Le risque zéro n’existe pas, mais quelques bonnes pratiques permettent de sécuriser un site WordPress et de le mettre à l’abri de l’essentiel. Hébergeur, mises à jour, extensions, comptes administrateurs, extension de sécurité, sauvegardes, je reprends chaque point. Je vous dis ensuite quoi faire si votre site est piraté malgré tout.
WordPress est-il fiable ? Oui. C’est le logiciel de création de sites le plus utilisé au monde, avec près de 40 % de tous les sites web d’après W3Techs (relevé du 24 octobre 2026).
Depuis l’arrivée des IA, WordPress se connecte aussi à elles, ce qui permet d’agir sur votre site et de le contrôler grâce à elles. Vous gardez la main, parce que vous disposez d’une interface où vous agissez directement et où vous vérifiez ce que l’IA a fait. Avec ou sans IA, vous pilotez tout.
Si vous préférez ne pas sécuriser votre site WordPress vous-même, vous pouvez confier la sécurité de votre site à une maintenance.
Les bonnes pratiques de ce guide sont aussi dans ma vidéo, sauf la partie sur le piratage, qui n’y figure pas.
Sécuriser un site WordPress commence par un hébergeur qui sauvegarde chaque jour
La première sécurité d’un site, c’est son hébergeur. Hostinger, dont je suis partenaire officiel, est actuellement l’un des meilleurs hébergeurs web, et je le recommande souvent. Pour un site ou une boutique, je conseille au minimum le forfait qui sauvegarde votre site tous les jours.
Je l’explique dans ma vidéo, à partir de 33 secondes : je l’y appelle Business, et Hostinger le nomme aujourd’hui Unlimited sur sa page de commande.
En cas de problème, vous restaurez le site dans l’état de la dernière sauvegarde. C’est très important. Le forfait d’entrée, Premium, ne sauvegarde qu’une fois par semaine (page de commande de Hostinger consultée le 23 octobre 2026). Pour moi, c’est un point négatif, et je le dis dans une autre vidéo.
Vérifiez aussi le SSL, ce petit cadenas qui affiche « connexion sécurisée » dans la barre d’adresse. Hostinger le propose dans tous ses forfaits. Le code COM64 vous donne 10 % de réduction. Pour les montants, j’ai détaillé ce que coûtent l’hébergement et le nom de domaine dans un autre article.
Garder peu d’extensions et supprimer celles qui ne servent pas
N’installez que des extensions qui ont un rôle, une vraie fonction dans votre site. Sur le site de démonstration de ma vidéo, à partir de 2 min 29 s, l’hébergeur en avait préinstallé quatre, et je n’en utilise aucune sur mes projets. Je les désactive, puis je pense à les supprimer, parce que l’idée est de ne pas garder d’extensions inactives qui ne servent à rien.
Tout mettre à jour : WordPress, extensions, thèmes, traductions
Dans le tableau de bord, l’onglet Mises à jour rassemble tout, comme je le montre dans ma vidéo, à partir de 3 min 25 s. Commencez par WordPress lui-même, le logiciel maître, la première mise à jour et la plus importante.
Ses mises à jour apportent parfois des fonctionnalités, mais très souvent de la sécurité. C’est un peu le point faible de WordPress, elles sont fréquentes, donc il faut mettre à jour son site régulièrement.
Juste en dessous viennent les extensions, puis les thèmes, qui ont eux aussi des mises à jour de sécurité. Terminez par les traductions. Elles ne touchent pas la sécurité, mais c’est dans votre intérêt d’avoir un site entièrement en français.
Je sais que c’est un peu fatigant. Mon astuce, c’est de donner à votre site des fonctions qui vous obligent à y revenir. Chez moi, WordPress gère mes rendez-vous et mon suivi de clients. Je m’y connecte presque tous les jours, et quand je vois une mise à jour, je la fais.
