La réponse en bref
Pour la sécurité de WordPress, commence par quatre réglages qui bloquent l'essentiel des attaques courantes : mettre à jour WordPress, les thèmes et les extensions, utiliser un mot de passe long et unique, activer la double authentification sur les comptes administrateur (WordPress ne l'inclut pas : il faut une extension) et garder des sauvegardes testées. Le reste réduit le risque, sans jamais l'éliminer.
✅ À retenir
- La documentation officielle le dit : la sécurité, c'est réduire le risque, pas le supprimer.
- Les sites sont rarement piratés par l'infrastructure : la cause se trouve le plus souvent dans l'application (WordPress, thèmes, extensions), donc chez toi.
- Ton hébergeur gère le serveur, pas ton site : il ne met pas tes extensions à jour à ta place.
- Commence par les 4 réglages de priorité 1, ils prennent moins d'une heure.
Ce guide classe 12 réglages par ordre d'efficacité, précise qui est responsable de quoi entre toi et ton hébergeur, et indique quoi faire si ton site est déjà touché.
Qui protège quoi : toi ou l'hébergeur ?
La documentation WordPress insiste sur ce point : les hébergeurs s'occupent de l'infrastructure, mais ils ne sont pas responsables de l'application que tu installes. Voici la répartition qui en découle.
| Sujet | Hébergeur | Toi |
|---|---|---|
| Serveur et logiciels serveur à jour | Oui | Vérifier que c'est le cas |
| Sauvegardes du serveur | Souvent | Ne pas t'y limiter |
| Mises à jour de WordPress, thèmes, extensions | Non (sauf offre gérée) | Oui |
| Mots de passe et comptes | Non | Oui |
| Choix des extensions et thèmes | Non | Oui |
| Antivirus de ton ordinateur | Non | Oui |
Un hébergeur de confiance, selon la documentation, parle volontiers de ses mesures de sécurité, fournit des versions récentes et stables de ses logiciels et propose des méthodes fiables de sauvegarde et de restauration. Pour choisir, vois notre comparatif des hébergements WordPress ou Hostinger vs OVH.
Priorité 1 : les quatre réglages qui comptent le plus
Mets tout à jour
WordPress, thèmes et extensions. Les anciennes versions ne reçoivent plus de correctifs de sécurité. Quand une faille est corrigée, les informations pour l'exploiter sont presque certainement publiques : tarder, c'est rester exposé. Les mises à jour automatiques existent depuis WordPress 3.7.Utilise un mot de passe long et unique
Évite ton nom, celui de ton site, un mot du dictionnaire ou un mot de passe court ou uniquement numérique. Un gestionnaire de mots de passe en génère et les retient pour toi. Le compte administrateur est la cible n°1 : s'il tombe, un pirate peut installer des scripts malveillants.Active la double authentification
WordPress ne l'inclut pas dans son cœur (état de la documentation en 2025) : ajoute-la avec une extension réputée, pour tous les administrateurs. Les clés d'accès (passkeys) sont une option encore plus robuste face au hameçonnage.Sauvegarde et teste la restauration
Une sauvegarde non testée est une hypothèse. Suis notre guide de sauvegarde d'un site WordPress.
Priorité 2 : réduire la surface d'attaque
5. Installe peu d'extensions, et seulement de sources fiables. La documentation recommande de se limiter au répertoire officiel WordPress.org ou à des éditeurs bien connus. Chaque extension en trop est une porte de plus, à mettre à jour. Supprime celles que tu n'utilises plus.
6. Télécharge WordPress uniquement sur wordpress.org. Les versions officielles ne sont pas disponibles ailleurs : ne l'installe jamais depuis un autre site.
7. Limite les tentatives de connexion. Une attaque par force brute essaie des identifiants à la chaîne, avec des robots. La documentation conseille de limiter le nombre d'essais au niveau du pare-feu applicatif (WAF) ou du serveur ; à défaut, une extension de sécurité peut le faire, mais elle consomme des ressources PHP en cas d'attaque massive. Un CAPTCHA sur la connexion ralentit aussi les robots.
