Le guide ultime de la sécurité WordPress – étape par étape (2025)

Tous les propriétaires de sites WordPress que nous connaissons ont eu ce moment de panique lorsqu'ils réalisent que leur site web pourrait être vulnérable aux pirates. Nous avons appris cette leçon à nos dépens au début de notre parcours lorsque nous avons vu ce que les violations de sécurité pouvaient faire aux entreprises.

C'est pourquoi, au fil des ans, nous avons réussi à protéger WPBeginner contre des attaques répétées en utilisant les meilleurs plugins de sécurité et en suivant les meilleures pratiques de sécurité WordPress.

La sécurité WordPress ne doit pas être compliquée ou coûteuse. La plupart des propriétaires de sites pensent qu'ils doivent engager des experts ou dépenser des milliers en outils de sécurité, mais ce n'est tout simplement pas vrai. Avec la bonne approche et des stratégies éprouvées, vous pouvez protéger votre site web comme nous protégeons le nôtre.

Nous avons passé des années à tester des plugins de sécurité, à mettre en œuvre les meilleures pratiques et à aider des milliers d'utilisateurs de WordPress à sécuriser leurs sites. Dans ce guide, nous vous guiderons à travers chaque étape que nous utilisons pour garder notre site en sécurité, afin que vous puissiez dormir paisiblement en sachant que votre site WordPress est protégé.

Bien que le logiciel de base de WordPress soit très sécurisé et audité régulièrement par des centaines de développeurs, il reste encore beaucoup à faire pour garder votre site sécurisé.

Chez WPBeginner, nous pensons que la sécurité ne consiste pas seulement à éliminer les risques. Il s'agit aussi de réduire les risques. En tant que propriétaire de site web, vous pouvez faire beaucoup pour améliorer la sécurité de votre WordPress, même si vous n'êtes pas un expert en technologie.

C'est pourquoi nous avons élaboré une liste de contrôle de sécurité WordPress avec des étapes concrètes que vous pouvez suivre pour protéger votre site web contre les vulnérabilités de sécurité.

Pour vous faciliter la tâche, nous avons créé une table des matières pour vous aider à naviguer facilement dans notre guide ultime de la sécurité WordPress.

Table des matières

Bases de la sécurité WordPress

• Pourquoi la sécurité WordPress est importante
• Garder WordPress à jour
• Utilisez des mots de passe forts et des autorisations utilisateur
• Comprendre le rôle de l'hébergement WordPress

Sécurité WordPress en quelques étapes simples (sans codage)

• Installer une solution de sauvegarde WordPress
• Installer un plugin de sécurité WordPress réputé
• Activer un pare-feu d'application Web (WAF)
• Déplacer votre site WordPress vers SSL/HTTPS

Sécurité WordPress pour les utilisateurs autonomes

• Changer le nom d'utilisateur administrateur par défaut
• Désactiver l'édition de fichiers
• Désactiver l'exécution de fichiers PHP dans certains répertoires WordPress
• Limiter les tentatives de connexion
• Ajouter l'authentification à deux facteurs (2FA)
• Changer le préfixe de la base de données WordPress
• Protéger par mot de passe la page d'administration et de connexion WordPress
• Désactiver l'indexation et la navigation des répertoires
• Désactiver XML-RPC dans WordPress
• Déconnexion automatique des utilisateurs inactifs dans WordPress
• Ajouter des questions de sécurité à la connexion WordPress
• Analyser WordPress à la recherche de logiciels malveillants et de vulnérabilités
• Réparer un site WordPress piraté

Prêt ? Commençons.

Pourquoi la sécurité du site Web est importante

Un site WordPress piraté peut causer de graves dommages aux revenus et à la réputation de votre entreprise. Les pirates peuvent voler des informations et des mots de passe d'utilisateurs, installer des logiciels malveillants et même distribuer des logiciels malveillants à vos utilisateurs.

Pire encore, vous pourriez vous retrouver à payer une rançon aux pirates simplement pour retrouver l'accès à votre site Web.

Chaque jour, Google avertit 12 à 14 millions d'utilisateurs qu'un site Web qu'ils essaient de visiter peut contenir des logiciels malveillants ou voler des informations.

De plus, Google met sur liste noire plus de 10 000 sites Web chaque jour pour cause de logiciels malveillants ou de phishing.

