Plugin de sécurité WordPress : en faut-il un ?

La documentation officielle de WordPress, Hardening WordPress, relue le 14 octobre 2026, va dans ce sens : elle insiste sur les mises à jour, les droits de fichiers et la double authentification, puis présente les extensions de sécurité comme un complément parmi d'autres.

Ce qu'une extension de sécurité fait vraiment

Les extensions les plus connues, que la documentation de WordPress cite parmi d'autres (Wordfence, All in One WP Security, Shield), combinent en général quatre fonctions :

La documentation de WordPress le note : un pare-feu peut s'installer au niveau du serveur web, pour filtrer le trafic avant qu'il n'atteigne WordPress, et le plus répandu en logiciel libre est ModSecurity. Une extension, elle, ne commence à travailler qu'une fois WordPress chargé : elle consomme des ressources à chaque visite, y compris celles des robots qu'elle bloque.

Ce qui reste de votre ressort, avec ou sans extension

Aucune extension ne remplace ces gestes, détaillés dans Sécuriser WordPress :

1. Mettez à jour WordPress, le thème et les extensions dès qu'une version sort.
2. Supprimez les extensions et les thèmes que vous n'utilisez pas.
3. N'installez jamais une extension payante récupérée ailleurs que chez son éditeur.
4. Donnez à chaque compte un mot de passe unique, et activez la double authentification sur les comptes administrateurs. Méfiez-vous des courriels qui vous demandent vos identifiants, voir Reconnaître un mail de phishing.
5. Gardez une sauvegarde récente, hors du site.

Comment choisir, si vous en voulez une

• Partez de ce que fait votre hébergeur. Si le serveur porte déjà un pare-feu applicatif et un blocage des connexions, désactivez ces modules dans l'extension pour ne pas filtrer deux fois. Deux pare-feu empilés compliquent le diagnostic quand une requête légitime est refusée.
• Prenez une extension du répertoire officiel, ou d'un éditeur connu, comme le recommande la documentation de WordPress.
• Préférez une extension qui fait peu, mais ce qui vous manque, par exemple la double authentification et les alertes de connexion, plutôt qu'une suite qui duplique le serveur.
• Méfiez-vous des analyses lourdes programmées en journée : sur un site chargé, une analyse complète des fichiers ralentit les pages pendant qu'elle tourne. C'est vrai en particulier pour une boutique, voir Tutoriel WooCommerce.

Chez Hubspace

Sur nos quatre offres d'hébergement, la page sécurité détaille ce qui tourne déjà au niveau du serveur :

• un pare-feu applicatif ModSecurity avec le jeu de règles OWASP CRS 4.28, en mode blocage ;
• un filtrage en amont, qui écarte des robots et des sondes avant le serveur ;
• fail2ban, qui bannit une adresse après 5 échecs de connexion en 10 minutes, l'administration de WordPress comprise ;
• une analyse antivirus quotidienne de vos fichiers, avec une alerte qui donne le chemin du fichier ;
• le certificat HTTPS, posé et renouvelé automatiquement, et une sauvegarde chaque nuit, gardée 30 jours.

Une extension de sécurité n'est donc pas nécessaire pour ces fonctions. Si vous en installez une pour la double authentification ou les alertes, laissez son pare-feu et son blocage des connexions désactivés. Si le pare-feu du serveur refuse une action légitime, voir Requête bloquée par le pare-feu : l'exception se pose sur demande, pour votre site seul.

Questions fréquentes