La majorité des sites WordPress piratés ne le sont pas à cause d’une faille sophistiquée, mais parce qu’un point basique de sécurité a été négligé. Des robots parcourent le web en continu à la recherche de ces points faibles : un petit site n’est pas épargné parce qu’il est petit. Voici, par ordre d’importance, ce qu’il faut vérifier, et comment.
1. Les mises à jour, sans exception
Cœur de WordPress, thème et extensions : chaque mise à jour de sécurité publiée rend la faille corrigée publique. Un site qui prend du retard devient une cible facile, repérable automatiquement.
- Laissez actives les mises à jour automatiques de sécurité du cœur de WordPress.
- Activez les mises à jour automatiques des extensions simples et bien maintenues ; testez les grosses mises à jour (WooCommerce, constructeur de pages) sur une copie du site avant la production.
- Supprimez les thèmes et extensions inutilisés : même désactivés, leurs fichiers restent sur le serveur et peuvent contenir une faille.
2. Des mots de passe et des accès sérieux
- Un mot de passe unique et long par compte, stocké dans un gestionnaire de mots de passe.
- L’authentification à deux facteurs sur tous les comptes administrateur.
- Le bon rôle pour chaque personne : un rédacteur n’a pas besoin d’être administrateur.
- La suppression des comptes qui ne servent plus : ancien prestataire, ancien collaborateur, compte de test.
Pour lister rapidement les administrateurs avec WP-CLI :
wp user list --role=administrator --fields=ID,user_login,user_emailUn administrateur que personne ne reconnaît est un signal d’alerte.
3. Des sauvegardes régulières et testées
La sécurité parfaite n’existe pas : ce qui protège vraiment, c’est de pouvoir revenir en arrière rapidement, à une version saine. Il faut des sauvegardes de la base et des fichiers, conservées hors du serveur, sur plusieurs jours, et déjà testées : voir la règle des sauvegardes que presque personne ne respecte.
4. Des extensions choisies avec soin
Chaque extension active est une porte d’entrée potentielle.
- Avant d’installer une extension, vérifiez sa date de dernière mise à jour et sa compatibilité avec votre version de WordPress : une extension abandonnée depuis des années est un risque, même si elle fonctionne encore.
- N’installez jamais une extension premium « gratuite » trouvée sur un site de téléchargement : ces copies piratées contiennent souvent du code malveillant.
- Désactivez et supprimez celles que vous n’utilisez plus.
5. Un pare-feu et une limitation des tentatives de connexion
Bloquer les tentatives de connexion répétées et filtrer le trafic suspect avant qu’il n’atteigne WordPress réduit fortement la surface d’attaque, sans intervention manuelle au quotidien. Un pare-feu applicatif peut se placer devant le site (Cloudflare, par exemple) ou s’installer comme extension.
6. Une configuration durcie
Quelques réglages, à faire une fois :
- Désactiver l’éditeur de fichiers du tableau de bord, dans
wp-config.php, pour qu’un compte piraté ne puisse pas modifier le code du site :
define( 'DISALLOW_FILE_EDIT', true );- Des droits de fichiers stricts : en général 755 pour les dossiers, 644 pour les fichiers, et plus restrictif pour
wp-config.php. - Le site entièrement en HTTPS.
- Désactiver XML-RPC s’il ne sert à rien (pas d’application mobile ni de service qui l’utilise) : c’est une cible fréquente des attaques par mot de passe.
Les signes qui doivent alerter
- Des redirections vers d’autres sites, surtout depuis Google ou sur mobile.
- Un ralentissement soudain, ou un serveur qui envoie des e-mails en masse.
- Des fichiers modifiés que personne n’a touchés, ou un administrateur inconnu.
- Un avertissement de Google dans les résultats de recherche ou dans la Search Console.
Dans ce cas, il vaut mieux agir vite : changer tous les mots de passe, repartir d’une sauvegarde saine, mettre tout à jour, puis chercher par où l’attaque est entrée pour fermer la porte. Plus l’intervention est tardive, plus le nettoyage est long et incertain.
La check-list
- Cœur, thème et extensions à jour ; thèmes et extensions inutilisés supprimés.
- Mots de passe uniques, double authentification pour les administrateurs, comptes inutiles supprimés.
- Sauvegardes hors du serveur, sur plusieurs jours, testées.
- Extensions maintenues, jamais de copie piratée.
- Pare-feu et limitation des tentatives de connexion.
- Éditeur de fichiers désactivé, droits de fichiers stricts, HTTPS, XML-RPC désactivé s’il ne sert pas.
Pour aller plus loin : mon expertise : Développeur WordPress freelance · à lire aussi : 5 raisons pour lesquelles votre site WordPress est lent (et comment le réparer)