Tout comme les propriétaires d'entreprises ayant un emplacement physique sont responsables de la protection de leurs biens, les propriétaires d'entreprises en ligne doivent accorder une attention particulière à la sécurité de leur WordPress.

[Retour en haut ↑]

Garder WordPress à jour

WordPress est un logiciel open-source et est régulièrement entretenu et mis à jour. Par défaut, WordPress installe automatiquement les mises à jour mineures.

Pour les versions majeures, vous devez initier manuellement la mise à jour.

WordPress est également livré avec des milliers de plugins et de thèmes que vous pouvez installer sur votre site Web. Ces plugins et thèmes sont maintenus par des développeurs tiers, qui publient régulièrement des mises à jour également.

Ces mises à jour WordPress sont cruciales pour la sécurité et la stabilité de votre site WordPress. Vous devez vous assurer que votre cœur, vos plugins et votre thème WordPress sont à jour.

[Retour en haut ↑]

Utilisez des mots de passe forts et des autorisations utilisateur

Les tentatives de piratage WordPress les plus courantes utilisent des mots de passe volés. Cependant, vous pouvez rendre cela difficile en utilisant des mots de passe plus forts et uniques pour votre site web.

Nous ne parlons pas seulement de la zone d'administration de WordPress. N'oubliez pas de créer des mots de passe forts pour vos comptes FTP, vos bases de données, vos comptes d'hébergement WordPress et vos adresses e-mail personnalisées qui utilisent le nom de domaine de votre site.

De nombreux débutants n'aiment pas utiliser des mots de passe forts car ils sont difficiles à retenir. La bonne nouvelle est que vous n'avez plus besoin de retenir les mots de passe car vous pouvez simplement utiliser un gestionnaire de mots de passe.

Consultez notre guide sur la gestion des mots de passe WordPress pour plus d'informations.

Une autre façon de réduire le risque est de ne donner accès à votre compte d'administration WordPress à personne, sauf si vous y êtes absolument obligé.

Si vous avez une grande équipe ou des auteurs invités, assurez-vous de bien comprendre les rôles et permissions des utilisateurs dans WordPress avant d'ajouter de nouveaux comptes utilisateurs et auteurs à votre site WordPress.

[Retour en haut ↑]

Comprendre le rôle de l'hébergement WordPress

Votre service d'hébergement WordPress joue le rôle le plus important dans la sécurité de votre site WordPress. Un bon fournisseur d'hébergement mutualisé comme Hostinger, Bluehost, ou SiteGround prend des mesures supplémentaires pour protéger ses serveurs contre les menaces courantes.

Voici quelques exemples des mesures prises par les bonnes sociétés d'hébergement web en arrière-plan pour protéger vos sites web et vos données :

• Ils surveillent en permanence leur réseau pour détecter toute activité suspecte.
• Toutes les bonnes sociétés d'hébergement disposent d'outils pour prévenir les attaques DDoS à grande échelle.
• Ils maintiennent leurs logiciels de serveur, leurs versions PHP et leur matériel à jour pour empêcher les pirates d'exploiter une vulnérabilité de sécurité connue dans une ancienne version.
• Ils disposent de plans de reprise après sinistre et d'accident prêts à être déployés, ce qui leur permet de protéger vos données en cas d'accident majeur.

Sur un plan d'hébergement mutualisé, vous partagez les ressources du serveur avec de nombreux autres clients. Il existe un risque de contamination inter-sites où un pirate peut utiliser un site voisin pour attaquer votre site Web.

En revanche, l'utilisation d'un service d'hébergement WordPress géré offre une plateforme plus sécurisée pour votre site Web. Les sociétés d'hébergement WordPress géré offrent des sauvegardes automatiques, des mises à jour automatiques de WordPress et des configurations de sécurité plus avancées pour protéger votre site Web.

Nous recommandons SiteGround comme notre fournisseur d'hébergement WordPress géré préféré. Ils ont un support réactif, des serveurs rapides et une excellente fiabilité.

Assurez-vous d'obtenir la meilleure offre en utilisant notre coupon SiteGround spécial.

[Retour en haut ↑]

Sécurité WordPress en quelques étapes simples (sans codage)

Nous savons que l'amélioration de la sécurité WordPress peut être une pensée terrifiante pour les débutants, surtout si vous n'êtes pas un expert en technologie. Devinez quoi : vous n'êtes pas seul.

