On entend souvent que WordPress serait dangereux “par défaut”. Ce n’est pas sérieux. Le vrai sujet, c’est surtout la qualité de la maintenance, des extensions installées et de l’hébergement.
La plupart des incidents viennent d’un ensemble de petites négligences : un plugin obsolète, un mot de passe faible, une sauvegarde inutilisable ou un serveur mal configuré. Voici les bases qui font réellement la différence.
1. Mettre à jour ce qui doit l’être
Les failles les plus courantes concernent souvent des thèmes ou des extensions non maintenus, ou installés puis oubliés.
- Supprimez ce que vous n’utilisez plus : une extension inactive reste du code présent sur le site. Si elle ne sert plus, mieux vaut la retirer.
- Évitez les thèmes ou plugins douteux : les versions “nulled” ou récupérées hors circuit officiel sont un risque évident.
- Gardez WordPress, les thèmes et les extensions à jour : les correctifs de sécurité ne servent à rien s’ils restent en attente pendant des mois.
2. Renforcer les accès d’administration
Un mot de passe faible ou un compte mal protégé reste la porte d’entrée la plus banale.
- Activez le 2FA : ce n’est pas magique, mais c’est une excellente barrière supplémentaire.
- Supprimez les comptes inutiles : moins il y a d’accès, moins il y a de surface d’attaque.
- Évitez l’identifiant
admin: ce n’est pas dramatique à lui seul, mais ce n’est pas une bonne pratique. - Modifier l’URL de connexion peut aider : cela réduit surtout le bruit des robots basiques, mais ça ne remplace ni un mot de passe solide ni une vraie protection des accès.
3. Ne pas négliger le serveur
Un site WordPress bien tenu sur un hébergement médiocre ou mal configuré reste vulnérable.
- HTTPS obligatoire : aujourd’hui, ce n’est plus une option.
- Version de PHP supportée : rester sur une version récente et maintenue réduit le risque et améliore souvent les performances.
- Permissions de fichiers cohérentes : en règle générale,
755pour les dossiers et644pour les fichiers restent une base saine sur un hébergement classique.
4. Les plugins de sécurité ne règlent pas tout
Wordfence, SecuPress ou d’autres outils peuvent être utiles, mais ils ne remplacent pas une maintenance sérieuse.
- Un plugin de sécurité complète une stratégie : il ne la crée pas à lui seul.
- Les scans de fichiers et les alertes sont utiles : à condition d’être configurés proprement et réellement surveillés.
- Trop d’outils peuvent aussi compliquer le site : mieux vaut peu d’extensions bien choisies qu’une accumulation de couches défensives mal comprises.
5. La vraie bouée de secours : les sauvegardes
Même avec de bonnes pratiques, le risque zéro n’existe pas. Ce qui compte, c’est la capacité à restaurer vite et proprement.
- Gardez des sauvegardes externalisées : si tout reste sur le même hébergement, le jour où il y a un gros problème, vous pouvez tout perdre en même temps.
- Testez la restauration : une sauvegarde jamais restaurée n’est pas encore une sauvegarde fiable.
- Vérifiez la fréquence et la rétention : selon le type de site, une sauvegarde quotidienne peut suffire ou non.
Ce qu’il faut retenir
La sécurité WordPress ne repose pas sur une astuce unique. Elle tient surtout à une routine simple et sérieuse :
- mettre à jour régulièrement ;
- protéger les accès ;
- garder des sauvegardes exploitables ;
- s’appuyer sur un hébergement et une configuration propres.
Si vous préférez déléguer cette partie, c’est précisément le rôle de mon service d’infogérance WordPress.