Sécurité site WordPress PME | Checklist 2026

Un site WordPress mal sécurisé est une porte ouverte, et la sécurité site WordPress PME est devenue un enjeu majeur. Selon l'ANSSI, les PME représentent une cible croissante pour les cyberattaques, précisément parce qu'elles combinent des données sensibles et des ressources limitées dédiées à la sécurité informatique. WordPress alimente plus de 43 % des sites web dans le monde, ce qui en fait la plateforme la plus ciblée par les attaques automatisées.

Pour une PME, un piratage n'est pas seulement un problème technique : c'est une interruption d'activité, une perte de confiance client, et potentiellement une obligation de notification au titre du RGPD. Cet article te donne une checklist concrète et actionnelle pour sécuriser WordPress, même sans compétences techniques avancées.

Temps de lecture : ~10 min

Pourquoi les PME sous WordPress sont des cibles fréquentes

La majorité des attaques contre WordPress ne sont pas ciblées : elles sont automatisées. Des robots parcourent le web à la recherche de versions obsolètes de plugins, de comptes administrateurs avec des mots de passe faibles, ou de fichiers de configuration exposés. Une PME qui n'a pas mis à jour son site depuis six mois offre une surface d'attaque considérable à ces scripts automatisés.

Les vecteurs d'attaque les plus courants sur WordPress sont les plugins et thèmes vulnérables, les attaques par force brute sur la page de connexion (brute force login), les injections SQL et les attaques de type cross-site scripting (XSS). Ces termes désignent respectivement des tentatives de deviner un mot de passe par essais répétés, des manipulations de base de données via des formulaires mal protégés, et l'injection de code malveillant dans les pages de ton site.

La bonne nouvelle : la grande majorité de ces attaques peut être bloquée avec des mesures simples, sans faire appel à un développeur pour chaque étape.

Les actions prioritaires à mettre en place immédiatement

Mettre en place les premières mesures de sécurité

Certaines mesures de sécurité WordPress pour une PME peuvent être appliquées en moins d'une heure et réduisent drastiquement le risque d'intrusion.

Première priorité : la mise à jour systématique. WordPress, ses plugins et ses thèmes doivent être à jour en permanence. Les mises à jour mineures (corrections de sécurité) peuvent être activées en automatique depuis le tableau de bord WordPress. Les mises à jour majeures demandent un peu plus de prudence mais ne doivent pas être repoussées indéfiniment.

Deuxième priorité : les mots de passe. Tous les comptes administrateurs doivent utiliser des mots de passe d'au moins 16 caractères, combinant lettres, chiffres et caractères spéciaux. Le compte nommé "admin" par défaut doit être renommé ou supprimé, car c'est la première cible des attaques automatisées.

Troisième priorité : l'authentification double facteur (2FA). Activer la double authentification sur tous les comptes administrateurs WordPress ajoute une couche de protection décisive. Même si un mot de passe est compromis, l'attaquant ne peut pas se connecter sans le second facteur. Des plugins comme Wordfence Security ou WP 2FA permettent de configurer cette fonctionnalité en quelques minutes.

Quatrième priorité : forcer HTTPS. Ton site doit fonctionner entièrement en HTTPS, ce qui signifie que toutes les communications entre le navigateur de tes visiteurs et ton serveur sont chiffrées grâce à un certificat SSL/TLS. La plupart des hébergeurs proposent ce certificat gratuitement. Si ce n'est pas encore activé, c'est la première chose à corriger.

Durcissement de WordPress : protéger les fichiers et les accès

Limiter les points d'entrée techniques

Au-delà des réglages de base, le durcissement WordPress (hardening) consiste à réduire les points d'entrée potentiels pour un attaquant.

Le fichier wp-config.php contient les informations de connexion à ta base de données. Il doit être protégé en déplaçant sa lecture hors du répertoire public ou en ajoutant des règles dans le fichier .htaccess pour en bloquer l'accès direct. Ton hébergeur ou un développeur peut effectuer cette manipulation en quelques minutes.

Désactiver XML-RPC est une autre mesure importante. XML-RPC est un protocole de communication ancien intégré à WordPress qui est rarement utile pour une PME, mais très souvent exploité pour des attaques par force brute ou des attaques DDoS amplifiées. Le désactiver réduit significativement la surface d'attaque sans impact fonctionnel pour la majorité des sites vitrines ou applicatifs.