Par contre, je déconseille toujours les mises à jour automatiques. Le premier problème, c’est qu’une mise à jour automatique peut créer un conflit entre deux extensions ou avec le thème, et provoquer des bugs d’affichage. Le deuxième, c’est que lorsque tout se fait seul, on a tendance à ne plus aller sur son site. Résultat, ce sont vos propres clients qui constatent les bugs, et c’est une image pas du tout professionnelle.
Choisir un thème populaire et supprimer les autres
Dans Apparence puis Thèmes, supprimez les thèmes inutilisés. Un thème inactif est une faille de sécurité. Je le montre dans ma vidéo, à partir de 6 min 10 s.
Je vous recommande de garder un seul thème natif de WordPress, même inactif, c’est-à-dire un de ceux que WordPress installe lui-même. Si votre thème principal pose un problème, vous basculez dessus le temps de faire les corrections. C’est vous qui voyez, chaque école est différente.
Choisissez ensuite un thème utilisé par beaucoup de sites. Astra, par exemple, est très populaire. WordPress.org affiche plus d’un million d’installations actives (relevé du 23 octobre 2026), et il n’affiche pas au-delà. Pour lire ce chiffre, allez sur wordpress.org, jamais WordPress.com, et tapez fr.wordpress.org pour la version française.
Un thème qui compte moins de 10 installations actives, c’est un développeur sans client. Il n’améliorera plus son thème, et s’il y a une faille, vous n’aurez pas de mise à jour.
👉 Voir le thème Astra sur WordPress.org
Dernier point, qui vient de la documentation de WordPress et non de ma vidéo. Prenez vos extensions et vos thèmes sur WordPress.org ou chez des éditeurs connus, jamais d’une source douteuse. C’est le conseil de « Hardening WordPress », le guide de renforcement de la sécurité des développeurs de WordPress.
Limiter les comptes administrateurs et protéger leurs identifiants
Dans Comptes, regardez combien de personnes ont un compte, et surtout combien ont le statut d’administrateur. Il existe cinq rôles. L’abonné ne peut strictement rien faire, le contributeur a quelques fonctions, l’auteur rédige des articles, l’éditeur modifie et crée des pages, et l’administrateur est le rôle le plus élevé. Je le montre dans ma vidéo, à partir de 12 min 23 s.
Ne donnez jamais le statut d’administrateur à quelqu’un que vous ne connaissez pas, ni à quelqu’un en qui vous n’avez pas confiance. Et ce statut ne se garde pas à vie. Si le travail est éphémère, vous le donnez, puis vous le retirez une fois le travail fait. Un administrateur peut vous supprimer de votre propre site et vous prendre en otage pour vous redonner un accès.
Faites attention aux supports d’extension ou de thème, qui demandent parfois un accès administrateur. Si vous leur en créez un, pensez à le supprimer ensuite. Côté commentaires, évitez que les visiteurs puissent créer un compte, parce qu’un compte donne déjà un accès à votre site.
Deux réglages de plus viennent de la documentation de WordPress, pas de ma vidéo. N’utilisez ni « admin » ni « webmaster » comme identifiant du compte administrateur, parce que ce sont les premiers noms que les attaques essaient, selon « Hardening WordPress ». Donnez aussi à chaque compte un mot de passe long et unique, comme le recommande la page de WordPress sur les attaques par force brute.
Quelle est la meilleure extension de sécurité pour WordPress ?
Une extension de sécurité n’est pas toujours obligatoire, mais elle va plus loin. Celle que je recommande à tous les élèves que j’accompagne et sur tous mes projets est gratuite et très simple à régler.
Dans ma vidéo, à partir de 15 min 54 s, elle s’appelle Solid Security. WordPress.org la nomme aujourd’hui Kadence Security, à la même adresse, avec plus de 700 000 installations actives (relevé du 23 octobre 2026). Je pense que c’est l’une des meilleures extensions de sécurité.
Elle scanne aussi votre site, gratuitement. Si vous préférez régler ces points avec moi, je vous accompagne en séance. Ces mêmes réglages se posent dès la création d’une Boutique en ligne, et je les montre pour sécuriser une boutique WooCommerce dès sa création.
