Sécurité WordPress : guide complet 2026 pour PME

Pourquoi WordPress est-il une cible favorite ?

WordPress équipe 43% des sites web mondiaux (W3Techs). Ce succès en fait une cible de choix : un attaquant qui trouve une vulnérabilité peut l'exploiter sur des millions de sites.

Mais la plupart des piratages WordPress ne viennent PAS du core (sécurisé) mais :

• Plugins obsolètes (60% des piratages)
• Credentials admin faibles (20%)
• Thèmes piratés (15%)
• Core obsolète (5%)

Les 10 étapes pour sécuriser WordPress

1. Mises à jour automatiques

Activez les mises à jour automatiques pour le core, les plugins et les thèmes critiques. WordPress 5.5+ le permet nativement. Pour les plugins critiques de sécurité : activez sans hésiter.

// Dans wp-config.php
define('AUTOMATIC_UPDATER_DISABLED', false);
define('WP_AUTO_UPDATE_CORE', true);

2. Installer un WAF

Un Web Application Firewall bloque 90% des attaques avant qu'elles atteignent votre site :

• Cloudflare (gratuit) : recommandé, simple à setup, CDN inclus
• Sucuri : premium, monitoring 24/7
• Wordfence : plugin WordPress, bon marché

3. 2FA obligatoire sur tous les admins

Plugin recommandé : WP 2FA (gratuit). Compatible avec Google Authenticator, Authy, etc. 99% des attaques par credential stuffing sont bloquées par la 2FA.

4. Désactiver XML-RPC

XML-RPC est une API legacy que peu de gens utilisent encore. Elle est pourtant une cible favorite pour les brute-force. Désactiver via .htaccess :

# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
    Order Deny,Allow
    Deny from all
</Files>

5. Limiter les tentatives de login

Plugin Limit Login Attempts Reloaded (gratuit). Bloque les IP après 5 tentatives échouées pendant 15 minutes. Stoppe 95% des brute-force.

6. Changer l'URL de login

Plugin WPS Hide Login : change /wp-admin en quelque chose comme /votre-login-secret. Pas une mesure forte mais filtre 80% des bots.

7. Régénérer les salts WordPress

Les security salts dans wp-config.php sont utilisés pour hasher les cookies. Régénérer périodiquement invalide toutes les sessions actives.

API : api.wordpress.org/secret-key/1.1/salt/

8. Sauvegardes automatiques quotidiennes

Plugin UpdraftPlus (gratuit) ou VaultPress (Jetpack premium). Sauvegardes stockées en externe (S3, Google Drive, Dropbox). Test de restauration mensuel.

9. Monitoring de sécurité

Plugin Wordfence Security (gratuit) ou Sucuri Scanner. Alertes email en cas de :

• Modification de fichiers core
• Login depuis une nouvelle IP/pays
• Plugin désactivé
• Trafic suspect (bots, brute-force)

10. Audit annuel externe

Même avec 10/10 mesures, vous n'êtes pas protégé à 100%. Un audit de sécurité externe annuel par un professionnel détecte ce que les plugins ratent.

Plugins recommandés (gratuits)

• Wordfence Security : firewall + scanner de malware
• UpdraftPlus : sauvegardes automatiques
• WP 2FA : authentification 2 facteurs
• Limit Login Attempts Reloaded : anti brute-force
• WPS Hide Login : change URL de login
• Disable XML-RPC : désactive l'API legacy

FAQ — Sécurité WordPress

WordPress est-il sécurisé en 2026 ?

WordPress core est sécurisé SI les mises à jour sont appliquées. 80% des piratages WordPress viennent de plugins/thèmes obsolètes ou de credentials faibles. Avec les 10 étapes de notre guide, votre site est sécurisé à 95% contre les attaques courantes.

Quel est le meilleur plugin de sécurité WordPress en 2026 ?

Wordfence (gratuit + premium) et Sucuri sont les leaders. Pour une PME, la version gratuite de Wordfence + un WAF externe (Cloudflare gratuit) suffit. Évitez les plugins 'tout-en-un' qui ralentissent le site.

Conclusion

La sécurité WordPress n'est pas un produit qu'on achète : c'est un process continu. Les 10 étapes de ce guide couvrent 95% des risques. Pour les 5% restants (vulnérabilités zero-day, erreurs logiques), un audit annuel est indispensable.