Nous avons aidé des milliers d'utilisateurs WordPress à renforcer la sécurité de leur WordPress.

Nous vous montrerons comment vous pouvez améliorer la sécurité de votre WordPress en quelques clics (aucun codage requis).

Si vous pouvez pointer et cliquer, vous pouvez le faire !

1. Installez une solution de sauvegarde WordPress

Les sauvegardes sont votre première ligne de défense contre toute attaque WordPress. N'oubliez pas que rien n'est sécurisé à 100 %. Si des sites Web gouvernementaux peuvent être piratés, le vôtre aussi.

Les sauvegardes vous permettent de restaurer rapidement votre site WordPress en cas de problème.

Il existe de nombreux plugins de sauvegarde WordPress gratuits et payants que vous pouvez utiliser. La chose la plus importante à savoir concernant les sauvegardes est que vous devez régulièrement enregistrer des sauvegardes complètes du site dans un emplacement distant (pas sur votre compte d'hébergement).

Nous vous recommandons de les stocker sur un service cloud comme Amazon, Dropbox, ou des clouds privés comme Stash.

En fonction de la fréquence à laquelle vous mettez à jour votre site Web, le réglage idéal pourrait être soit une sauvegarde quotidienne, soit des sauvegardes en temps réel.

Heureusement, cela peut être facilement fait en utilisant des plugins comme Duplicator, UpdraftPlus, ou BlogVault. Ils sont tous deux fiables et, plus important encore, faciles à utiliser (aucun codage nécessaire).

Pour plus de détails, consultez notre guide sur comment sauvegarder votre site WordPress.

[Retour en haut ↑]

Installer un plugin de sécurité WordPress réputé

Après les sauvegardes, la prochaine chose à faire est de mettre en place un système d'audit et de surveillance qui suit tout ce qui se passe sur votre site Web.

Cela inclut la surveillance de l'intégrité des fichiers, les tentatives de connexion échouées, l'analyse des logiciels malveillants, et plus encore.

Heureusement, vous pouvez facilement y remédier en installant l'un des meilleurs plugins de sécurité WordPress, comme Sucuri.

Vous devez installer et activer le plugin gratuit Sucuri Security. Pour plus de détails, veuillez consulter notre guide étape par étape sur comment installer un plugin WordPress.

Vous pouvez maintenant aller dans Sucuri Security » Tableau de bord pour voir si le plugin a trouvé des problèmes immédiats avec votre code WordPress.

La prochaine chose à faire est de naviguer vers la page Sucuri Security » Settings et de cliquer sur l'onglet « Hardening ».

Les paramètres par défaut fonctionnent bien pour la plupart des sites Web, vous pouvez donc les activer en cliquant sur le bouton « Apply Hardening » pour chaque option.

Cela vous aide à verrouiller les zones clés que les pirates utilisent souvent dans leurs attaques.

Après le renforcement, les autres paramètres par défaut du plugin sont suffisants pour la plupart des sites Web et ne nécessitent aucune modification.

La seule chose que nous recommandons de personnaliser sont les alertes par e-mail, qui se trouvent dans l'onglet « Alerts » de la page des paramètres.

Par défaut, vous recevrez de nombreuses alertes par e-mail qui peuvent encombrer votre boîte de réception.

Nous vous recommandons d'activer les alertes uniquement pour les actions clés dont vous souhaitez être informé, telles que les modifications de plugins et les nouvelles inscriptions d'utilisateurs.

Ce plugin de sécurité WordPress est très puissant, alors parcourez tous les onglets et paramètres pour voir tout ce qu'il fait, comme l'analyse des logiciels malveillants, les journaux d'audit, le suivi des tentatives de connexion échouées, et plus encore.

Pour plus d'informations, vous pouvez consulter notre avis détaillé sur Sucuri.

Activer un pare-feu d'application Web (WAF)

L'utilisation d'un pare-feu d'application Web (WAF) est le moyen le plus simple de protéger votre site et d'avoir confiance en la sécurité de votre WordPress.

Un pare-feu de site Web bloque tout le trafic malveillant avant même qu'il n'atteigne votre site Web.

