La plupart des piratages de sites WordPress commencent par un plugin vulnérable, et non par un mot de passe deviné. Ce guide classe les mesures de sécurité d'WordPress par ordre de priorité : ce qu'il faut corriger dès aujourd'hui, ce qu'il faut prévoir cette semaine, et ce que ton hébergeur devrait gérer au niveau du serveur. Tu découvriras également pourquoi les mises à jour seules laissent des failles et comment détecter une intrusion avant qu'elle ne te coûte du trafic ou des ventes.
La meilleure protection de sécurité pour WordPress repose sur plusieurs niveaux. Garde tes plugins, tes thèmes et le cœur du site à jour. Supprime tout ce que tu n’utilises pas. Exige une authentification à deux facteurs pour chaque administrateur, garde des sauvegardes hors site testées et héberge ton site sur une infrastructure qui bloque les attaques au niveau du serveur et des applications. Parmi ces couches de protection, ce sont les plugins qui méritent le plus d’attention : selon le rapport « State of WordPress Security in 2026 » de Patchstack, 91 % des nouvelles vulnérabilités découvertes en 2025 concernaient des plugins, et 9 % des thèmes.
Parcours les sections ci-dessous de haut en bas. Chacune est classée en fonction de la réduction de risque qu'elle apporte par rapport au temps que ça prend.
D'où viennent les attaques de type « WordPress » ?
Patchstack a recensé 11 334 nouvelles vulnérabilités dans l'écosystème d'WordPress en 2025, soit une hausse de 42 % par rapport à 2024 (Patchstack). Seules six d'entre elles concernaient le cœur d'WordPress , et toutes les six étaient de faible priorité. Les autres provenaient des plugins et des thèmes que tu installes.
Les éléments payants ne sont pas forcément plus sûrs. Patchstack a découvert trois fois plus de failles connues et exploitées dans les plugins et thèmes premium que dans les versions gratuites, en partie parce que moins de chercheurs ont accès au code premium pour l'examiner (Patchstack). Ça en surprend plus d'un parmi les propriétaires de sites, qui pensent qu'en payant une licence, on bénéficie d'une meilleure sécurité.
Le noyau nécessite toujours une attention particulière. En juillet 2026, des chercheurs ont révélé l’existence de « wp2shell », deux failles de sécurité de niveau « WordPress » du noyau qui, combinées, permettaient l’exécution de code à distance sans authentification sur les installations par défaut fonctionnant sous les versions 6.9.0 à 6.9.4 et 7.0.0 à 7.0.1 (Rapid7). WordPress a publié les versions 6.8.6, 6.9.5 et 7.0.2 et a imposé des mises à jour automatiques pour les sites compatibles (INCIBE-CERT). Les sites qui avaient désactivé les mises à jour automatiques du cœur du système sont restés exposés plus longtemps. Notre étude de cas sur la compromission et la restauration liées à wp2shell te montre comment ça s’est passé sur un vrai site.
Que faire aujourd'hui pour protéger ton WordPress
Ces quatre étapes prennent moins d'une heure sur la plupart des sites et permettent de combler les failles les plus souvent exploitées par les pirates.
Activer les mises à jour automatiques
Ouvrir Tableau de bord > Mises à jour et installe tout ce qui est en attente. Ensuite, va dans Plugins et clique sur Activer les mises à jour automatiques à côté de chaque plugin que tu autorises à se mettre à jour automatiquement. WordPress applique automatiquement les mises à jour mineures du noyau par défaut ; assure-toi donc que rien n'a désactivé cette fonctionnalité, comme par exemple un WP_AUTO_UPDATE_CORE constante définie à false dans wp-config.php.
Pour les boutiques WooCommerce ou les sites très personnalisés, teste d'abord les mises à jour importantes des plugins sur un environnement de test. Notre tour d'horizon des plugins de test pourWordPress te présente les différentes options.
Supprime les plugins et les thèmes que tu n'utilises pas
La désactivation d'un plugin ne supprime pas ses fichiers. Du code vulnérable peut toujours se trouver sur le serveur ; supprime donc tout ce qui est inactif. Garde un thème par défaut à jour comme solution de secours et supprime les autres.
Sur WordPress.org, un avertissement s'affiche pour tout plugin qui n'a pas été testé avec les trois dernières versions majeures d'WordPress . Considère cet avertissement comme une raison de chercher un remplacement qui soit encore mis à jour.
Exiger l'authentification à deux facteurs pour tous les administrateurs
WordPress La version de base ne prend pas en charge l'authentification à deux facteurs ; tu auras donc besoin d'un plugin. Choisis-en un qui prenne en charge une application d'authentification , des clés d'accès ou des clés de sécurité matérielles, plutôt que de te fier à des codes envoyés par SMS ou par e-mail. Les SMS peuvent être interceptés via une substitution de carte SIM, et la sécurité des codes envoyés par e-mail dépend entièrement de celle de la boîte de réception qui les reçoit. Consulte notre comparatif des meilleurs plugins d'authentification à deux facteurs pour WordPress ou suis le guide de configuration disponible dans notre Centre d'aide.