La gestion des rôles utilisateurs WordPress mérite aussi une attention particulière. Chaque personne qui accède au back-office de ton site doit avoir uniquement les droits nécessaires à sa mission. Un rédacteur n'a pas besoin des droits administrateur. Auditer régulièrement les comptes actifs et supprimer les accès inactifs est une bonne pratique recommandée par plusieurs experts.

Enfin, les thèmes et plugins inactifs doivent être supprimés, pas seulement désactivés. Un plugin désactivé mais présent sur le serveur peut toujours contenir des failles exploitables.

Bon à savoir : Les headers de sécurité HTTP (comme Content-Security-Policy ou X-Frame-Options) sont des instructions envoyées par ton serveur aux navigateurs pour limiter certains types d'attaques. Ils peuvent être configurés au niveau de l'hébergement ou via un plugin de sécurité, sans toucher au code de ton site.

Sauvegardes et plan de reprise après incident

Organiser la sauvegarde et la reprise

Une sauvegarde WordPress externe est la seule vraie garantie contre une perte de données irréversible. Sauvegarder ton site uniquement sur le même serveur que celui qui héberge ton site ne suffit pas : si le serveur est compromis, la sauvegarde l'est aussi.

La solution recommandée est de mettre en place des sauvegardes automatiques quotidiennes stockées sur un espace cloud distinct, comme Google Drive, Amazon S3 ou un espace de stockage dédié. Le plugin UpdraftPlus est l'un des outils les plus utilisés pour automatiser ces sauvegardes hors site sur WordPress.

Il ne suffit pas de créer des sauvegardes : il faut tester leur restauration. Une sauvegarde dont on n'a jamais vérifié qu'elle se restaure correctement est une fausse sécurité. Planifie un test de restauration au moins deux fois par an.

Plugins de sécurité et hébergement WordPress sécurisé en France

Le choix d'un plugin de sécurité WordPress ne doit pas être guidé par le nombre d'étoiles mais par la couverture fonctionnelle. Wordfence Security est l'un des plus complets : il intègre un pare-feu applicatif web (WAF, c'est-à-dire un filtre qui analyse le trafic entrant et bloque les requêtes malveillantes avant qu'elles n'atteignent ton site), un scan de malware, une protection contre les tentatives de connexion répétées et un monitoring de sécurité en temps réel. Sa configuration de base est accessible sans compétences techniques.

Sucuri propose quant à lui une approche orientée monitoring et nettoyage post-incident, avec une option de WAF cloud qui filtre le trafic avant même qu'il n'arrive sur ton serveur.

Concernant l'hébergement WordPress sécurisé en France, le choix de l'hébergeur a un impact direct sur la sécurité de ton site. Un hébergeur qui propose des sauvegardes automatiques, un certificat SSL inclus, des mises à jour PHP récentes et des logs d'accès serveur accessibles offre une base solide. OVHcloud est l'un des acteurs français qui documente publiquement ses recommandations de sécurité pour WordPress. Cloudflare peut être ajouté en complément, quel que soit ton hébergeur, pour bénéficier d'une protection anti-DDoS et d'un premier niveau de WAF.

Si tu te demandes si ton architecture actuelle est adaptée, il peut aussi être utile de comparer les approches disponibles : notre guide sur WordPress versus développement sur mesure t'aide à évaluer quelle solution correspond le mieux aux besoins de ta PME.

Important : Le RGPD impose aux entreprises de notifier la CNIL en cas de violation de données personnelles dans les 72 heures suivant sa découverte. Un site WordPress piraté peut constituer une telle violation si des données clients y sont stockées. La sécurité de ton site n'est donc pas seulement une question technique, c'est aussi une obligation légale.

Que faire si ton site WordPress a été piraté

Si tu constates des comportements anormaux sur ton site (redirections vers des sites tiers, contenu inconnu, alerte Google, signalement de ton hébergeur), voici les étapes à suivre sans délai.

1. Étape 1 : Activer le mode maintenance pour empêcher tes visiteurs d'être exposés au contenu malveillant.
2. Étape 2 : Changer immédiatement tous les mots de passe, y compris ceux de l'hébergement, de la base de données et des comptes email associés.
3. Étape 3 : Restaurer une sauvegarde saine datant d'avant l'infection, si tu en disposes.
4. Étape 4 : Lancer un scan complet avec Wordfence ou Sucuri pour identifier les fichiers infectés et les supprimer.
5. Étape 5 : Mettre à jour l'ensemble des composants WordPress et auditer les comptes utilisateurs pour détecter d'éventuels accès créés par l'attaquant.