• Un pare-feu de site Web au niveau DNS achemine le trafic de votre site Web via ses serveurs proxy cloud. Cela lui permet de n'envoyer que le trafic légitime à votre serveur Web.
• Un pare-feu au niveau de l'application examine le trafic une fois qu'il atteint votre serveur mais avant le chargement de la plupart des scripts WordPress. Cette méthode n'est pas aussi efficace qu'un pare-feu au niveau DNS pour réduire la charge du serveur.

Pour en savoir plus, consultez notre liste des meilleurs plugins de pare-feu WordPress.

Nous avons utilisé Sucuri sur WPBeginner pendant de nombreuses années et nous le recommandons toujours comme l'un des meilleurs pare-feu d'applications Web pour WordPress. Nous sommes récemment passés de Sucuri à Cloudflare car nous avions besoin d'un réseau CDN plus vaste avec des fonctionnalités axées davantage sur les clients d'entreprise.

Vous pouvez lire comment Sucuri nous a aidés à bloquer 450 000 attaques WordPress en un mois.

Le meilleur atout du pare-feu Sucuri est qu'il est également assorti d'une garantie de nettoyage des logiciels malveillants et de suppression des listes noires. Cela signifie que si vous étiez piraté sous leur surveillance, ils garantissent de réparer votre site Web, peu importe le nombre de pages que vous avez.

C'est une garantie assez solide car la réparation de sites Web piratés est coûteuse. Les experts en sécurité facturent normalement plus de 250 $ par heure, alors que vous pouvez obtenir l'ensemble de la suite de sécurité Sucuri pour 199 $ pour toute une année.

Cela dit, Sucuri n'est pas le seul fournisseur de pare-feu au niveau DNS. L'autre concurrent populaire est Cloudflare. Consultez notre comparaison de Sucuri vs. Cloudflare (Avantages et inconvénients).

[Retour en haut ↑]

Déplacer votre site WordPress vers SSL/HTTPS

Le SSL (Secure Sockets Layer) est un protocole qui chiffre le transfert de données entre votre site web et le navigateur de l'utilisateur. Ce chiffrement rend plus difficile pour quelqu'un de fouiner et de voler des informations.

Une fois que vous activez le SSL, l'adresse de votre site web utilisera HTTPS au lieu de HTTP. Vous verrez également un cadenas ou une icône similaire à côté de l'adresse de votre site web dans le navigateur.

Les certificats SSL sont généralement émis par des autorités de certification, et leurs prix commencent à 80 $ pour atteindre des centaines de dollars par an. En raison du coût supplémentaire, la plupart des propriétaires de sites web ont par le passé choisi de continuer à utiliser le protocole non sécurisé.

Pour résoudre ce problème, une organisation à but non lucratif appelée Let’s Encrypt a décidé d’offrir des certificats SSL gratuits aux propriétaires de sites Web. Leur projet est soutenu par Google Chrome, Facebook, Mozilla et de nombreuses autres entreprises.

Il est plus facile que jamais de commencer à utiliser le SSL pour tous vos sites Web WordPress. De nombreuses sociétés d’hébergement proposent désormais un certificat SSL gratuit pour votre site Web WordPress.

Si votre société d’hébergement n’en propose pas, vous pouvez acheter un certificat SSL auprès de Domain.com. Ils ont les meilleures et les plus fiables offres SSL du marché. Le certificat est accompagné d’une garantie de sécurité de 10 000 $ et d’un sceau de sécurité TrustLogo.

Sécurité WordPress pour les utilisateurs autonomes

Si vous faites tout ce que nous avons mentionné jusqu’à présent, alors vous êtes plutôt bien parti.

Mais comme toujours, il y a plus que vous pouvez faire pour renforcer la sécurité de votre WordPress.

Gardez à l’esprit que certaines de ces étapes peuvent nécessiter des connaissances en codage.

Changer le nom d'utilisateur administrateur par défaut

Dans le passé, le nom d’utilisateur administrateur WordPress par défaut était « admin ». Les noms d’utilisateur constituant la moitié des identifiants de connexion, cela facilitait les attaques par force brute pour les pirates.

Heureusement, WordPress a depuis changé cela et vous oblige désormais à sélectionner un nom d’utilisateur personnalisé au moment de l’installation de WordPress.

Cependant, certains installateurs WordPress en 1 clic définissent toujours le nom d’utilisateur administrateur par défaut sur « admin ». Si vous constatez que c’est le cas, il est probablement judicieux de changer votre hébergement Web.

