1. Maintenez WordPress, vos thèmes et vos plugins à jour
C’est la règle d’or. La majorité des sites WordPress piratés l’ont été à cause d’une version obsolète du CMS, d’un thème ou d’un plugin. Chaque mise à jour corrige des failles de sécurité identifiées — ne pas les appliquer, c’est laisser une porte ouverte.
- Activez les mises à jour automatiques pour le cœur de WordPress.
- Vérifiez régulièrement l’état de vos extensions dans le tableau de bord.
- Supprimez les plugins et thèmes inactifs : même désactivés, ils peuvent être exploités.
2. Choisissez des identifiants de connexion solides
Le nom d’utilisateur « admin » combiné à un mot de passe simple, c’est l’erreur la plus répandue — et la plus exploitée. Les attaques par force brute testent des milliers de combinaisons en quelques secondes.
- Bannissez l’identifiant « admin » : choisissez un nom d’utilisateur unique et non devinable.
- Utilisez un mot de passe long, complexe et unique (un gestionnaire comme Bitwarden peut vous y aider).
- Activez l’authentification à deux facteurs (2FA) pour tous les comptes administrateurs.
3. Limitez les tentatives de connexion
Par défaut, WordPress ne limite pas le nombre de tentatives de connexion. Des outils comme Limit Login Attempts Reloaded ou Wordfence permettent de bloquer automatiquement les adresses IP suspectes après un certain nombre d’échecs. Une mesure simple, mais redoutablement efficace contre les attaques automatisées.
4. Installez un certificat SSL
Le HTTPS n’est plus une option. Il chiffre les échanges entre votre serveur et les visiteurs, protège les données de connexion et renforce la confiance de vos utilisateurs. La plupart des hébergeurs proposent aujourd’hui des certificats SSL gratuits via Let’s Encrypt. Si votre site est encore en HTTP, c’est à corriger en priorité.
5. Réalisez des sauvegardes régulières
Aucune sécurité n’est infaillible à 100 %. En cas d’incident, une sauvegarde récente peut vous éviter des jours de travail perdus. L’idéal : des sauvegardes automatiques quotidiennes, stockées hors du serveur principal.
- Des plugins comme UpdraftPlus ou BackWPup automatisent ce processus.
- Testez vos sauvegardes régulièrement pour vous assurer qu’elles sont bien exploitables.
6. Sécurisez l’accès à votre fichier wp-config.php
Le fichier wp-config.php contient les informations sensibles de votre site (identifiants base de données, clés de sécurité…). Il est possible de le déplacer un niveau au-dessus de la racine du site, et d’en restreindre l’accès via le fichier .htaccess. Une manipulation technique, mais qui mérite d’être réalisée dès la mise en production.
7. Choisissez un hébergement de qualité
La sécurité ne repose pas uniquement sur WordPress lui-même. Un hébergeur sérieux propose des pare-feux applicatifs (WAF), une surveillance des intrusions, des environnements PHP à jour et un support réactif en cas d’incident. Chez Teelo, nous orientons systématiquement nos clients vers des hébergeurs qui prennent la sécurité au sérieux.
8. Installez un plugin de sécurité
Des solutions comme Wordfence Security, iThemes Security ou Sucuri offrent une surveillance en temps réel, des analyses de malwares, des alertes et des outils de durcissement de la configuration. Ils ne remplacent pas les bonnes pratiques, mais constituent un filet de sécurité supplémentaire précieux.
