Chaque semaine, des milliers de sites WordPress sont piratés dans le monde — et la plupart du temps, cela aurait pu être évité avec quelques précautions simples. Que vous ayez un site vitrine, une boutique en ligne ou un blog, votre site représente une vitrine de confiance pour vos clients. Perdre le contrôle, c’est perdre bien plus que quelques heures de travail. Voici les 8 réflexes essentiels à adopter pour protéger votre site WordPress, même sans être technicien.
1. Mettre à jour WordPress, vos thèmes et vos extensions
C’est la règle numéro un, et pourtant elle est souvent négligée. WordPress publie régulièrement des mises à jour qui corrigent des failles de sécurité connues. Si votre site tourne encore sur une version ancienne, il est potentiellement vulnérable à des attaques automatisées qui scannent le web à la recherche de ces failles.
La même logique s’applique à vos thèmes et vos extensions (les « plugins »). Un plugin non mis à jour, même désactivé, peut représenter une porte d’entrée pour un pirate. Prenez l’habitude d’effectuer ces mises à jour régulièrement — idéalement chaque semaine — après avoir fait une sauvegarde de votre site au préalable.
2. Choisir des mots de passe solides et activer la double authentification
« Admin » comme identifiant et « 123456 » comme mot de passe : ce n’est pas une plaisanterie, c’est encore la réalité de nombreux sites. Les robots qui tentent de s’introduire dans les sites WordPress essaient ces combinaisons en priorité.
Choisissez un mot de passe long (au moins 14 caractères, avec majuscules, chiffres et symboles) et unique pour votre site. Mieux encore, activez la double authentification — souvent appelée 2FA : après votre mot de passe, un code vous est envoyé sur votre téléphone. Même si quelqu’un découvre votre mot de passe, il ne peut pas se connecter sans ce second code.
3. Limiter les tentatives de connexion
Par défaut, WordPress autorise un nombre illimité de tentatives de connexion. Les attaques dites « par force brute » exploitent cette faille en essayant des milliers de combinaisons identifiant/mot de passe jusqu’à trouver la bonne. C’est entièrement automatisé, et votre site peut en être victime sans que vous le sachiez.
Un plugin de sécurité peut bloquer automatiquement une adresse IP après un certain nombre d’échecs consécutifs (3 à 5 tentatives, par exemple). C’est une mesure simple qui décourage la grande majorité de ces attaques automatisées.
4. Changer l’URL de connexion par défaut
Sur WordPress, la page de connexion est toujours accessible à la même adresse : votresite.fr/wp-admin. Tout le monde le sait — y compris les pirates, qui ciblent directement cette URL pour lancer leurs attaques. En changeant cette adresse pour quelque chose de moins prévisible, vous réduisez considérablement le nombre de tentatives d’intrusion.
Des extensions spécialisées permettent de faire ce changement en quelques clics, sans toucher au code. Ce réflexe ne suffit pas à lui seul, mais il complète efficacement les autres mesures de sécurité.
5. Supprimer les thèmes et extensions que vous n’utilisez plus
Chaque plugin installé sur votre site est une porte potentielle. Si vous n’utilisez plus une extension, ne vous contentez pas de la désactiver : supprimez-la complètement. Un plugin désactivé mais présent sur le serveur peut toujours contenir du code vulnérable, exploitable par un pirate.
La même règle s’applique aux thèmes : gardez uniquement le thème actif et un thème par défaut en secours. Supprimez tous les autres. Moins il y a de code inutilisé, moins il y a de surface d’attaque.
6. Vérifier que votre site est bien en HTTPS
Le cadenas visible dans la barre d’adresse du navigateur indique que votre site utilise le protocole HTTPS. Ce protocole chiffre les échanges entre votre site et vos visiteurs : sans lui, les données qui transitent (formulaires, mots de passe) peuvent potentiellement être interceptées.
Aujourd’hui, la plupart des hébergeurs fournissent un certificat SSL gratuitement pour activer le HTTPS. Si votre site affiche encore « HTTP » sans le « S », c’est un signal d’alarme à corriger en priorité — Google pénalise d’ailleurs les sites non sécurisés dans son classement, en plus du risque pour vos visiteurs.
7. Faire des sauvegardes régulières et les tester
Une sauvegarde n’empêche pas le piratage, mais elle vous sauve la mise si cela arrive. En cas d’attaque, de bug majeur ou d’erreur de manipulation, pouvoir restaurer votre site en quelques minutes est inestimable. Sans sauvegarde récente, vous repartez souvent de zéro.
Pour être réellement utiles, vos sauvegardes doivent réunir trois conditions :
- Être automatiques, à fréquence régulière (quotidienne ou hebdomadaire selon votre activité)
- Être stockées en dehors de votre hébergeur principal, par exemple sur un service cloud externe
- Être testées de temps en temps pour vérifier qu’elles se restaurent correctement
Une sauvegarde que vous n’avez jamais testée n’est pas vraiment une sauvegarde.
8. Surveiller votre site avec un outil de sécurité
Le dernier réflexe est peut-être le plus puissant : surveiller activement votre site. Des plugins de sécurité peuvent scanner votre installation, détecter des fichiers modifiés ou suspects, et vous alerter par e-mail dès qu’une anomalie est détectée.
Imaginez qu’un pirate injecte du code malveillant dans un fichier de votre site pendant la nuit. Sans surveillance, vous ne le découvrirez peut-être que des semaines plus tard — quand Google vous aura blacklisté et que vos clients verront une page d’avertissement rouge à la place de votre vitrine. Avec une surveillance active, une alerte arrive dans votre boîte mail dès le lendemain matin. Le scénario n’a rien d’exceptionnel : des artisans et commerçants de Beauvais à Compiègne en ont fait l’expérience.
La maintenance : une tranquillité d’esprit au quotidien
Vous n’avez ni le temps ni l’envie de gérer tout cela vous-même ? C’est tout à fait normal — vous avez un métier à faire tourner. Ces 8 réflexes demandent du temps et une certaine rigueur. C’est précisément ce que couvre la formule de maintenance mensuelle : mises à jour, sauvegardes vérifiées, surveillance de sécurité, et interventions rapides si un problème survient.
Pour les TPE et indépendants de l’Oise — que vous soyez à Creil, Senlis, Chantilly ou Laigneville — cette formule est disponible à 80 €/mois pour un site vitrine et 150 €/mois pour une boutique en ligne. Vous vous concentrez sur votre activité, votre site est entre de bonnes mains.
Curieux de savoir où en est la sécurité de votre site aujourd’hui ? L’outil d’audit gratuit analyse votre site en quelques secondes et vous donne un premier diagnostic. Et pour toute question, la page de contact est là.