Comme WordPress ne vous permet pas de changer de nom d'utilisateur par défaut, il existe trois méthodes que vous pouvez utiliser pour changer le nom d'utilisateur.

1. Créez un nouveau nom d'utilisateur administrateur et supprimez l'ancien.
2. Utilisez le plugin Username Changer
3. Mettez à jour le nom d'utilisateur depuis phpMyAdmin

Nous avons couvert ces trois méthodes dans notre guide détaillé sur comment changer correctement votre nom d'utilisateur WordPress.

[Retour en haut ↑]

Désactiver l'édition de fichiers

WordPress est livré avec un éditeur de code intégré qui vous permet de modifier vos fichiers de thème et de plugin directement depuis votre zone d'administration WordPress.

Entre de mauvaises mains, cette fonctionnalité peut présenter un risque de sécurité, c'est pourquoi nous recommandons de la désactiver.

Vous pouvez facilement le faire en ajoutant le code suivant à votre fichier wp-config.php ou avec un plugin de snippet de code comme WPCode (recommandé) :

// Disallow file edit
define( 'DISALLOW_FILE_EDIT', true );

Nous vous montrons comment faire cela étape par étape dans notre guide sur comment désactiver les éditeurs de thème et de plugin depuis le panneau d'administration WordPress.

Alternativement, vous pouvez le faire en 1 clic en utilisant la fonctionnalité de renforcement dans le plugin gratuit Sucuri mentionné ci-dessus.

[Retour en haut ↑]

Désactiver l'exécution de fichiers PHP dans certains répertoires WordPress

Une autre façon de renforcer la sécurité de votre WordPress est de désactiver l'exécution des fichiers PHP dans les répertoires où elle n'est pas nécessaire, tels que /wp-content/uploads/.

Vous pouvez le faire en ouvrant un éditeur de texte comme le Bloc-notes et en collant ce code :

<Files *.php>
deny from all
</Files>

Ensuite, vous devez enregistrer ce fichier sous le nom .htaccess et le téléverser dans le dossier /wp-content/uploads/ de votre site web à l'aide d'un client FTP.

Pour une explication plus détaillée, consultez notre guide sur comment désactiver l'exécution de PHP dans certains répertoires WordPress.

Alternativement, vous pouvez le faire en un clic en utilisant la fonctionnalité de renforcement du plugin gratuit Sucuri que nous avons mentionné ci-dessus.

[Retour en haut ↑]

Limiter les tentatives de connexion

Par défaut, WordPress permet aux utilisateurs d'essayer de se connecter autant de fois qu'ils le souhaitent. Cela rend votre site WordPress vulnérable aux attaques par force brute. C'est là que les pirates essaient de casser les mots de passe en essayant de se connecter avec différentes combinaisons.

Cela peut être facilement résolu en limitant le nombre de tentatives de connexion échouées qu'un utilisateur peut effectuer. Si vous utilisez le pare-feu d'application Web mentionné précédemment, cela est automatiquement pris en charge.

Cependant, si vous n'avez pas configuré le pare-feu, vous pouvez continuer en suivant les étapes ci-dessous.

Tout d'abord, vous devez installer et activer le plugin gratuit Limit Login Attempts Reloaded. Pour plus de détails, consultez notre guide étape par étape sur comment installer un plugin WordPress.

Après l'activation, le plugin commencera à limiter le nombre de tentatives de connexion que les utilisateurs peuvent effectuer.

Les paramètres par défaut fonctionneront pour la plupart des sites Web. Cependant, vous pouvez les personnaliser en visitant la page Paramètres » Limit Login Attempts et en cliquant sur l'onglet « Paramètres » en haut. Par exemple, pour vous conformer aux lois RGPD, vous pouvez cocher la case « Conformité RGPD ».

Pour des instructions détaillées, consultez notre guide sur comment et pourquoi limiter les tentatives de connexion dans WordPress.

[Retour en haut ↑]

Ajouter l'authentification à deux facteurs (2FA)

La méthode d'authentification à deux facteurs nécessite 2 étapes différentes pour que les utilisateurs se connectent :

1. La première étape est le nom d'utilisateur et le mot de passe.
2. La deuxième étape vous demande d'utiliser un code provenant d'un appareil ou d'une application en votre possession, auquel les pirates ne peuvent pas accéder, comme votre smartphone.

