Sécuriser WordPress : la checklist complète 2026

Pour sécuriser un site WordPress, appliquez d’abord les mesures qui bloquent la grande majorité des attaques automatisées : tout tenir à jour (cœur, extensions, thèmes, PHP), protéger chaque compte par un mot de passe unique et une double authentification, supprimer ce qui ne sert plus et garder des sauvegardes hors du serveur. Viennent ensuite le durcissement de wp-config.php, un pare-feu applicatif et la surveillance.

Checklist à jour au 22 octobre 2026 (WordPress 7.1). Chaque réglage renvoie à la documentation officielle de WordPress ; les commandes WP-CLI s’adressent aux sites dont l’hébergeur fournit un accès SSH, et chaque étape indique l’équivalent sans ligne de commande (administration, gestionnaire de fichiers, FTP).

Pourquoi les sites WordPress sont-ils piratés ?

Parce qu’ils sont nombreux et faciles à repérer : des robots parcourent le web en continu à la recherche de versions vulnérables d’extensions connues et de pages de connexion protégées par des mots de passe faibles. La plupart des attaques ne visent pas votre site en particulier ; elles exploitent la première faille qu’elles trouvent.

Le cœur de WordPress est maintenu par une équipe de sécurité dédiée et se met à jour automatiquement pour les versions de maintenance. Le risque se concentre donc ailleurs : extensions et thèmes non mis à jour (ou téléchargés en version « nulled », c’est-à-dire piratée), identifiants réutilisés ou devinables, comptes d’anciens prestataires jamais supprimés, et versions de PHP qui ne reçoivent plus de correctifs.

La bonne nouvelle : les mesures qui suivent sont gratuites pour la plupart, et les cinq premières suffisent à écarter l’essentiel des attaques automatisées.

La checklist de sécurité WordPress en un coup d’œil

Commencez par les mesures « Essentiel » : ce sont celles qui protègent le plus pour le moins d’effort.

Étape 1 : comment garder WordPress, les extensions et les thèmes à jour ?

Activez les mises à jour automatiques des extensions et des thèmes depuis l’écran Extensions, laissez WordPress appliquer seul ses versions de maintenance et vérifiez chaque semaine qu’aucune mise à jour majeure n’attend. Une extension qui n’a plus été mise à jour depuis longtemps doit être remplacée.

Depuis WordPress 3.7, le cœur installe automatiquement les versions mineures, qui contiennent les correctifs de sécurité ; depuis WordPress 5.5, chaque extension et chaque thème dispose d’un lien « Activer les mises à jour automatiques ». Le fonctionnement et les constantes qui le pilotent sont décrits dans la page officielle Configuring Automatic Background Updates.

L’écran Tableau de bord > Mises à jour liste tout ce qui attend. Si votre hébergeur fournit un accès SSH, WP-CLI fait le même point complet en une minute :

wp core version                      # version installée
wp core check-update                 # une version plus récente existe-t-elle ?
wp plugin list --update=available    # extensions à mettre à jour
wp theme list --update=available     # thèmes à mettre à jour
wp plugin update --all && wp theme update --all

Deux réserves. D’abord, sur une boutique ou un site avec beaucoup d’extensions, gardez une sauvegarde récente avant les mises à jour majeures et vérifiez le site juste après. Ensuite, n’oubliez pas PHP : WordPress recommande PHP 8.3 ou plus, et une branche de PHP en fin de vie ne reçoit plus de correctifs de sécurité. Chez Hosterwise, les mises à jour de WordPress sont appliquées automatiquement et la version de PHP se choisit site par site dans CyberPanel.

Étape 2 : comment protéger les comptes utilisateurs ?

Donnez à chaque personne son propre compte, avec le rôle le plus bas qui lui suffit, un mot de passe long et unique généré par un gestionnaire de mots de passe, et la double authentification (2FA). Supprimez les comptes des anciens prestataires et évitez l’identifiant « admin ».

Les points à vérifier :

• Les administrateurs : listez-les et demandez-vous si chacun en a vraiment besoin. Un rédacteur n’a besoin que du rôle Auteur ou Éditeur.
• Les mots de passe : un mot de passe différent pour chaque site, d’au moins 16 caractères aléatoires, stocké dans un gestionnaire. Depuis WordPress 6.8, les mots de passe sont hachés avec bcrypt, mais un mot de passe déjà divulgué ailleurs reste dangereux, quel que soit l’algorithme.
• La double authentification : l’extension officielle Two Factor, maintenue par des contributeurs de WordPress, ajoute un code TOTP (application d’authentification), des clés de sécurité ou des codes de secours. Les extensions de sécurité comme Wordfence proposent aussi la 2FA dans leur version gratuite.
• Les mots de passe d’application : introduits avec WordPress 5.6, ils permettent à des services externes de se connecter à l’API. Révoquez ceux qui ne servent plus dans votre profil utilisateur.

