WordPress sécurisé pour une entreprise : le guide complet

« WordPress, ce n’est pas assez sécurisé pour une entreprise sérieuse. » Cette phrase revient sans cesse, portée par des statistiques alarmistes sorties de leur contexte. La réponse courte : un WordPress sécurisé est tout à fait possible, à condition d’être correctement maintenu.

En tant que freelance WordPress en Alsace, j’applique ces mesures de sécurité sur chacun de mes projets à Strasbourg, à Haguenau et dans le Kochersberg. Dans cet article, vous allez comprendre pourquoi WordPress est ciblé par les pirates, quelles sont les 5 failles les plus fréquentes, et surtout les 15 actions concrètes pour protéger durablement votre site.

Les stats qui font peur (et leur contexte)

Les chiffres bruts, d’abord :

• Environ 30 000 sites sont piratés chaque jour dans le monde, tous CMS confondus (Source : Astra Security / Patchstack, 2026)
• 43 % de ces piratages ciblent des petites entreprises (Source : Astra Security, 2026)

Maintenant, le contexte qui change tout :

• WordPress propulse 41,5 % du web mondial (Source : W3Techs, juillet 2026) → c’est une cible massive, pas une cible vulnérable
• 90 % des vulnérabilités WordPress proviennent des plugins, 6 % des thèmes, et seulement 4 % du cœur de WordPress (Source : WPScan, 2026)
• Les sites piratés sont très majoritairement des sites négligés, sans aucune mise à jour depuis plusieurs mois

C’est comme dire que les voitures sont dangereuses parce qu’il y a des accidents : la majorité des accidents sont liés à l’erreur humaine, pas à un défaut de fabrication.

Pourquoi WordPress est ciblé par les pirates

Quatre raisons expliquent pourquoi les pirates visent WordPress en priorité :

• Volume : 41,5 % du web = retour sur investissement maximal pour les hackers
• Automatisation : des bots scannent en masse les failles connues sur des millions de sites
• Plugins populaires : une faille dans un plugin utilisé par 5 millions de sites, c’est un jackpot
• Négligence : beaucoup de sites WordPress sont abandonnés, sans aucune maintenance

WordPress n’est pas plus vulnérable, il est plus ciblé parce que plus répandu, exactement comme Windows face à Mac.

Les 5 failles de sécurité les plus courantes

#1 — Plugins non mis à jour

Cause numéro un des piratages : un plugin populaire non corrigé est une porte ouverte connue de tous les hackers. Solution : mises à jour hebdomadaires et suppression immédiate des plugins inutilisés. Pour aller plus loin, notre article détaille l’utilité, les limites et les risques des plugins WordPress →.

#2 — Mots de passe faibles

« admin/admin123 » est encore trop fréquent : un bot teste des milliers de combinaisons par heure. Solution : 12+ caractères, unique pour chaque compte, gestionnaire de mots de passe (Bitwarden, 1Password).

#3 — Hébergement bas de gamme

Un mutualisé surchargé sans isolation entre les sites : si un voisin se fait pirater, vous aussi. Solution : hébergeur professionnel avec isolation CloudLinux (O2Switch, OVH VPS).

#4 — Thèmes piratés (« nulled »)

Un thème premium téléchargé gratuitement, c’est une porte dérobée incluse dans 90 % des cas : économiser 50 € sur un thème pour risquer 1 500 € de réparation. Solution : uniquement des sources officielles (WordPress.org, ThemeForest, site éditeur).

#5 — Pas de certificat SSL

Sans HTTPS, les données circulent en clair entre le visiteur et votre serveur. Solution : HTTPS obligatoire, gratuit avec Let’s Encrypt chez tous les bons hébergeurs.

15 actions pour sécuriser votre WordPress

1. Mises à jour hebdomadaires : WordPress core + plugins + thème. Automatiser les mises à jour mineures.
2. Mots de passe forts : 12+ caractères, majuscules, chiffres, symboles. Différent pour chaque compte.
3. Authentification 2FA : application Google Authenticator ou Authy. Plugin : WP 2FA.
4. Hébergement professionnel : serveur en France, isolation entre comptes, support réactif. Recommandé : O2Switch.
5. Certificat SSL/HTTPS : gratuit avec Let’s Encrypt. Obligatoire en 2026.
6. Plugin de sécurité : Wordfence (gratuit suffit pour 90 % des cas) ou iThemes Security.
7. Sauvegardes automatiques quotidiennes : UpdraftPlus + stockage cloud (Google Drive, Dropbox).
8. Limitation des tentatives de connexion : blocage après 3 à 5 échecs. Inclus dans Wordfence.
9. Suppression de l’utilisateur « admin » : créer un autre compte administrateur, supprimer celui par défaut.
10. Permissions fichiers correctes : 644 pour les fichiers, 755 pour les dossiers, 400 pour wp-config.php.
11. Désactivation de l’éditeur de fichiers : ajouter define('DISALLOW_FILE_EDIT', true); dans wp-config.php.
12. Masquer la version WordPress : évite de révéler une version potentiellement vulnérable.
13. Scan malware régulier : hebdomadaire minimum. Wordfence le fait automatiquement.
14. Monitoring uptime : alerte immédiate si le site tombe. Outil gratuit : UptimeRobot.
15. Plan de réponse à incident : savoir exactement quoi faire si le site est piraté, avec une checklist prête.

Conseil SiteParSteph : appliquer ces 15 mesures couvre l’essentiel des risques courants. La plupart sont configurables en 2 à 3 heures, je les applique systématiquement sur mes projets en Alsace.

Plugins de sécurité recommandés

Voici les principales solutions du marché, avec leur positionnement :

Pour la grande majorité des PME, Wordfence gratuit suffit largement. Réservez la version Premium aux sites e-commerce qui gèrent des données sensibles.

Que faire si votre site est piraté ?

Une procédure claire évite de perdre du temps en pleine crise :

1. Isoler immédiatement : passer en mode maintenance ou bloquer l’accès via .htaccess, pour éviter la propagation.
2. Contacter l’hébergeur : il dispose souvent d’outils de détection et de nettoyage côté serveur.
3. Restaurer une sauvegarde propre : choisir une date avant l’infection, d’où l’importance vitale des sauvegardes quotidiennes.
4. Scanner avec Wordfence ou Sucuri : identifier tous les fichiers infectés si aucune sauvegarde propre n’est disponible.
5. Changer tous les mots de passe : WordPress, FTP, hébergement, base de données, sans exception.
6. Tout mettre à jour : WordPress, plugins, thème, puis rescanner pour confirmer le nettoyage.

Ce que je constate le plus souvent : un site piraté après plusieurs mois sans mise à jour coûte presque toujours plus cher à réparer (jours hors ligne, perte de clients, facture de remise en état) qu’une année complète de maintenance préventive.

Sauvegardes : votre filet de sécurité ultime

Les règles d’or des sauvegardes :

• Fréquence : quotidienne minimum, temps réel pour les sites e-commerce
• Stockage : externe, jamais sur le même serveur (Google Drive, Dropbox, Amazon S3)
• Rétention : 30 jours minimum d’historique
• Test de restauration : une fois par trimestre, pour vérifier que ça fonctionne réellement

Plugin recommandé : UpdraftPlus (gratuit pour l’usage basique, 70 €/an en version premium pour plus d’options et de destinations de stockage).

Conseil SiteParSteph : une sauvegarde non testée n’est pas une sauvegarde. Je teste la restauration une fois par trimestre sur tous mes contrats de maintenance.

Lire aussi :
Les plugins WordPress indispensables pour un site pro →