La plupart des sites web en ligne les plus populaires comme Google, Facebook et Twitter, vous permettent de l'activer pour vos comptes. Vous pouvez également ajouter la même fonctionnalité à votre site WordPress.

Tout d'abord, vous devez installer et activer le plugin WP 2FA – Two-factor Authentication. Pour plus de détails, consultez notre guide étape par étape sur comment installer un plugin WordPress.

Un assistant convivial vous aidera à configurer le plugin, puis un code QR vous sera fourni.

Vous devrez scanner le code QR à l'aide d'une application d'authentification sur votre téléphone, telle que Google Authenticator, Authy ou LastPass Authenticator.

Nous recommandons d'utiliser LastPass Authenticator ou Authy car ils vous permettent de sauvegarder vos comptes dans le cloud. Ceci est très utile si votre téléphone est perdu, réinitialisé ou si vous achetez un nouveau téléphone. Toutes vos connexions de compte seront facilement restaurées.

La plupart de ces applications fonctionnent de manière similaire, et si vous utilisez Authy, il vous suffit de cliquer sur le bouton « + » ou « Ajouter un compte » dans l'application d'authentification.

Cela vous permettra de scanner le code QR sur votre ordinateur à l'aide de l'appareil photo de votre téléphone. Vous devrez peut-être d'abord autoriser l'application à accéder à l'appareil photo.

Après avoir donné un nom au compte, vous pouvez l'enregistrer.

La prochaine fois que vous vous connecterez à votre site Web, le code d'authentification à deux facteurs vous sera demandé après avoir saisi votre mot de passe.

Ouvrez simplement l'application d'authentification sur votre téléphone, et vous verrez un code unique.

Vous pouvez ensuite saisir le code sur votre site Web pour terminer la connexion.

[Retour en haut ↑]

Changer le préfixe de la base de données WordPress

Par défaut, WordPress utilise wp_ comme préfixe pour toutes les tables de votre base de données WordPress.

Si votre site WordPress utilise le préfixe de base de données par défaut, il est plus facile pour les pirates de deviner le nom de votre table. C'est pourquoi nous recommandons de le modifier.

Vous pouvez changer votre préfixe de base de données en suivant notre tutoriel étape par étape sur comment changer le préfixe de la base de données WordPress pour améliorer la sécurité.

[Retour en haut ↑]

Protéger par mot de passe la page d'administration et de connexion WordPress

Normalement, les pirates peuvent accéder à votre dossier wp-admin et à votre page de connexion sans aucune restriction. Cela leur permet d'essayer leurs astuces de piratage ou de lancer des attaques DDoS.

Vous pouvez ajouter une protection par mot de passe supplémentaire au niveau du serveur, ce qui bloquera efficacement ces requêtes.

Suivez simplement nos instructions étape par étape sur comment protéger par mot de passe votre répertoire d'administration WordPress (wp-admin).

[Retour en haut ↑]

Désactiver l'indexation et la navigation des répertoires

Lorsque vous tapez l'adresse d'un de vos dossiers de site Web dans un navigateur Web, la page Web appelée index.html vous sera affichée si elle existe. Si elle n'existe pas, une liste des fichiers de ce dossier vous sera alors affichée. C'est ce qu'on appelle la navigation dans les répertoires.

La navigation dans les répertoires peut être utilisée par les pirates pour découvrir si vous avez des fichiers présentant des vulnérabilités connues, afin qu'ils puissent exploiter ces fichiers pour obtenir un accès.

La navigation dans les répertoires peut également être utilisée par d'autres personnes pour examiner vos fichiers, copier des images, découvrir la structure de vos répertoires et obtenir d'autres informations. C'est pourquoi il est fortement recommandé de désactiver l'indexation et la navigation dans les répertoires.

Vous devez vous connecter à votre site Web en utilisant FTP ou le gestionnaire de fichiers de votre fournisseur d'hébergement. Ensuite, localisez le fichier .htaccess dans le répertoire racine de votre site Web. Si vous ne le voyez pas, consultez notre guide sur pourquoi vous ne trouvez pas le fichier .htaccess dans WordPress.

