Sécuriser WordPress pas à pas : 12 réglages qui bloquent la plupart des attaques automatisées

Presque aucune attaque contre un site WordPress n'est personnelle. Des bots automatisés scannent tout internet en continu, cherchent les pages de connexion faibles et les extensions obsolètes, puis testent des milliers de mots de passe par minute. Peu importe que votre site soit un petit salon ou une boutique locale : s'il tourne sous WordPress, vous êtes sur la liste.

La bonne nouvelle : la plupart de ces attaques sont automatisées et bêtes. Vous n'êtes pas visé par un hacker de génie, juste par un script qui cherche des portes non verrouillées. Un petit ensemble de réglages corrects en arrête donc la majeure partie. Voici 12 mesures de durcissement, dans l'ordre où il vaut la peine de les faire, et ce que chacune corrige. Sans marketing, sans promesse de « 100 % sûr » — parce que personne de sérieux ne garantit ça.

Pourquoi vous êtes attaqué même si votre site est minuscule

Croire que « personne ne regarde mon site » est l'erreur de sécurité la plus coûteuse qui soit. Les bots ne choisissent pas leurs victimes, ils scannent en masse : ils cherchent /wp-login.php, forcent les mots de passe, sondent les extensions connues comme vulnérables et tentent d'injecter du code.

Pourquoi vous restez sur la liste même sans trafic :

• votre serveur peut servir à envoyer du spam ou attaquer d'autres sites ;
• vos pages peuvent être remplies de liens cachés vers de fausses pharmacies ou des casinos, détruisant votre réputation sur Google ;
• les données de vos clients (formulaires, commandes) ont une valeur en soi.

Vous ne vous défendez donc pas contre un ennemi, mais contre le bruit de fond d'internet. Et le bruit de fond s'arrête avec de l'hygiène, pas de la magie.

Réglages 1 à 4 : verrouillez l'authentification

La plupart des intrusions passent tout simplement par la porte d'entrée : la page de connexion. C'est là que vous obtenez le plus gros gain pour le moindre effort.

• 1. Supprimez l'utilisateur « admin ». C'est le premier nom que tout bot essaie. Créez un nouveau compte administrateur avec un autre nom et supprimez l'ancien.
• 2. Mots de passe longs et uniques. Au moins vingt caractères, générés avec un gestionnaire (Bitwarden, 1Password). Ne réutilisez jamais un mot de passe.
• 3. Activez l'authentification à deux facteurs (2FA). Même si votre mot de passe est deviné ou volé, l'attaquant est bloqué sans le code sur votre téléphone. Des extensions comme Wordfence ou miniOrange l'ajoutent en quelques minutes.
• 4. Limitez les tentatives de connexion. Configurez un blocage automatique après quelques mots de passe erronés. Cela tue les attaques par force brute, qui reposent sur des milliers d'essais.

Réglages 5 à 8 : réduisez la surface d'attaque

Chaque extension, thème et fonction actifs est une porte de plus. Moins vous en avez, moins vous avez à défendre.

• 5. Mettez tout à jour, automatiquement. Le cœur de WordPress, les thèmes et les extensions. La grande majorité des intrusions exploitent une faille déjà corrigée que le propriétaire n'a jamais mise à jour. Activez les mises à jour automatiques au moins pour les correctifs de sécurité.
• 6. Supprimez ce que vous n'utilisez pas. Les thèmes et extensions désactivés restent exploitables. Si ce n'est pas actif et nécessaire, supprimez-le entièrement.
• 7. Désactivez l'éditeur de fichiers du tableau de bord. Ajoutez `define('DISALLOW_FILE_EDIT', true);` dans wp-config.php. Ainsi, si quelqu'un vole votre compte, il ne peut pas injecter de code directement depuis l'admin.
• 8. Coupez XML-RPC si vous ne l'utilisez pas. C'est un ancien canal souvent abusé pour la force brute et l'amplification. La plupart des extensions de sécurité le ferment d'un clic.

Réglages 9 à 12 : serveur, permissions et filet de sécurité

La dernière couche concerne les fichiers, la connexion et ce qui se passe quand, malgré tout, quelque chose passe.

• 9. Permissions de fichiers correctes. Répertoires en 755, fichiers en 644, et wp-config.php en 640 ou 600. Rien ne devrait être en 777. Demandez-le à votre hébergeur si vous n'avez pas accès.
• 10. HTTPS partout. Un certificat SSL actif et une redirection forcée de http vers https, pour que mots de passe et données de formulaire ne circulent pas en clair.
• 11. Une extension de sécurité avec pare-feu (WAF). Wordfence ou Solid Security filtrent le trafic malveillant avant qu'il n'atteigne le site et vous envoient des alertes. Pas obligatoire, mais cela bouche beaucoup de trous depuis un seul endroit.
• 12. Sauvegardes automatiques, hors serveur. Le réglage le plus important de la liste. Une copie quotidienne ou hebdomadaire, stockée séparément (pas sur le même serveur). Quand tout le reste lâche, une bonne sauvegarde transforme un désastre en une heure de travail.

Ce qui donne une impression de sécurité mais ne sert à rien

Tout ce qui ressemble à une protection ne protège pas vraiment. Quelques mesures souvent recommandées qui comptent moins que vous ne le pensez :

• Cacher la version de WordPress. Les bots attaquent tout de toute façon, ils ne choisissent pas selon la version. C'est cosmétique.
• Changer le préfixe des tables de la base sur un site existant. Risqué et peu bénéfique ; cela n'a de sens qu'à l'installation, pas rétroactivement.
• Déplacer la page de connexion vers une autre URL. Cela décourage les scans simples, mais ne remplace pas la 2FA et la limitation des tentatives. C'est un bonus, pas une solution.

La règle saine : faites d'abord ce qui compte — authentification, mises à jour, sauvegardes — et ensuite seulement les raffinements. Et fuyez quiconque promet que votre site devient « impossible à pirater ». Ça n'existe pas ; il n'y a que des sites assez difficiles pour que le bot passe au suivant.

Par où commencer et comment nous pouvons aider

Si vous voulez le faire vous-même, suivez l'ordre ci-dessus : l'authentification d'abord (utilisateur admin, mot de passe, 2FA, limitation de connexion), puis les mises à jour et les sauvegardes. Ces quatre étapes à elles seules éliminent la majeure partie des attaques automatisées. Le reste est du raffinement.

Si vous préférez ne pas toucher à wp-config.php et aux permissions, c'est tout à fait normal — il est facile de casser un site avec une virgule de travers. Chez MPO Web Studio, nous travaillons à distance, dans tout le pays, et nous pouvons auditer la sécurité de votre site WordPress, appliquer les durcissements et configurer les sauvegardes automatiques, avec un prix annoncé d'emblée. Nous construisons même une démo avant tout paiement, pour que vous voyiez avec qui vous travaillez.

Écrivez-nous sur WhatsApp avec l'adresse de votre site et nous vous dirons brièvement où vous êtes vulnérable et ce qu'il faut faire en premier. Sans jargon inutile.