👉 Voir l’extension Kadence Security sur WordPress.org
Les réglages de base : scan, force brute et mots de passe
Après l’installation, l’extension vous pose des questions sur votre site, boutique, vitrine, association ou blog, puis propose un premier scan gratuit. J’active le scan régulier, c’est gratuit. Elle recommande ensuite la protection contre la force brute, c’est-à-dire que si quelqu’un essaie plusieurs mots de passe pour entrer, il est bloqué automatiquement pendant un moment.
Activez aussi l’obligation d’un mot de passe fort. C’est vraiment très important, parce que j’ai vu des mots de passe dans l’ordre alphabétique ou dans l’ordre des chiffres, et ça existe. Troisième réglage, la double authentification, que toutes les extensions de sécurité ne proposent pas gratuitement. À la connexion, on vous demande un code reçu par e-mail ou par une application.
Pour finir les réglages, vous choisissez quels rôles peuvent régler l’extension (par défaut, seuls les administrateurs), puis qui reçoit les notifications de sécurité. Si le site est le vôtre, c’est vous. Quelques onglets restent en anglais, mais l’essentiel est en français. Les réglages sont montrés dans ma vidéo, à partir de 17 min 5 s.
Désactiver XML-RPC et déplacer la page de connexion
Dans les réglages avancés, vous pouvez désactiver XML-RPC. Je ne rentre pas dans le détail, mais cette fonction est beaucoup utilisée par les robots pour tenter des mots de passe sur votre site. Si vous ne savez pas à quoi elle sert, autant la désactiver. Le passage est dans ma vidéo, à partir de 22 min 53 s.
La page de WordPress sur les attaques par force brute le confirme, `xmlrpc.php` est une cible fréquente et elle conseille de le désactiver si votre site ne s’en sert pas. Pensez à enregistrer, et regardez en haut de l’écran pour voir « Réglage enregistré ».
Autre astuce que peu de gens connaissent, déplacer la page de connexion. Par défaut, il suffit de taper le nom de domaine suivi de /wp-login pour arriver sur la page de connexion d’un site WordPress, et tout le monde le sait. L’extension vous permet de la remplacer par une adresse à vous. Choisissez un mot qui vous est propre, ou une composition de mots et de chiffres, mais jamais « login », « admin » ni « connexion ».
Ensuite, l’ancienne adresse affiche « page introuvable ». Vous êtes le seul à connaître la bonne. C’est gratuit, et ça marche très bien. Une réserve, que fait « Hardening WordPress » : cacher une adresse ne suffit pas à protéger un site, c’est une couche de plus et non une protection à elle seule.
Activer la double authentification
À votre première connexion après l’activation, l’extension vous demande de paramétrer la double authentification. Vous pouvez utiliser une application mobile, mais je vous recommande l’e-mail. Si vous travaillez votre site, vous avez forcément accès à votre boîte de messagerie. Je le montre dans ma vidéo, à partir de 28 min 45 s.
Vous recevez un code par e-mail, que vous copiez et collez la première fois. Les fois suivantes, le message contient un bouton qui vous connecte automatiquement. L’extension vous prévient aussi par e-mail que l’adresse de connexion a changé. C’est une couche de sécurité en plus, et elle ne vous prend que quelques secondes.
Faire sa propre sauvegarde avec WPvivid
Même si Hostinger sauvegarde votre site chaque jour, je vous recommande d’avoir votre propre sauvegarde. Dans votre hPanel, vous avez accès à la date et à l’heure exactes de chaque sauvegarde de Hostinger, quotidienne ou hebdomadaire selon votre forfait, et vous restaurez celle qui convient le mieux à votre besoin.
Par contre, cette heure, vous ne la choisissez pas. Si vous avez travaillé dans la journée, vous voulez garder la dernière version parfaite de votre site, et c’est à vous de la sauvegarder.
Je recommande souvent WPvivid, une extension gratuite qui dépasse les 900 000 installations actives (relevé du 23 octobre 2026). Dans Sauvegarder et restaurer, vous lancez la sauvegarde du site complet, thème, extensions, design, médiathèque et contenus. Je coche « cette sauvegarde peut être supprimée uniquement manuellement ».
