WordPress fait tourner plus de 40 % du web. Cette popularité a un revers : c’est la plateforme la plus ciblée par les pirates. Mais voici la vérité rassurante — la quasi-totalité des piratages WordPress ne sont pas des attaques ciblées de génies du hacking. Ce sont des attaques automatisées, opportunistes, qui exploitent des failles connues sur des sites mal entretenus. Autrement dit : la plupart sont évitables avec des mesures simples. Ce guide les détaille.
Un site piraté, ce n’est pas qu’un désagrément technique : c’est une fuite de données clients (et un risque RGPD), un référencement détruit par des redirections malveillantes, une réputation entamée, et parfois des semaines de nettoyage. Mieux vaut prévenir. Public visé : propriétaires de sites WordPress et WooCommerce qui veulent dormir tranquilles, sans être experts en cybersécurité.
Comment les sites WordPress se font pirater
Comprendre les vecteurs d’attaque, c’est savoir où agir. Les portes d’entrée les plus fréquentes :
- Plugins et thèmes obsolètes — de loin la première cause. Une faille connue dans un plugin non mis à jour est une invitation ouverte.
- Mots de passe faibles — les attaques par force brute testent des milliers de combinaisons sur la page de connexion.
- Plugins de sources douteuses — versions « nulled » (piratées) de plugins premium, souvent truffées de code malveillant.
- Hébergement non sécurisé — un environnement partagé mal isolé propage une infection d’un site à l’autre.
- Absence de surveillance — beaucoup de sites sont infectés pendant des semaines sans que personne ne s’en aperçoive.
Les 12 mesures essentielles
1. Mettre à jour, systématiquement
Le cœur de WordPress, les plugins et les thèmes doivent être tenus à jour. C’est la mesure la plus importante et la plus négligée. Idéalement dans un cadre maîtrisé (test sur préproduction avant mise en production) pour éviter qu’une mise à jour casse le site.
2. Des mots de passe forts et uniques
Chaque compte administrateur doit avoir un mot de passe long, aléatoire et unique. Un gestionnaire de mots de passe rend cela indolore. Bannissez « admin / admin123 ».
3. L’authentification à deux facteurs (2FA)
La 2FA ajoute une seconde preuve d’identité (code temporaire sur le téléphone). Même si un mot de passe fuit, le compte reste protégé. C’est l’une des protections au meilleur rapport effort/efficacité.
4. Limiter les tentatives de connexion
Bloquer une adresse après plusieurs échecs de connexion neutralise les attaques par force brute. Changer l’URL de connexion par défaut (/wp-admin, /wp-login.php) ajoute une couche d’obscurité utile.
5. Le principe du moindre privilège
Ne donnez à chaque utilisateur que les droits dont il a besoin. Un rédacteur n’a pas besoin d’un accès administrateur. Moins de comptes à privilèges élevés, moins de surface d’attaque.
6. Désinstaller ce qui ne sert pas
Chaque plugin et thème inactif reste une faille potentielle. Supprimez (pas seulement désactivez) tout ce qui n’est pas utilisé. Un site épuré est un site plus sûr.
7. N’installer que des sources fiables
Plugins et thèmes uniquement depuis le répertoire officiel WordPress.org ou des éditeurs reconnus. Jamais de version « nulled » : l’économie de quelques euros se paie en infection garantie.
8. Un pare-feu applicatif (WAF)
Un WAF filtre le trafic malveillant avant qu’il n’atteigne votre site (injections, scans, bots). Il bloque la majorité des attaques automatisées en amont.
9. HTTPS partout
Le certificat SSL chiffre les échanges entre le visiteur et le site. Indispensable pour la sécurité, la confiance, le RGPD et le référencement. En 2026, un site sans HTTPS est inacceptable.
10. Des sauvegardes automatiques externalisées
La sauvegarde est votre filet de sécurité ultime. Automatique, régulière, stockée ailleurs que sur le serveur du site (sinon une infection emporte aussi les sauvegardes), et — point crucial — testée. Une sauvegarde qu’on ne sait pas restaurer ne vaut rien.
11. Durcir la configuration
Plusieurs réglages réduisent la surface d’attaque : désactiver l’éditeur de fichiers dans l’admin, protéger le fichier wp-config.php, désactiver XML-RPC s’il n’est pas utilisé, masquer la version de WordPress. Ces mesures techniques font partie d’un durcissement standard.
12. Surveiller et scanner
Un scan régulier de malware et une surveillance d’intégrité des fichiers détectent une infection tôt — avant qu’elle ne fasse des dégâts ou ne détruise votre référencement. La détection précoce change tout.
Le cas du e-commerce : un enjeu renforcé
Pour une boutique WooCommerce, la sécurité prend une dimension supplémentaire : vous traitez des données de paiement et des informations personnelles. Une faille n’est plus seulement technique, elle devient juridique et financière. Les mesures ci-dessus sont un minimum, complétées par une vigilance particulière sur les extensions de paiement et la conformité.
Que faire si votre site est piraté
Si le pire arrive, la panique est mauvaise conseillère. La marche à suivre :
- Isoler — mettre le site en maintenance pour stopper la propagation et protéger les visiteurs.
- Identifier — déterminer le point d’entrée et l’étendue de l’infection (fichiers modifiés, comptes créés).
- Nettoyer — supprimer le code malveillant, ou restaurer une sauvegarde saine antérieure à l’infection.
- Sécuriser — changer tous les mots de passe, mettre à jour, combler la faille exploitée.
- Surveiller — vérifier l’absence de réinfection et demander à Google une réévaluation si le site a été signalé.
C’est un travail délicat où chaque étape compte — exactement le type d’intervention que nous réalisons.
En pratique
La sécurité WordPress n’est pas un produit qu’on achète une fois : c’est un état qu’on maintient. Les 12 mesures ci-dessus couvrent l’essentiel, mais elles n’ont de valeur que si elles sont appliquées en continu — d’où l’intérêt d’un contrat de maintenance qui s’en charge. La majorité des sites piratés l’ont été par négligence, pas par malchance.
À l’agence Seganiko, la sécurité et le durcissement font partie de nos prestations de maintenance et de développement WordPress : mises à jour pilotées, surveillance, sauvegardes testées, pare-feu, et intervention en cas d’incident. Nous réalisons aussi des audits de sécurité ponctuels. Le premier audit est gratuit.
Demander un audit de sécurité gratuit
Besoin d'améliorer votre SEO ?
Nous auditons votre site et mettons en place une stratégie de référencement mesurable.
Voir notre service SEO →