Pour faire l’inventaire, filtrez l’écran Utilisateurs sur le rôle Administrateur ; avec un accès SSH, WP-CLI le fait en ligne de commande :

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
wp user update 12 --role=editor          # rétrograder un compte
wp user delete 15 --reassign=1           # supprimer en réattribuant ses contenus

Si aucun service externe n’utilise les mots de passe d’application, vous pouvez les désactiver entièrement avec une ligne dans une extension maison (ou « must-use ») :

add_filter( 'wp_is_application_passwords_available', '__return_false' );

Étape 3 : comment protéger la page de connexion ?

Limitez le nombre de tentatives de connexion par adresse IP, imposez la double authentification aux comptes à privilèges et fermez XML-RPC si aucun outil ne s’en sert. Déplacer l’adresse de connexion n’est qu’un complément : cela réduit le bruit dans les journaux, pas le risque réel.

Les attaques par force brute testent des milliers de combinaisons identifiant/mot de passe. La documentation officielle consacre une page entière aux protections contre la force brute. En pratique :

1. Limitez les tentatives : une extension de sécurité (Wordfence, par exemple, dont la version gratuite inclut la limitation des connexions) bloque temporairement une IP après plusieurs échecs.
2. Masquez les messages trop précis : un message qui dit « identifiant inconnu » confirme à l’attaquant quels comptes existent. Les extensions de sécurité permettent de le rendre générique.
3. Traitez XML-RPC : ce point d’accès (xmlrpc.php) sert à d’anciennes applications mobiles, à certaines fonctions de Jetpack et aux pings. S’il ne vous sert pas, bloquez-le depuis votre extension de sécurité. Le filtre xmlrpc_enabled ne désactive que les méthodes qui demandent une authentification, ce qui coupe déjà les tentatives de mot de passe par ce canal.

add_filter( 'xmlrpc_enabled', '__return_false' );

Étape 4 : quelles extensions et quels thèmes garder ?

Gardez uniquement les extensions et les thèmes dont vous avez besoin, téléchargés depuis le répertoire officiel WordPress.org ou chez leur éditeur, et activement maintenus. Une extension désactivée reste un fichier exécutable sur le serveur : si elle ne sert plus, supprimez-la depuis l’écran Extensions (filtre « Inactives »), ou avec WP-CLI si votre hébergeur fournit un accès SSH.

Avant d’installer une extension, regardez sur sa fiche la date de dernière mise à jour, la compatibilité annoncée avec votre version de WordPress et la réactivité du support. N’installez jamais de version « nulled » d’une extension payante : c’est l’un des moyens les plus courants de cacher une porte dérobée dans un site.

wp plugin list --status=inactive          # extensions désactivées
wp plugin delete hello akismet            # supprimer celles qui ne servent pas
wp theme list --status=inactive
wp theme delete twentytwentytwo           # gardez un seul thème par défaut de secours

Gardez un thème par défaut récent installé : WordPress s’en sert si votre thème principal provoque une erreur fatale.

Étape 5 : comment durcir wp-config.php et les permissions de fichiers ?

Désactivez l’éditeur de fichiers intégré avec DISALLOW_FILE_EDIT, gardez le mode débogage désactivé en production, renouvelez les clés de sécurité en cas de doute et appliquez les permissions recommandées : 644 pour les fichiers, 755 pour les dossiers, 400 ou 440 pour wp-config.php.