Vous la téléchargez ensuite sur votre ordinateur ou sur une clé USB, et vous la rangez où vous voulez. Tout est dans ma vidéo, à partir de 33 min 18 s.
Mon rythme conseillé, c’est une sauvegarde quotidienne par l’extension et une sauvegarde manuelle au moins une fois par semaine.
Je vous recommande toujours trois copies, une dans le site, une dans le cloud et une à l’extérieur, enregistrée sur le disque dur de votre ordinateur. Pourquoi ? Tout simplement parce que si le site est inaccessible, la sauvegarde rangée dedans l’est aussi. Il vous reste alors celle du cloud ou celle de votre ordinateur. À cela s’ajoute une quatrième copie, entièrement gérée par Hostinger.
👉 Voir l’extension WPvivid sur WordPress.org
Que faire si votre site WordPress est piraté ?
Pour mes clients, j’ai toujours des sauvegardes quotidiennes et des sauvegardes manuelles. Sur un site piraté, je commence par analyser la faille par laquelle le pirate est entré, pour pouvoir restaurer le site. Je restaure ensuite une sauvegarde, puis je ferme les portes qu’il a prises et je renforce la sécurité.
Mais en appliquant les bonnes méthodes dès la création du site, vous fermez une grande partie des risques avec des gestes simples : ajouter une extension de sécurité, déplacer la page de connexion et établir des sauvegardes quotidiennes automatiques.
Les gestes qui suivent ne viennent pas de ma vidéo, qui n’en parle pas. Ils reprennent les conseils de deux sources officielles. La première est la documentation de WordPress.org. La seconde est la fiche réflexe de Cybermalveillance.gouv.fr, le dispositif d’assistance aux victimes.
Comment savoir si votre site WordPress est piraté ?
Certains signes sont clairs. Votre site est signalé comme dangereux par Google ou Bing, ou votre hébergeur l’a désactivé. Des visiteurs vous écrivent que leur antivirus bloque votre site. Vous découvrez des comptes que vous n’avez pas créés. Parfois, c’est visible dès l’ouverture du site : l’apparence a changé ou un message du pirate s’affiche.
Comment récupérer votre site WordPress : sept gestes dans l’ordre
Les deux sources ne numérotent pas les gestes. Voici l’ordre dans lequel je les range.
- Gardez votre calme, et notez ce que vous constatez, l’heure et ce que vous avez fait récemment, par exemple l’installation d’une extension. Si vous envisagez de porter plainte, conservez les preuves, au besoin avec l’aide d’un professionnel : la fiche de Cybermalveillance.gouv.fr cite les journaux du serveur.
- Prévenez votre hébergeur, pour qu’il prenne les mesures nécessaires et qu’il vérifie si le piratage touche aussi d’autres sites.
- Scannez votre site, avec le scan gratuit de l’extension de sécurité présentée plus haut, puis scannez aussi votre ordinateur, car l’attaque commence parfois par lui.
- Changez tous vos accès, l’administration WordPress, l’hébergement, le transfert de fichiers et la base de données, avec des mots de passe longs, complexes et uniques.
- Faites une dernière copie de l’état actuel, même infecté, avant de nettoyer. Puis restaurez une sauvegarde d’avant le piratage, ou nettoyez le site.
- Mettez tout à jour, puis changez une seconde fois les mots de passe, une fois le site propre.
- Si Google signale votre site, corrigez tout, puis cliquez sur « Demander un examen » dans le rapport sur les problèmes de sécurité de la Search Console. L’aide de Google annonce une réponse en plusieurs jours, voire plusieurs semaines.
Retrouver et retirer le code malveillant est la partie la plus difficile. Si vous n’êtes pas à l’aise, faites-vous aider par un professionnel. Cybermalveillance.gouv.fr propose un diagnostic pour en trouver un.