Après cela, vous devez ajouter la ligne suivante à la fin du fichier .htaccess :

Options -Indexes

N'oubliez pas d'enregistrer et de téléverser le fichier .htaccess sur votre site.

Pour en savoir plus sur ce sujet, consultez notre article sur comment désactiver la navigation dans les répertoires dans WordPress.

[Retour en haut ↑]

Désactiver XML-RPC dans WordPress

XML-RPC est une API WordPress principale qui aide à connecter votre site WordPress avec des applications Web et mobiles. Il est activé par défaut depuis WordPress 3.5.

Cependant, en raison de sa nature puissante, XML-RPC peut amplifier considérablement les attaques par force brute.

Par exemple, si un pirate informatique voulait traditionnellement essayer 500 mots de passe différents sur votre site Web, il devrait faire 500 tentatives de connexion distinctes. Le plugin Limit Login Attempts Reloaded peut intercepter et bloquer cela.

Mais avec XML-RPC, un pirate informatique peut utiliser la fonction system.multicall pour essayer des milliers de mots de passe avec, disons, 20 ou 50 requêtes.

C'est pourquoi si vous n'utilisez pas XML-RPC, nous vous recommandons de le désactiver.

Il existe 3 façons de désactiver XML-RPC dans WordPress, et nous les avons toutes couvertes dans notre tutoriel étape par étape sur comment désactiver XML-RPC dans WordPress.

Alternativement, cela est pris en charge automatiquement si vous utilisez un pare-feu d'application Web (WAF) comme nous l'avons mentionné précédemment.

[Retour en haut ↑]

Déconnexion automatique des utilisateurs inactifs dans WordPress

Les utilisateurs connectés peuvent parfois s'éloigner de l'écran, ce qui présente un risque de sécurité. Quelqu'un peut détourner leur session, changer les mots de passe ou apporter des modifications à leur compte.

C'est pourquoi de nombreux sites bancaires et financiers déconnectent automatiquement un utilisateur inactif. Vous pouvez également configurer une fonctionnalité similaire sur votre site WordPress.

Vous devrez installer et activer le plugin Inactive Logout. Après l'activation, visitez la page Réglages » Inactive Logout pour personnaliser les paramètres de déconnexion.

Définissez simplement la durée et ajoutez un message de déconnexion. Ensuite, n'oubliez pas de cliquer sur le bouton « Enregistrer les modifications » en bas de la page pour enregistrer vos paramètres.

Pour des instructions étape par étape, veuillez consulter notre guide sur comment déconnecter automatiquement les utilisateurs inactifs dans WordPress.

[Retour en haut ↑]

Ajouter des questions de sécurité à l'écran de connexion WordPress

L'ajout d'une question de sécurité à votre écran de connexion WordPress rend encore plus difficile l'accès non autorisé.

Vous pouvez ajouter des questions de sécurité en installant le plugin Two Factor Authentication. Après activation, vous devrez visiter la page Multi-factor Authentication » Two Factor pour configurer les paramètres du plugin.

Cela vous permettra d'ajouter divers types d'authentification à deux facteurs à votre site, y compris des questions de sécurité.

Pour des instructions plus détaillées, consultez notre tutoriel sur comment ajouter des questions de sécurité à l'écran de connexion WordPress.

[Retour en haut ↑]

Analyser WordPress à la recherche de logiciels malveillants et de vulnérabilités

Si vous avez un plugin de sécurité WordPress installé, il vérifiera régulièrement les logiciels malveillants et les signes d'atteintes à la sécurité.

Cependant, si vous constatez une baisse soudaine du trafic sur votre site Web ou des classements de recherche, vous voudrez peut-être rechercher manuellement les logiciels malveillants. Vous pouvez le faire en utilisant votre plugin de sécurité WordPress ou l'un des meilleurs scanners de logiciels malveillants et de sécurité.

L'exécution de ces analyses en ligne est assez simple. Il vous suffit d'entrer l'URL de votre site Web, et leurs robots parcourent votre site pour rechercher les logiciels malveillants et le code malveillant connus.

Gardez à l'esprit que la plupart des scanners de sécurité WordPress ne peuvent que vous avertir si votre site contient des logiciels malveillants. Ils ne peuvent pas supprimer les logiciels malveillants ni nettoyer un site WordPress piraté.

Cela nous amène à la section suivante, le nettoyage des logiciels malveillants et des sites WordPress piratés.