Ces recommandations viennent du guide officiel Hardening WordPress. Ajoutez au-dessus de la ligne « C’est tout, ne touchez pas à ce qui suit » de wp-config.php :

// Empêche la modification des extensions et thèmes depuis l'administration.
define( 'DISALLOW_FILE_EDIT', true );

// Jamais d'affichage d'erreurs en production.
define( 'WP_DEBUG', false );

// Connexion et administration toujours en HTTPS.
define( 'FORCE_SSL_ADMIN', true );

DISALLOW_FILE_EDIT ne bloque pas un attaquant qui peut déjà envoyer des fichiers, mais il l’empêche de transformer un compte administrateur volé en exécution de code en deux clics. Réglez les permissions depuis votre client FTP ou le gestionnaire de fichiers de votre panneau (chez Hosterwise, celui de CyberPanel) ; pour les clés, remplacez leur bloc dans wp-config.php par un nouveau jeu produit par le générateur officiel de WordPress.org. Avec un accès SSH, ces commandes font les deux :

# Depuis la racine du site
find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;
chmod 440 wp-config.php

# Régénère les clés et sels de sécurité (déconnecte tout le monde)
wp config shuffle-salts

Si votre hébergement exécute PHP sous un autre utilisateur que le propriétaire des fichiers, la permission 440 peut empêcher WordPress de lire wp-config.php : vérifiez le site juste après, et demandez conseil à votre hébergeur en cas d’erreur. Quant au préfixe de tables (wp_), le changer n’a d’intérêt que sur une nouvelle installation ; le modifier sur un site existant est risqué pour un gain limité.

Étape 6 : pourquoi le HTTPS est-il indispensable ?

Le HTTPS chiffre tout ce qui circule entre le navigateur et le serveur, y compris votre mot de passe au moment de la connexion. Sans lui, n’importe qui sur le même réseau Wi-Fi peut l’intercepter. Les certificats sont aujourd’hui gratuits : il n’y a plus aucune raison de s’en passer.

Vérifiez que l’adresse du site commence par https:// dans Réglages > Général, que l’ancienne adresse en http:// redirige bien vers la nouvelle et qu’aucun cadenas barré n’apparaît (signe de « contenu mixte »). L’outil Santé du site de WordPress signale d’ailleurs l’absence de HTTPS comme un problème critique depuis WordPress 5.7. Chez Hosterwise, un certificat SSL gratuit est fourni pour chaque site hébergé, quelle que soit l’offre.

Étape 7 : quelles sauvegardes prévoir ?

Prévoyez des sauvegardes automatiques et régulières des fichiers et de la base, dont au moins une copie hors du serveur, et testez une restauration de temps en temps. C’est la seule mesure qui vous sauve quand toutes les autres ont échoué : piratage, mise à jour ratée ou erreur humaine.

La règle la plus citée est la règle 3-2-1, rappelée par l’agence américaine de cybersécurité dans sa fiche Data Backup Options : trois copies des données, sur deux supports différents, dont une hors site. Pour un site WordPress, cela donne typiquement : le site en ligne, les sauvegardes automatiques de l’hébergeur et une copie externe (stockage en ligne, disque chez vous) réalisée par une extension comme UpdraftPlus.

Gardez plusieurs points de restauration dans le temps : un piratage est parfois découvert des semaines après l’intrusion, et la sauvegarde de la veille peut déjà être infectée. Les sauvegardes Hosterwise sont automatiques et quotidiennes sur toutes les offres et stockées hors du serveur qui héberge vos sites, chacune conservée 30 jours ; de quoi revenir à une version antérieure à une intrusion découverte tardivement, avec l’aide de notre support pour la restauration. Comme le veut la règle 3-2-1, ajoutez-y votre propre copie hors de nos serveurs, par exemple sur votre Google Drive, une destination que vous configurez vous-même. Pour un site vitrine ou un blog, l’offre Starter inclut déjà ces sauvegardes, le certificat SSL gratuit et l’analyse antivirus quotidienne.

Étape 8 : comment surveiller son site et détecter une intrusion ?

Installez un pare-feu applicatif avec analyse de fichiers, vérifiez régulièrement l’intégrité du cœur de WordPress, consultez l’outil Santé du site et gardez un journal des actions des utilisateurs. L’objectif est de détecter une intrusion en quelques heures plutôt qu’en quelques semaines.

• Pare-feu et scanner : Wordfence combine pare-feu applicatif, analyse des fichiers et sécurité de la connexion. Dans sa version gratuite, les nouvelles règles de pare-feu et signatures de logiciels malveillants arrivent avec 30 jours de décalage par rapport à la version payante : c’est une raison de plus de tout tenir à jour.
• Intégrité des fichiers : WP-CLI compare vos fichiers aux sommes de contrôle officielles. Un fichier du cœur modifié ou ajouté est un signal d’alerte. Sans accès SSH, l’analyse de Wordfence compare elle aussi les fichiers du cœur aux versions officielles ; chez Hosterwise, notre support lance la vérification des sommes de contrôle à votre demande.
• Journal d’activité : une extension de journalisation enregistre connexions, créations de comptes et changements de réglages. Elle permet de comprendre ce qui s’est passé après coup.
• Analyses côté serveur : toutes les offres Hosterwise incluent une analyse antivirus automatique et quotidienne des fichiers de vos sites.

wp core verify-checksums             # fichiers du cœur intacts ?
wp plugin verify-checksums --all     # extensions du répertoire officiel intactes ?