Si tu n'as pas de sauvegarde récente ou si l'infection est profonde, faire appel à un prestataire spécialisé est souvent plus rapide et plus sûr que de tenter un nettoyage manuel. La maintenance régulière d'un site web est précisément ce qui permet d'éviter de se retrouver dans cette situation.

À quelle fréquence auditer la sécurité d'un site WordPress de PME

La sécurité WordPress n'est pas une action ponctuelle. Elle demande un suivi régulier. Voici le rythme recommandé pour un audit sécurité WordPress PME.

Chaque semaine : vérifier les logs d'accès serveur pour repérer des comportements suspects, et confirmer que toutes les mises à jour disponibles ont bien été appliquées.

Chaque mois : auditer les comptes utilisateurs actifs, vérifier l'état des sauvegardes et tester une restauration partielle.

Une fois par an : réaliser un audit de sécurité complet par un spécialiste externe pour identifier des vulnérabilités que les outils automatisés ne détectent pas toujours.

Si ton site évolue fréquemment (ajout de plugins, nouvelles fonctionnalités, changements d'équipe), augmenter la fréquence des vérifications est une précaution raisonnable. Tu peux aussi consulter notre guide sur le suivi d'un site web pour structurer cette surveillance dans la durée.

Passer à l'action pour sécuriser ton site WordPress

Sécuriser un site WordPress pour une PME n'exige pas d'être développeur. Cela demande de la méthode, de la régularité et les bons outils. Les mesures présentées dans cette checklist couvrent l'essentiel : mises à jour systématiques, mots de passe solides, double authentification, sauvegardes externes, protection des fichiers sensibles et monitoring continu. Chaque étape réduit concrètement le risque d'intrusion et limite l'impact d'un incident éventuel.

Si tu te demandes si ton site actuel est suffisamment sécurisé, ou si une refonte vers une architecture plus robuste serait plus adaptée à tes ambitions actuelles, nous te proposons un audit gratuit pour faire le point.

FAQ

Qu'est-ce qu'un pare-feu applicatif web (WAF) et en ai-je besoin pour mon site WordPress ?

Un pare-feu applicatif web (WAF) est un filtre qui analyse les requêtes envoyées à ton site et bloque celles qui ressemblent à des attaques connues, comme les injections SQL ou les tentatives d'accès non autorisées. Pour une PME sous WordPress, activer le WAF intégré à Wordfence ou passer par Cloudflare représente une protection significative sans investissement technique majeur.

Faut-il payer pour un plugin de sécurité WordPress ou la version gratuite suffit-elle ?

Les versions gratuites de Wordfence et de Sucuri offrent une protection de base solide pour la majorité des PME. Les versions payantes apportent des fonctionnalités supplémentaires comme la mise à jour en temps réel des règles de pare-feu ou le nettoyage garanti en cas de piratage. Pour un premier niveau de protection, la version gratuite est un point de départ tout à fait valable.

Les permissions de fichiers WordPress ont-elles un impact sur la sécurité ?

Oui. Les permissions de fichiers définissent qui peut lire, modifier ou exécuter chaque fichier sur ton serveur. Des permissions trop ouvertes permettent à un attaquant ayant accès à une partie du serveur de modifier des fichiers critiques. Les recommandations standard préconisent des permissions en 644 pour les fichiers et en 755 pour les répertoires, avec des restrictions plus strictes pour wp-config.php.

Mon hébergeur s'occupe-t-il de la sécurité WordPress à ma place ?

Ton hébergeur sécurise l'infrastructure serveur, mais pas ton application WordPress. La mise à jour de tes plugins, la gestion de tes mots de passe, la configuration de tes sauvegardes et la surveillance de tes accès restent de ta responsabilité. Un hébergeur de qualité fournit les outils, mais c'est à toi (ou à ton prestataire) de les utiliser.

Quelle est la différence entre un scan de malware et un audit de sécurité WordPress ?

Un scan de malware est une vérification automatisée qui compare les fichiers de ton site à une base de signatures de codes malveillants connus. Un audit de sécurité WordPress est une analyse plus large, souvent réalisée par un expert, qui examine aussi la configuration du serveur, les droits d'accès, la qualité des plugins installés et les pratiques de l'équipe. Les deux sont complémentaires.