Sécuriser un site WordPress en 2026 : la checklist complète en 15 points

WordPress alimente 43 % du web — ce qui en fait la cible numéro 1 des hackers. En 2026, des attaques automatisées scannent en permanence les sites à la recherche de vulnérabilités. Voici les 15 points incontournables pour sécuriser votre site.

1. Maintenir WordPress, thèmes et plugins à jour

80 % des sites WordPress hackés l’ont été à cause d’un plugin non mis à jour. Les mises à jour de sécurité corrigent des vulnérabilités documentées — les attaquants exploitent ces failles dans les heures qui suivent la publication du patch.

2. Désactiver l’éditeur de fichiers

Ajoutez define('DISALLOW_FILE_EDIT', true); dans wp-config.php. Si un attaquant obtient accès à votre admin, il ne pourra pas injecter de code directement.

3. Changer le préfixe des tables WordPress

Le préfixe par défaut wp_ est connu de tous les scripts d’injection SQL. Changer ce préfixe lors de l’installation réduit significativement la surface d’attaque.

4. Bloquer xmlrpc.php

Utilisé pour des attaques brute force amplifiées. Bloquez-le dans le .htaccess. À moins d’utiliser une application mobile WordPress, vous n’en avez pas besoin.

5. Activer l’authentification à deux facteurs (2FA)

Un mot de passe seul n’est plus suffisant. Activez le 2FA avec Google Authenticator ou Wordfence sur tous les comptes admin.

6. Configurer les HTTP Security Headers

X-Content-Type-Options, X-Frame-Options, Content-Security-Policy, Referrer-Policy, Permissions-Policy — ces en-têtes protègent contre les attaques XSS et clickjacking.

7. Déplacer wp-config.php hors de la racine web

WordPress peut lire wp-config.php depuis le dossier parent. Déplacez-le un niveau au-dessus de public_html — il ne sera plus accessible via HTTP.

8. Désactiver l’indexation des répertoires

Ajoutez Options -Indexes dans .htaccess pour qu’un visiteur ne puisse pas lister le contenu de vos dossiers.

9. Limiter les tentatives de connexion

Bloquez les IPs après 3-5 tentatives échouées. Wordfence ou Cloudflare WAF gèrent cela automatiquement.

10. Sauvegardes automatiques quotidiennes hors site

Stockez les sauvegardes sur un serveur différent (Amazon S3, Backblaze B2). Si votre serveur est compromis, les sauvegardes locales le sont aussi. UpdraftPlus avec S3 distant est la combinaison recommandée.

Les 5 points supplémentaires pour les sites critiques

1. HTTPS strict avec HSTS (incluez les sous-domaines)
2. WAF Cloudflare Pro avec règles OWASP activées
3. Monitoring de l’intégrité des fichiers (Wordfence)
4. Logs d’accès analysés (Fail2ban)
5. Politique de mots de passe forts imposée à tous les utilisateurs

WebEngine inclut la configuration de ces mesures dans chaque projet livré. Notre forfait de maintenance inclut le monitoring continu et la remise en état après piratage. Demandez un devis.

Besoin d’un expert ? Audit sécurité WordPress Paris →

Questions fréquentes

Quels sont les vecteurs d’attaque les plus fréquents sur WordPress ?

Par ordre de fréquence : 1) Plugins vulnérables non mis à jour (56% des piratages), 2) Mots de passe faibles sur wp-admin (attaques brute force), 3) Thèmes nulled (piratés) téléchargés illégalement, 4) Hébergement mutualisé compromis par un autre site sur le même serveur, 5) Accès FTP non sécurisé. Wordfence publie un rapport mensuel des vulnérabilités WordPress.

Comment savoir si mon site WordPress a été piraté ?

Signaux d’alerte : Google Search Console affiche des URLs inconnues dans votre propriété, votre site est blacklisté par Google Safe Browsing, des redirections inattendues apparaissent sur mobile, votre hébergeur vous signale une activité anormale, ou des emails spam partent depuis votre serveur. Scan gratuit : Sucuri SiteCheck analyse votre site sans installation.

SFTP ou FTP : quelle différence pour la sécurité WordPress ?

FTP envoie vos identifiants et fichiers en clair sur le réseau — n’importe qui sur le même réseau peut les intercepter. SFTP chiffre tout le flux (protocole SSH) — vos identifiants d’hébergement ne peuvent pas être interceptés. Tous les hébergements professionnels proposent SFTP. N’utilisez jamais FTP sur un réseau WiFi public.