Quel est le rôle de l’hébergeur dans la sécurité de WordPress ?

L’hébergeur sécurise tout ce qui se trouve sous WordPress : le serveur, le système, les versions de PHP disponibles, l’isolation entre comptes, les certificats SSL et souvent les sauvegardes et les analyses antivirus. Vous restez responsable de ce qui se trouve dans WordPress : comptes, extensions, thèmes et réglages.

Avant de choisir un hébergeur, demandez-lui quelles versions de PHP il propose, si les certificats SSL sont gratuits et renouvelés automatiquement, à quelle fréquence les sauvegardes sont faites et si le support répond la nuit et le week-end. Notre comparatif des hébergeurs WordPress détaille ces critères, et la page fonctionnalités de l’hébergement Hosterwise indique ce qui est inclus chez nous.

Que faire si votre site WordPress est piraté ?

Isolez le problème, changez tous les accès, restaurez une sauvegarde saine ou nettoyez le site, puis corrigez la faille d’origine : sans cette dernière étape, l’attaquant reviendra par le même chemin. Si des données personnelles ont pu fuiter, la notification à la CNIL peut être obligatoire.

1. Mettez le site en maintenance et prévenez votre hébergeur : il peut vérifier les journaux du serveur et vous aider à identifier les fichiers modifiés. Chez Hosterwise, notre support 24/7 peut aussi exécuter pour vous les commandes WP-CLI de cette procédure.
2. Changez tous les mots de passe : comptes WordPress, base de données (puis wp-config.php), comptes FTP ou SFTP (chez Hosterwise, les comptes FTP créés dans CyberPanel), panneau d’hébergement, et régénérez les clés de sécurité (wp config shuffle-salts avec un accès SSH, sinon un nouveau jeu de clés collé dans wp-config.php).
3. Restaurez une sauvegarde antérieure à l’intrusion, ou, à défaut, réinstallez le cœur (wp core download --force --skip-content avec un accès SSH, ou en remplaçant par FTP les dossiers wp-admin et wp-includes par ceux d’une archive officielle), réinstallez les extensions depuis leur source officielle et inspectez wp-content/uploads à la recherche de fichiers PHP qui n’ont rien à y faire.
4. Cherchez la faille : extension vulnérable, compte compromis, mot de passe réutilisé. Mettez à jour ou supprimez l’élément en cause.
5. Vérifiez les comptes : supprimez tout administrateur que vous ne connaissez pas.
6. Évaluez la fuite de données : si des données personnelles (clients, comptes, formulaires) ont pu être consultées, le RGPD impose de notifier la violation à la CNIL dans les meilleurs délais, si possible dans les 72 heures, lorsqu’elle présente un risque pour les personnes.
7. Demandez un réexamen dans la Google Search Console si Google a signalé le site comme dangereux.

Si vous changez d’hébergeur après l’incident, ne déplacez qu’une copie saine : notre guide pour migrer un site WordPress explique comment le faire sans coupure.

Une base saine dès le départ avec Hosterwise

La sécurité de WordPress est un travail partagé. De votre côté : mises à jour, comptes protégés, extensions triées. Du nôtre : serveurs LiteSpeed Enterprise maintenus, aucun accès SSH (une porte d’entrée de moins pour les attaquants), certificat SSL gratuit sur chaque site, analyses antivirus et sauvegardes automatiques quotidiennes sur toutes les offres (sauvegardes stockées hors du serveur qui héberge vos sites et conservées 30 jours), mises à jour de WordPress appliquées automatiquement et un support disponible 24 h/24 et 7 j/7 pour vous aider en cas d’incident.

Si vous voulez partir sur cette base, comparez nos offres d’hébergement WordPress : elles incluent toutes la migration gratuite de votre site et la garantie satisfait ou remboursé de 30 jours. Une question avant de vous décider ? Consultez la FAQ ou écrivez-nous, sans jamais nous envoyer de mot de passe par e-mail.