Premium ~ 99 $/an)	Scan sur serveurs MalCare (zéro charge serveur), nettoyage automatique	Écosystème plus récent que Wordfence

iThemes Security a été renommé Solid Security en 2023, suite au rebranding d’iThemes en SolidWP documenté par WP Tavern. La marque appartient à Liquid Web sous le portefeuille StellarWP.

Recommandation pratique : Wordfence pour la majorité des sites, Sucuri pour l’e-commerce et les configurations critiques, Solid Security si vous êtes déjà dans l’écosystème SolidWP. Ne cumulez jamais deux plugins de sécurité actifs en parallèle : les pare-feux se gênent mutuellement.

Sauvegardes off-site : UpdraftPlus, BackWPup, BlogVault, ManageWP

Une sauvegarde stockée sur le même serveur que le site n’est pas une sauvegarde. Si le serveur est compromis, les archives le sont aussi. Le bon réflexe : stockage externe (S3, Google Drive, Dropbox, Backblaze B2) avec rotation.

Plugin	Modèle	Particularité
UpdraftPlus	Freemium	Plus de 3 millions d’installations, supporte Dropbox, Google Drive, S3, FTP en gratuit
BackWPup	Freemium	Très configurable, granularité fine sur les jobs et les exclusions
BlogVault	Service payant (~ 99 $/an)	Sauvegardes incrémentales traitées sur les serveurs BlogVault (zéro charge serveur)
ManageWP	Service payant (à la carte)	Gestion multi-sites, sauvegardes + monitoring + clonage

Fréquence recommandée :

• Site éditorial peu actif : sauvegarde quotidienne, conservation 30 jours.
• Site e-commerce : base toutes les heures, fichiers quotidiens, conservation 90 jours.
• Test de restauration : une fois par trimestre sur préproduction.

Une sauvegarde jamais testée vaut moins qu’une sauvegarde manquante : elle donne une fausse sécurité.

Pare-feu applicatif (WAF) : Wordfence vs Cloudflare vs Sucuri

Un WAF (Web Application Firewall) filtre le trafic avant qu’il n’atteigne PHP. Trois architectures dominent.

Wordfence : WAF côté PHP

Le pare-feu s’exécute en tant que plugin WordPress. Avantage : intégration profonde, détection des attaques spécifiques (vulnérabilités plugins). Inconvénient : la requête atteint déjà votre serveur avant d’être filtrée, ce qui consomme des ressources.

Cloudflare : WAF cloud en edge

Cloudflare s’intercale entre le visiteur et votre hébergement via la modification des DNS. Les attaques sont bloquées avant d’atteindre le serveur, avec protection DDoS native et cache edge en bonus. Plan Pro à 25 $/mois pour le WAF avancé, version gratuite déjà utile en première barrière.

Sucuri : WAF cloud spécialisé WordPress

Sucuri agit aussi en reverse proxy avec des règles préréglées WordPress. Le nettoyage post-piratage est inclus dans l’abonnement (199 $/an), un atout en cas d’incident.

Quelle combinaison choisir

La majorité des configurations sérieuses combinent un WAF en edge (Cloudflare ou Sucuri) et un plugin local (Wordfence ou Solid Security). Cloudflare filtre le bruit massif (bots, DDoS, scans), Wordfence détecte les attaques WordPress-spécifiques qui passent. C’est la stratégie de défense en profondeur, devenue standard.

Le choix de l’hébergement compte aussi. Un hébergement WordPress managé qualité (Kinsta, WP Engine, o2switch, Infomaniak) fournit une première couche de durcissement. Voir notre guide hébergement WordPress 2026 (managé, VPS, mutualisé) pour comparer les offres et leurs garanties de sécurité.

Audit de sécurité : que vérifier avant et après refonte

Une refonte est le bon moment pour faire un audit complet et corriger la dette technique. Voici la check-list que nous appliquons chez Wasabi Web Design avant toute mise en ligne.

Avant refonte (état des lieux)

• Version WordPress et PHP (PHP 8.2 minimum recommandé).
• Liste des plugins actifs : dernière mise à jour, nombre d’installations.
• Liste des thèmes (un seul actif, supprimer les autres).
• Fichiers suspects à la racine, dossiers cachés.
• Comptes utilisateurs (rôles, derniers logins, comptes inactifs).
• Permissions fichiers et propriétaires.
• Certificat SSL valide, redirection HTTPS forcée.
• Sauvegarde complète avant toute manipulation.