Mets à jour tes règles de mot de passe
Le vieux conseil qui consistait à mélanger des majuscules, des chiffres et des symboles est dépassé. La directive d'authentification actuelle du NIST, la SP 800-63B-4, précise que les systèmes ne doivent pas imposer de règles de composition ni exiger de changements périodiques de mot de passe (NIST). Elle fixe une longueur minimale de 15 caractères lorsque le mot de passe est le seul facteur d'authentification (Startup Defense).
Concrètement, ça veut dire :
- Utilise un gestionnaire de mots de passe et un mot de passe différent pour chaque compte
- Choisis au moins 15 caractères, ou une phrase de passe composée de plusieurs mots sans rapport entre eux
- Change tes mots de passe quand tu as des raisons de penser qu'ils ont été piratés, pas juste parce que c'est la date prévue
- Donne à chacun son propre identifiant ; ne partage jamais un compte administrateur
Ce que tu devrais faire cette semaine
Vérifier les comptes utilisateurs et les rôles
Va dans « Utilisateurs > Tous les utilisateurs » et supprime les anciens employés, les prestataires et les anciens comptes d'agence. Vérifie ensuite chaque rôle restant :
| Rôle | Pas de problème | À qui ça s'adresse ? |
|---|---|---|
| Administrateur | Installer des plugins, modifier les paramètres, gérer les utilisateurs | Une ou deux personnes qui s'occupent du site |
| Éditeur | Publier et modifier le contenu de n'importe qui | Le contenu attire les prospects ; la plupart des clients se trouvent sur les sites créés par des agences |
| Auteur | Publier leurs propres messages | Auteurs réguliers |
| Contributeur | Écrire des brouillons, sans les publier | Auteurs invités ou occasionnels |
Les failles de contrôle d'accès ont été le type de vulnérabilité le plus exploité en 2025, et ces attaques ressemblent souvent à du trafic normal provenant d'utilisateurs connectés (Patchstack). Si ton site ne nécessite pas d'inscription publique, décoche la case « Tout le monde peut s'inscrire » dans Paramètres > Général. Moins il y a de comptes, moins il y a de points d'ancrage.
Pourquoi faut-il une deuxième étape pour mettre à jour les plugins ?
Les mises à jour ne te protègent qu’une fois qu’un correctif existe. En 2025, 46 % des vulnérabilités WordPress n’avaient pas encore de correctif disponible de la part des développeurs au moment de leur divulgation publique (Patchstack). Pour les vulnérabilités les plus ciblées, le délai médian pondéré entre la divulgation et la première exploitation était de cinq heures.
Les pirates continuent aussi d'exploiter d'anciennes failles. Sur les dix vulnérabilités les plus ciblées en 2025, seules quatre avaient été rendues publiques cette année-là (Patchstack). Les six autres étaient des failles plus anciennes que les sites n'avaient toujours pas corrigées.
Le problème est donc bien réel des deux côtés. Certains sites n'arrivent pas à installer les correctifs assez vite, et pour certaines failles, il n'y a tout simplement pas de correctif à appliquer. Pour combler ce fossé, il faut une protection qui surveille ce que fait le code, et pas seulement quelle version est installée.
De quoi ton hébergeur devrait-il s'occuper ?
Certaines protections ne peuvent pas être configurées depuis le tableau de bord d'WordPress . Elles dépendent de la manière dont ton hébergeur configure et gère ses serveurs.
InMotion Hosting On bosse avec Monarx depuis 2021, et dès la première année de ce partenariat, on a constaté une baisse de 40 % des demandes d'assistance liées à la sécurité (InMotion Hosting). Depuis, on a déployé Monarx ThreatShield sur l'ensemble de notre parc de serveurs. Un pare-feu classique inspecte une requête avant qu'elle n'atteigne ton application. ThreatShield s'exécute au sein même de l'environnement d'exécution de l'application, ce qui lui permet d'évaluer ce qu'une requête tente réellement de faire au moment de son exécution. Ça lui permet ainsi de bloquer :
- Cross-site scripting et injection SQL
- Exécution de code à distance
- Les tentatives de connexion par force brute et le « credential stuffing »
- Spam et autres utilisations abusives des applications
C'est particulièrement important pendant la période entre la divulgation de la faille et la sortie du correctif, quand tes plugins sont vulnérables et qu'il n'y a pas encore de mise à jour disponible.
Ton hébergeur doit aussi mettre à jour les logiciels du serveur, isoler les comptes les uns des autres, gérer les pare-feu et te donner accès à des personnes capables de t'aider en cas d'incident. L'assistance d'InMotion Hosting est disponible 24 h/24 et 7 j/7, et chaque technicien suit plus de 280 heures de formation avant de pouvoir traiter les incidents de niveau 1.
Pour les clients disposant d'un VPS ou d'un serveur dédié qui souhaitent bénéficier à la fois d'une protection contre les logiciels malveillants et d'un service de sauvegarde, l'offre InMotion Premier Care regroupe la protection Monarx contre les logiciels malveillants, un espace de stockage pour les sauvegardes et un accès étendu à l'assistance dans une seule formule. Tu peux aussi souscrire à Monarx Security séparément.
