Pourquoi votre site WordPress est une passoire à sécurité (et comment y remédier)

WordPress fait tourner plus de 43 % des sites web dans le monde. C'est son plus grand atout — et sa plus grande faiblesse. Cette popularité en fait la cible numéro 1 des pirates informatiques. Selon le rapport Sucuri 2023, 96 % des sites web infectés par des malwares tournent sous WordPress. En Suisse, de nombreuses PME utilisent WordPress sans mesures de sécurité adéquates, exposant leurs données, leur réputation, et celles de leurs clients. Voici comment changer cela.

Les 5 principales vulnérabilités WordPress

1. Plugins obsolètes ou abandonnés

Les plugins WordPress sont la première porte d'entrée des hackers : 56 % des failles exploitées proviennent de plugins non mis à jour (WPScan Vulnerability Database, 2024). Les plugins avec des millions d'installations sont des cibles de choix. Un plugin sans mise à jour depuis 2 ans est potentiellement une faille ouverte. Règle d'or : si un plugin n'est plus maintenu par son développeur, remplacez-le ou supprimez-le.

2. Thèmes nulled (piratés)

Les thèmes WordPress « nulled » — versions piratées de thèmes premium disponibles gratuitement sur des sites douteux — contiennent presque systématiquement des backdoors (portes dérobées). Ces scripts malveillants permettent aux pirates d'accéder à votre site même après un changement de mot de passe. N'utilisez jamais de thèmes ou plugins piratés, même pour tester.

3. Mots de passe faibles et accès admin non sécurisé

L'URL votre-site.com/wp-admin est connue de tous les bots. Des attaques brute-force tentent des milliers de combinaisons identifiant/mot de passe par minute. Un mot de passe simple comme « admin123 » sera cracké en quelques secondes. Utilisez des mots de passe de 20 caractères minimum générés par un gestionnaire de mots de passe, et activez l'authentification à deux facteurs (2FA).

4. Hébergement mutualisé bas de gamme

Sur un hébergement mutualisé bas de gamme, des dizaines ou centaines de sites partagent le même serveur. Si un site voisin est infecté, le malware peut se propager à votre site via des répertoires partagés. Optez pour un hébergement WordPress managé ou un VPS isolé, idéalement avec un hébergeur suisse fiable comme Infomaniak ou Hostpoint.

5. Absence de sauvegardes

Ce n'est pas une vulnérabilité à proprement parler, mais l'absence de sauvegardes transforme n'importe quelle attaque en catastrophe. Sans sauvegarde récente, une infection peut signifier la perte totale de votre site et de ses contenus. Configurez des sauvegardes automatiques quotidiennes sur un stockage externe (cloud, S3, etc.).

10 actions pour sécuriser votre WordPress dès aujourd'hui

1. Installez Wordfence ou Solid Security : pare-feu WAF, scanner de malwares, protection brute-force. Wordfence est gratuit et bloque des millions de tentatives d'intrusion par mois.
2. Activez les mises à jour automatiques du core WordPress et des plugins critiques (sécurité, SEO). Pour les plugins nécessitant des tests, planifiez des mises à jour hebdomadaires manuelles.
3. Changez l'URL de connexion : remplacez /wp-admin par une URL personnalisée via WPS Hide Login. Cela élimine 99 % des attaques brute-force automatisées.
4. Activez l'authentification à deux facteurs (2FA) pour tous les comptes admin via Google Authenticator ou Wordfence.
5. Configurez des sauvegardes automatiques quotidiennes avec UpdraftPlus ou BlogVault vers un stockage externe (Google Drive, Amazon S3, Dropbox).
6. Installez un certificat SSL (HTTPS) si ce n'est pas déjà fait — gratuit via Let's Encrypt chez la plupart des hébergeurs.
7. Limitez les rôles utilisateurs : n'accordez les droits « Administrateur » qu'aux personnes qui en ont réellement besoin. Utilisez « Éditeur » ou « Auteur » pour les autres.
8. Désactivez l'édition de fichiers dans le tableau de bord en ajoutant define('DISALLOW_FILE_EDIT', true); dans wp-config.php.
9. Utilisez un hébergement de qualité avec isolation des comptes, logs d'accès et détection des malwares. Infomaniak et Hostpoint proposent des offres WordPress Premium adaptées au marché suisse.
10. Auditez vos plugins : supprimez ceux que vous n'utilisez pas, remplacez les plugins abandonnés, et vérifiez régulièrement les vulnérabilités connues sur WPScan.com.

Si vous préférez ne plus vous soucier de la maintenance et de la sécurité WordPress, explorez notre guide hébergement web Suisse ou découvrez comment Léman Studio peut prendre en charge la maintenance complète de votre site. Notre contrat de maintenance inclut mises à jour, sauvegardes et monitoring de sécurité. Pour un devis, contactez-nous.