[Retour en haut ↑]

Réparer un site WordPress piraté

De nombreux utilisateurs de WordPress ne réalisent pas l'importance des sauvegardes et de la sécurité du site Web jusqu'à ce que leur site Web soit piraté.

Les pirates installent des portes dérobées sur les sites affectés, et si ces portes dérobées ne sont pas correctement corrigées, votre site Web sera probablement piraté à nouveau.

Pour les utilisateurs aventureux et autonomes, nous avons compilé un guide étape par étape sur la réparation d'un site WordPress piraté.

Cependant, le nettoyage d'un site WordPress peut être très difficile et prendre beaucoup de temps. Notre conseil serait de laisser un professionnel s'en occuper.

Si vous payez pour utiliser le plugin de sécurité Sucuri que nous avons mentionné ci-dessus, la réparation de site piraté est incluse dans le prix.

Sinon, vous pouvez consulter nos recommandations des meilleures agences de support WordPress pour trouver des professionnels qui peuvent réparer votre site piraté pour vous.

[Retour en haut ↑]

FAQ sur la sécurité WordPress

Parce que la sécurité WordPress est si importante, nous recevons régulièrement des questions à ce sujet. Voici les réponses aux questions fréquemment posées sur la protection des sites Web WordPress contre les attaques.

WordPress est-il sûr à utiliser ?

WordPress est conçu pour être sécurisé, surtout si vous le maintenez à jour régulièrement. Cependant, en raison de sa popularité, les pirates ciblent souvent les sites Web WordPress.

Ne vous inquiétez pas, cependant. En suivant des conseils de sécurité simples comme ceux de cet article, vous pouvez réduire considérablement les risques que quelqu'un pirate votre site Web.

Qu'est-ce qui peut mettre mon site Web WordPress en danger ?

Il existe différentes manières dont les pirates tentent d'accéder aux sites Web. Les menaces courantes incluent la devinette de mots de passe, l'installation de logiciels malveillants (malware) et la recherche de failles dans le code de votre site Web pour voler des informations ou en prendre le contrôle.

À quelle fréquence dois-je mettre à jour mon site Web WordPress ?

Maintenir votre site WordPress, vos thèmes et vos plugins à jour est très important. Les nouvelles mises à jour incluent souvent des correctifs pour les problèmes de sécurité. Essayez d'utiliser les mises à jour automatiques ou vérifiez vous-même les mises à jour au moins une fois par semaine et installez-les rapidement.

Ai-je besoin d'un plugin spécial pour la sécurité ?

Vous n'êtes pas obligé d'utiliser un plugin de sécurité, mais ils peuvent rendre votre site web beaucoup plus sûr. Les plugins de sécurité agissent comme des gardes supplémentaires pour votre site web, vous protégeant des pirates et des logiciels malveillants.

Comment savoir si quelqu'un a piraté mon site web ?

Si vous remarquez des choses étranges sur votre site web, cela pourrait être un signe que vous avez été piraté. Cela peut inclure la découverte de nouveaux utilisateurs ou fichiers que vous n'avez pas créés, votre site redirigeant les visiteurs vers d'autres sites web, votre site fonctionnant lentement, ou des avertissements de Google ou de votre hébergeur web.

Que dois-je faire si mon site web est piraté ?

Si vous pensez que votre site web a été piraté, ne paniquez pas, mais agissez rapidement. Vous pouvez contacter votre hébergeur web et demander de l'aide. Vous pouvez également utiliser un plugin de sécurité ou demander à un expert en sécurité de nettoyer votre site web.

Si vous avez une sauvegarde de votre site web, restaurez-la à partir de cette sauvegarde. Assurez-vous de changer tous vos mots de passe, y compris ceux de votre espace d'administration WordPress, de votre base de données et de votre FTP.

Nous espérons que cet article vous a aidé à apprendre les meilleures pratiques pour protéger votre site Web et notre liste de contrôle de sécurité WordPress recommandée. Vous voudrez peut-être aussi consulter notre liste des principales raisons pour lesquelles les sites WordPress sont piratés et nos meilleurs choix de plugins de sécurité WordPress.

Si cet article vous a plu, abonnez-vous à notre chaîne YouTube pour des tutoriels vidéo WordPress. Vous pouvez également nous retrouver sur Twitter et Facebook.