Sécuriser WordPress : les gestes qui comptent

Les réglages ci-dessous suivent la page officielle Hardening WordPress, relue le 14 octobre 2026. Ils sont classés du plus utile au plus technique.

1. Tenir tout à jour

La quasi-totalité des intrusions passe par une extension ou un thème resté en retard d'une version, dont la faille est publiée et exploitée par des robots. Mettre à jour régulièrement est la mesure la plus efficace. WordPress applique seul les mises à jour de sécurité mineures du cœur ; les extensions et le thème dépendent de vous. Voyez Mettre à jour WordPress sans casser son site.

2. Supprimer ce qui ne sert plus

Une extension désactivée reste sur le serveur, et sa faille aussi. Supprimez les extensions et les thèmes inutilisés, en gardant un thème par défaut de WordPress comme thème de secours. Remplacez les extensions qui ne reçoivent plus de mise à jour depuis longtemps. Ne téléchargez extensions et thèmes que depuis wordpress.org ou le site de leur éditeur : une version « offerte » d'une extension payante contient souvent une porte dérobée.

3. Protéger les comptes

1. Un mot de passe long et unique par administrateur, géré par un gestionnaire de mots de passe.
2. La double authentification sur chaque compte administrateur : même volé, le mot de passe ne suffit plus.
3. Un identifiant qui n'est pas « admin » : c'est le premier que les robots essaient.
4. Le moins d'administrateurs possible. Un rédacteur n'a besoin que du rôle d'auteur ou d'éditeur. Supprimez les comptes des anciens prestataires et des anciens salariés.

4. Désactiver l'éditeur de fichiers

L'administration de WordPress permet de modifier le code des thèmes et des extensions depuis le navigateur. Un intrus qui obtient un compte administrateur s'en sert pour déposer du code. La documentation officielle recommande de couper cet éditeur en ajoutant dans wp-config.php, avant la ligne qui demande d'arrêter les modifications :

define( 'DISALLOW_FILE_EDIT', true );

Cela n'empêche pas l'envoi d'une extension malveillante, mais ferme une voie courante.

5. Vérifier les permissions des fichiers

La documentation officielle donne les valeurs de référence : 755 pour les dossiers, 644 pour les fichiers, et 440 ou 400 pour wp-config.php, qui ne doit être lisible que par vous et le serveur web. Avec un accès SSH, depuis le dossier du site :

find . -type d -exec chmod 755 {} \;
find . -type f -exec chmod 644 {} \;
chmod 440 wp-config.php

N'utilisez jamais 777, même pour « débloquer » une extension : ce réglage permet à n'importe quel processus du serveur d'écrire dans vos fichiers. Si votre hébergeur règle déjà les droits correctement, n'y touchez pas.

6. Passer en HTTPS et en SFTP

Le site doit répondre en HTTPS, certificat compris, pour que les mots de passe ne circulent pas en clair. Pour envoyer des fichiers, préférez SFTP au FTP classique, qui transmet les identifiants sans chiffrement.

7. Garder des sauvegardes testées

Aucune mesure n'est parfaite. Une sauvegarde quotidienne, gardée plusieurs semaines hors du site, permet de repartir d'un état sain. Testez-la de temps en temps : voyez Restaurer une sauvegarde WordPress.

8. Un pare-feu devant le site

Un pare-feu applicatif filtre les requêtes avant qu'elles n'atteignent WordPress : injections, tentatives de connexion en masse, sondes de fichiers connus. C'est le rôle de l'hébergeur ou d'un service placé en amont. Une extension de sécurité installée dans WordPress fait une partie de ce travail, mais elle ne s'exécute qu'une fois la requête arrivée sur le site.

Si le site est déjà compromis

Ces mesures préviennent, elles ne nettoient pas. Si votre site redirige vers un autre, affiche des pages inconnues ou si Google signale un problème de sécurité, voyez Nettoyer un site WordPress piraté.

Sur un hébergement Hubspace

Le pare-feu applicatif (ModSecurity, avec le jeu de règles OWASP), l'analyse antivirus quotidienne, le filtrage en amont et le blocage des connexions en masse sont compris sur les quatre offres. Le certificat HTTPS est posé et renouvelé automatiquement, et la sauvegarde quotidienne est gardée 30 jours. À partir de l'offre Sérénité, nous tenons aussi les mises à jour de WordPress, essayées sur une copie du site avant d'être appliquées. Les comptes, les mots de passe et les extensions que vous installez restent de votre ressort.

Questions fréquentes