Aucune couche de protection ne peut tout bloquer à elle seule. La protection au niveau du serveur limite ce qui parvient jusqu'à ton site ; elle ne remplace pas les mises à jour, les identifiants sécurisés ou les sauvegardes.
Est-ce que changer l'URL de connexion à WordPress améliore la sécurité ?
Un peu. On déménage /wp-admin Ça réduit le nombre de connexions automatisées dans tes journaux, mais ça n'empêche pas les exploits de plugins, qui touchent rarement, voire jamais, la page de connexion. Considère ça comme une mesure d'entretien, pas comme une protection. Certains plugins de mise en cache et de sécurité peuvent aussi entrer en conflit avec les chemins d'accès personnalisés à la connexion, alors pense à tester après avoir modifié ça.
Quel plugin de sécurité pour WordPress , devrais-tu utiliser ?
Un plugin de sécurité bien entretenu suffit pour la plupart des sites. Wordfence et d'autres outils similaires gèrent à la fois la limitation des connexions, les alertes en cas de modification de fichiers et l'authentification à deux facteurs. Évite d'utiliser deux plugins pare-feu en même temps. Ils entrent en conflit, doublent la charge de traitement à chaque requête et peuvent pousser un compte d'hébergement mutualisé à ses limites en termes de CPU. Prévoyez des analyses complètes anti-malware pendant les heures de faible trafic.
Comment détecter rapidement une intrusion sur WordPress ?
Les logiciels malveillants modernes de type « WordPress » sont conçus pour se dissimuler. Les campagnes courantes envoient du spam aux robots d'indexation des moteurs de recherche, redirigent certains visiteurs humains vers des sites frauduleux et affichent une page «propre» aux propriétaires de sites (Patchstack et Monarx). Une famille de logiciels malveillants, Lock360, s'exécute dans la mémoire du serveur et réécrit des fichiers comme index.php et .htaccess dès qu'elles seront remises en service.
Fais gaffe à ces signes :
- Des pages inconnues quand tu fais une recherche
site:yourdomain.comsur Google - Des clients signalent des redirections que tu n'arrives pas à reproduire
- Des comptes d'administrateur que personne n'a créés
- Fichiers PHP à l'intérieur
/wp-content/uploads/ - Les fichiers qui reviennent à leur état d'origine après que tu les as nettoyés
Si tu constates l'un de ces problèmes, contacte le service d'assistance avant de restaurer une sauvegarde, car une infection résidant en mémoire peut réinfecter une restauration saine. Notre [équipe des services web]([URL DE RÉPARATION DES SITES PIRATÉS]) propose également un service de réparation des sites piratés, avec des délais d'intervention standard ou prioritaires.
Ton site WordPress est-il prêt à faire face à l'afflux massif de visiteurs pendant les fêtes ?
Monarx a constaté que les téléchargements de fichiers malveillants avaient presque triplé en novembre et décembre 2025, alors que le trafic lié aux fêtes atteignait son pic et que les équipes informatiques manquaient de personnel (Patchstack et Monarx). Pour les boutiques WooCommerce, c'est le pire moment qui soit.
Avant de te rendre sur Black Friday, passe en revue les listes « Aujourd’hui » et « Cette semaine » ci-dessus, suspends l’installation des plugins non essentiels et vérifie que la restauration d’une sauvegarde fonctionne bien. Note bien qui appeler si le système de paiement tombe en panne un samedi à 23 h.
Par où commencer ?
| Priorité | Tâche | Temps nécessaire | Qui s'en occupe ? |
|---|---|---|---|
| Aujourd'hui | Mets tout à jour, active les mises à jour automatiques | 15 minutes | Toi |
| Aujourd'hui | Supprime les plugins et les thèmes que tu n'utilises pas | 10 minutes | Toi |
| Aujourd'hui | Exiger l'authentification à deux facteurs pour les administrateurs | 20 minutes | Toi |
| Cette semaine | Vérifier les utilisateurs et les rôles | 30 minutes | Toi |
| Cette semaine | Limiter les connexions, désactiver la modification des fichiers | 20 minutes | Toi |
| Cette semaine | Vérifie la version de PHP, teste la restauration d'une sauvegarde | 1 heure | Toi ou ton développeur |
| En cours | Protection en temps réel, détection des logiciels malveillants, application des correctifs sur les serveurs | En continu | Ton animateur |
Si ton hébergeur actuel te laisse cette dernière ligne à ta charge, ça vaut le coup d’y jeter un œil de plus près. InMotion Hosting pour WordPress fonctionne sur une infrastructure que nous construisons et gérons nous-mêmes, avec la protection ThreatShield déployée sur l’ensemble de notre parc et une équipe d’assistance composée de vraies personnes disponible 24 h/24. Pour les agences qui gèrent de nombreux sites clients ou des boutiques nécessitant des ressources dédiées, l’hébergement VPS proposé sur WordPress offre une isolation et un contrôle au niveau root. Discute avec notre équipe pour trouver la solution la mieux adaptée à ta charge de travail.