Sécuriser son WordPress : les 10 points qui bloquent 90 % des attaques

WordPress fait tourner plus de 40 % du web — c'est aussi pour ça qu'il est la cible favorite des robots d'attaque. La bonne nouvelle : la quasi-totalité des piratages de sites de PME exploitent une poignée d'erreurs basiques. Les voici, dans l'ordre où nous les rencontrons en audit.

La checklist des 10 points

• Mettre à jour le cœur WordPress, le thème et toutes les extensions — la majorité des piratages passent par une extension obsolète.
• Supprimer les extensions et thèmes inutilisés : désactivé ne veut pas dire inoffensif.
• Renommer le compte « admin » et imposer des mots de passe longs et uniques.
• Activer la double authentification pour tous les comptes administrateurs.
• Limiter les tentatives de connexion (protection contre la force brute).
• Passer le site en HTTPS partout, avec redirection automatique.
• Mettre en place des sauvegardes automatiques externalisées — et tester une restauration au moins une fois.
• Désactiver l'édition de fichiers depuis l'admin (DISALLOW_FILE_EDIT).
• Vérifier les comptes utilisateurs fantômes : d'anciens prestataires ont souvent encore un accès.
• Surveiller : un site piraté discrètement (spam SEO, phishing) peut le rester des mois sans signe visible.

Et si le mal est déjà fait ?

Redirections étranges, pages en langues inconnues dans Google, e-mails qui partent en spam : ce sont les symptômes classiques d'un site compromis. Dans ce cas, changer le mot de passe ne suffit pas — il faut trouver la porte d'entrée (backdoor) laissée par l'attaquant, sinon il reviendra.

Notre WP Security Check (490 CHF) contrôle précisément ces dix points, recherche les backdoors et vous remet une liste d'actions immédiates. C'est souvent l'investissement sécurité le plus rentable pour une PME dont le site est la vitrine.