Après refonte (durcissement et tests)

• Mise à jour core, plugins, thème actif.
• Constantes wp-config.php (cf. plus haut), salts régénérés.
• 2FA activé sur tous les comptes admin.
• Plugin de sécurité installé et configuré.
• Sauvegardes off-site programmées et testées.
• Scan malware via Wordfence ou Sucuri SiteCheck.
• Test des en-têtes HTTP (HSTS, CSP, X-Frame-Options) via securityheaders.com.

Notre check-list 10 astuces pour un site réussi reprend les points sécurité côté éditorial.

Que faire si votre site est piraté ?

Un site compromis se reconnaît à plusieurs signaux : redirections sauvages, alerte Google Safe Browsing, chute brutale du trafic SEO, comptes admin inconnus, fichiers PHP suspects dans `wp-content/uploads/`. Voici la procédure d’urgence.

Étape 1 : isoler

Mettez le site en mode maintenance ou en HTTP 503 le temps de l’investigation. Sur Apache, un simple `.htaccess` redirige tout le trafic vers une page d’attente. Changez tous les mots de passe d’accès serveur (FTP, SSH, panneau hébergeur).

Étape 2 : sauvegarde forensique

Avant tout nettoyage, copiez l’intégralité du site (fichiers et base de données) dans une archive datée. Indispensable pour identifier la porte d’entrée et pour une éventuelle déclaration CNIL si des données personnelles ont fuité.

Étape 3 : analyse

Scannez avec Sucuri SiteCheck (gratuit, externe) et Wordfence après réinstallation propre. Consultez les logs serveur (Apache `access.log`, FTP, SSH) pour repérer la première intrusion : adresse IP, plugin exploité, fichier uploadé.

Étape 4 : nettoyage

Trois options selon le degré de compromission :

• Légère : suppression manuelle des fichiers vérolés, mise à jour core et plugins.
• Moyenne : réinstallation du core WordPress (téléchargement frais depuis WordPress.org), réinstallation des plugins depuis sources officielles, conservation de `wp-content/uploads/` après scan.
• Majeure : reconstruction complète depuis une sauvegarde antérieure à l’infection, réimport sélectif du contenu créé après.

Nettoyez la base : comptes administrateurs inconnus dans `wp_users`, options suspectes dans `wp_options`, hooks malveillants dans les tables de plugins.

Étape 5 : régénérer salts et mots de passe

Régénérez les salts WordPress (déconnecte toutes les sessions). Forcez la réinitialisation des mots de passe pour tous les comptes utilisateurs. Activez le 2FA partout si ce n’était pas le cas.

Étape 6 : demande de réexamen Search Console

Si Google a marqué votre site comme dangereux, soumettez une demande de réexamen via la Search Console (section Problèmes de sécurité). Comptez 24 à 72 heures pour le retrait de l’avertissement après confirmation du nettoyage.

Étape 7 : déclaration RGPD si nécessaire

Si des données personnelles ont fuité (emails, noms, adresses, données de paiement), vous avez 72 heures pour déclarer l’incident à la CNIL au titre de l’article 33 du RGPD. Notification des personnes concernées si le risque est élevé. Sur les sites de professions de santé (qui collectent des données sensibles), les obligations sont renforcées : voir notre guide dédié à la création de site internet pour médecin (RGPD/HDS) et à la création de site pour pharmacien (RGPD).

Faire appel à un prestataire

Pour les compromissions sérieuses, un service spécialisé (Sucuri, Wordfence Site Cleaning, ou une agence comme Wasabi Web Design) garantit un nettoyage exhaustif. Comptez 200 à 800 € selon la complexité, 24 à 72 heures de délai habituel. Voir notre guide refonte si la reconstruction s’inscrit dans un projet plus large.

Questions fréquentes

Conclusion

La sécurité WordPress en 2026 repose sur cinq piliers stables : mises à jour permanentes du core et des plugins, authentification renforcée par 2FA et mots de passe forts, hardening du `wp-config.php` et des permissions fichiers, pare-feu applicatif combiné (Cloudflare en edge plus Wordfence local), sauvegardes off-site testées régulièrement. Aucun de ces piliers ne tient seul. La défense en profondeur réduit la surface d’attaque à un niveau acceptable pour un site professionnel.

Si vous souhaitez auditer un site existant ou bâtir une stack durcie dès la conception, Wasabi Web Design accompagne la sécurisation WordPress sur les projets éditoriaux et e-commerce. Pour les architectures qui exposent moins le back-office, voyez aussi notre guide headless WordPress + Next.js — l’admin reste isolé sur un domaine séparé, et la surface publique se réduit à du HTML statique.

Pour aller plus loin : notre guide complet WordPress 2026, notre guide refonte de site et notre rappel sur les 10 astuces d’un site internet réussi.