Si des données personnelles sont touchées et que les personnes concernées courent un risque, notifiez l’incident à la Commission nationale de l’informatique et des libertés (CNIL). Elle demande de le faire dans les meilleurs délais, avec une première notification sous 72 heures si possible, d’après sa page sur la notification. Vous pouvez aussi déposer plainte.
Vous n’avez plus accès à l’administration WordPress : que faire ?
Un pirate prend parfois le contrôle du compte administrateur. Rassurez-vous, ce n’est pas une raison pour paniquer. Le plus simple, c’est le lien « Mot de passe oublié ? » de la page de connexion. Si le message n’arrive pas parce que l’adresse du compte a été changée, votre hébergeur met à votre disposition des outils comme phpMyAdmin, qui donnent accès à la base de données sans passer par l’écran d’administration.
Vous y modifiez l’adresse e-mail du compte, puis vous cliquez sur « Mot de passe oublié » et vous attendez le message. La documentation pour réinitialiser votre mot de passe détaille ces étapes.
💡 Bon à savoir ! La maintenance WordPress de COM 64 coûte 97 € TTC par mois et par site, sans engagement. Elle comprend les mises à jour, les sauvegardes, la sécurité et la surveillance.
Questions fréquentes sur la sécurité de WordPress
Comment tester la sécurité de mon site WordPress ?
Dans l’extension de sécurité, le scan est gratuit : je lance un premier scan à l’installation, puis j’active le scan régulier. Ouvrez ensuite l’onglet Mises à jour du tableau de bord et vérifiez qu’il ne reste rien en attente, ni pour WordPress, ni pour les extensions, ni pour les thèmes. Les réglages de base sont décrits plus haut.
Comment appelle-t-on le piratage d’un site web ?
On parle de défiguration quand le pirate modifie l’apparence de votre site, ce qui montre qu’il en a pris le contrôle. C’est la définition de la fiche de Cybermalveillance.gouv.fr citée plus haut. Le mot ne couvre pas tous les piratages, puisque d’autres signes existent, comme des comptes inconnus ou une alerte de Google, décrits plus haut.
Un petit site vitrine intéresse-t-il vraiment les pirates ?
Oui, parce que ce sont des robots qui essaient des mots de passe sur les sites, qu’ils soient petits ou grands. XML-RPC est beaucoup utilisé par ces robots, et la page de connexion que tout le monde connaît est leur première porte. C’est pour cela que je vous fais désactiver XML-RPC et déplacer la page de connexion.
Faut-il un antivirus pour un site WordPress ?
Pour le site, l’extension de sécurité propose un scan gratuit, et c’est ce que j’utilise. L’antivirus de votre ordinateur compte aussi, puisque la documentation de WordPress.org conseille de scanner le site et l’ordinateur en cas de piratage.
Qui peut nettoyer un site WordPress piraté ?
Un professionnel, si vous n’êtes pas à l’aise pour retrouver et retirer le code malveillant. Cybermalveillance.gouv.fr propose un diagnostic pour en trouver un.
Je nettoie moi-même les sites piratés, sous certaines conditions. Ce n’est généralement pas un client de la maintenance qui m’appelle, mais quelqu’un qui fait appel à une intervention ponctuelle de débogage (la correction des bugs), de nettoyage et de renforcement de la sécurité.
Aucun site suivi par la maintenance de COM 64 n’a été piraté à ce jour, car nous appliquons une procédure de sécurité qui a fait ses preuves. Les sites piratés viennent donc d’ailleurs. Pour ceux qui disposent du forfait de maintenance mensuelle, nous assurons ensuite le suivi de la maintenance, des mises à jour et de la sécurité.
Conclusion
Pour finir, je dirais que le risque zéro n’existe pas, mais que quelques gestes font l’essentiel. Un hébergeur qui sauvegarde chaque jour, peu d’extensions, tout à jour, des comptes administrateurs comptés, une extension de sécurité bien réglée et votre propre sauvegarde. Si malgré tout votre site est piraté, suivez les gestes dans l’ordre. Et si vous préférez déléguer, vous pouvez réserver un échange gratuit de 30 minutes.