8. Désactive XML-RPC si tu n'en as pas besoin. Le fichier xmlrpc.php est une cible fréquente de force brute. Tu peux le désactiver, sauf si tu utilises Jetpack ou des applications qui en dépendent : dans ce cas, restreins-le.
9. Utilise SFTP plutôt que FTP. Avec SFTP, ton mot de passe et tes fichiers sont chiffrés pendant le transfert. Demande à ton hébergeur s'il le propose.
Priorité 3 : limiter les dégâts
10. Un compte par personne, avec le rôle minimal. Ne donne le rôle d'administrateur qu'à qui en a vraiment besoin. C'est le principe de « limitation d'accès » de la documentation officielle.
11. Protège tes appareils. La documentation est directe : aucune sécurité côté WordPress ou serveur n'arrête un enregistreur de frappe installé sur ton ordinateur. Garde ton système et ton navigateur à jour, et évite les Wi-Fi publics non chiffrés pour te connecter à l'administration.
12. Surveille les connexions inhabituelles. Signale et bloque temporairement les adresses IP abusives. Un WAF fourni par ton hébergeur ou un CDN (Cloudflare, Sucuri…) arrête une partie du trafic malveillant avant qu'il n'atteigne ton serveur.
Combien d'efforts pour chaque réglage ?
Estimation éditoriale, à adapter à ton site : le temps dépend de ton hébergeur et des extensions choisies.
| Réglage | Priorité | Effort estimé |
|---|---|---|
| Mises à jour | 1 | 10 min, puis régulier |
| Mot de passe + gestionnaire | 1 | 15 min |
| Double authentification | 1 | 15 min |
| Sauvegarde testée | 1 | 30 min |
| Ménage des extensions | 2 | 15 min |
| Limiter les connexions, XML-RPC | 2 | 20 à 30 min |
| Rôles et comptes | 3 | 10 min |
Source : estimation éditoriale, non mesurée : à adapter à ton site
☑️ Ma checklist sécurité WordPress
0/6Si ton site est déjà piraté ou si tu hésites
🛠️ Si ça ne marche pas
›Je n'arrive plus à me connecter à l'administration
Cause probable : Compte modifié par un tiers, ou blocage de ton adresse par une limitation de connexions.
Solution : Contacte ton hébergeur pour vérifier les accès et les journaux, et demande-lui ce qu'il peut restaurer depuis ses sauvegardes.
›Des pages ou des liens inconnus apparaissent sur mon site
Cause probable : Un compte administrateur ou une extension a pu être compromis.
Solution : Change tous les mots de passe, supprime les comptes et extensions inconnus, mets tout à jour, puis restaure une sauvegarde saine si besoin.
›Mon hébergeur dit que tout est sécurisé, mais mon site a été touché
Cause probable : Il protège le serveur ; la faille se situe le plus souvent dans l'application (extension ou thème obsolète).
Solution : Identifie l'extension ou le thème en cause, mets-le à jour ou supprime-le.
Questions fréquentes
Quels sont les plugins WordPress indispensables pour la sécurité ?
Il n'y en a pas d'obligatoire, mais trois fonctions sont utiles : la double authentification, la limitation des tentatives de connexion (si ton hébergeur ne la fait pas) et la sauvegarde. Choisis des extensions du répertoire officiel ou d'éditeurs reconnus.
WordPress est-il sûr ?
Son cœur est mis à jour régulièrement pour corriger les failles. Le risque vient surtout de ce qui est autour : versions anciennes, extensions douteuses, mots de passe faibles.
Mon hébergeur suffit-il à sécuriser mon site ?
Non. Il sécurise l'infrastructure, mais les mises à jour, les comptes et le choix des extensions restent de ton ressort.
Pour aller plus loin
- Sauvegarde d'un site WordPress
- Meilleur hébergement WordPress
- Migrer un site WordPress vers Hostinger
- Hostinger vs OVH
Sources
- WordPress.org, Hardening WordPress (Advanced Administration Handbook) · consulté le 2026-11-12
- WordPress.org, Brute Force Attacks (Advanced Administration Handbook) · consulté le 2026-11-12
