Si vous avez un site WordPress, vous avez probablement déjà reçu ce type de message de votre hébergeur : «Votre hébergement a été suspendu pour activité malveillante.» Ou vous avez découvert que votre site affiche des liens vers des pharmacies en ligne en japonais. Ou Google vous signale que votre site est dangereux.
WordPress représente 43 % de tous les sites web du monde. Cette popularité en fait la cible de choix pour les robots d'attaque automatisés. Mais la bonne nouvelle : la grande majorité des piratages WordPress exploitent des failles connues, évitables avec des mesures simples.
Voici les 5 vecteurs d'entrée les plus fréquents, et ce qu'il faut faire pour chacun.
Vecteur 1 : Plugins et thèmes non mis à jour
C'est la cause n°1 des piratages WordPress, de loin.
Quand une faille est découverte dans un plugin populaire, elle est publiée dans une base de données publique de vulnérabilités (CVE, WPScan…). Dans les heures qui suivent, des robots commencent à scanner le web entier pour trouver des sites qui utilisent encore la version vulnérable.
Un site WordPress avec un plugin non mis à jour depuis 3 mois peut être compromis de cette façon en quelques heures, automatiquement, sans que l'attaquant ne cible spécifiquement votre site.
La protection : activez les mises à jour automatiques pour le core WordPress, les thèmes et les plugins. Dans WordPress : Réglages → Mises à jour automatiques. Pour les plugins, activez la mise à jour automatique individuellement dans Extensions → Extensions installées.
Point d'attention : les plugins abandonnés (dont l'auteur ne publie plus de mises à jour) représentent un risque permanent. Supprimez-les, même s'ils semblent fonctionner. Un plugin qui n'est plus maintenu depuis 2 ans est une porte ouverte.
Vecteur 2 : Mot de passe admin faible ou réutilisé
Les robots testent des combinaisons de mots de passe classiques sur /wp-admin à une vitesse impressionnante. Les listes qu'ils utilisent contiennent des millions d'identifiants tirés de fuites de données réelles.
Si votre mot de passe admin WordPress est le même que celui que vous utilisez pour votre email, votre hébergeur, ou un autre service, et que l'un de ces services a subi une fuite de données, votre mot de passe est peut-être déjà dans ces listes.
La protection : mot de passe admin de 20+ caractères unique, généré aléatoirement et stocké dans un gestionnaire (Bitwarden, 1Password). Et surtout : activez l'authentification à deux facteurs sur le back-office WordPress via un plugin comme WP 2FA ou Solid Security.
En complément : limitez les tentatives de connexion (plugin Limit Login Attempts ou Wordfence) et envisagez de renommer l'URL de connexion (pas /wp-admin standard).
Vecteur 3 : Compte administrateur «admin» par défaut
Lors d'une installation WordPress standard, le premier compte créé s'appelle souvent «admin». Les robots de force brute connaissent ce nom d'utilisateur, ils n'ont plus qu'à trouver le mot de passe.
La protection : si votre compte administrateur s'appelle «admin», créez un nouveau compte administrateur avec un nom d'utilisateur non devinable, transférez-lui les articles existants, et supprimez le compte «admin». Deux minutes de travail.
Vecteur 4 : wp-config.php et fichiers sensibles accessibles
Le fichier wp-config.php contient vos identifiants de base de données. Normalement, WordPress le protège. Mais des sauvegardes (wp-config.php.bak), des erreurs de configuration, ou des plugins de migration peuvent exposer ces informations.
Même chose pour les backups générés par des plugins (fichiers .zip à la racine du site), les logs de debug (/wp-content/debug.log), et les fichiers .env si vous utilisez un framework moderne en parallèle.
La protection : vérifiez régulièrement que ces fichiers ne sont pas accessibles publiquement. Ajoutez des règles de protection dans votre .htaccess. Notre guide sur les fichiers exposés détaille comment faire.
Vecteur 5 : Installations abandonnées
Vous avez créé un second WordPress «pour tester», ou un sous-domaine avec une vieille installation non maintenue ? Ces installations oubliées accumulent des vulnérabilités sans que personne ne les surveille.
Un attaquant qui compromet votre sous-domaine test.votresite.fr a souvent accès aux mêmes ressources serveur que votre site principal, et peut remonter jusqu'à lui.
La protection : faites l'inventaire de toutes vos installations WordPress. Supprimez ce qui n'est plus utilisé. Mettez à jour ce qui l'est encore.
Comment savoir si votre WordPress a déjà été compromis
Cherchez ces signaux :
- Des pages apparaissent dans votre site que vous n'avez pas créées (souvent en japonais, russe, ou avec des liens vers des pharmacies)
- Google Search Console signale des pages suspectes ou des logiciels malveillants
- Votre hébergeur a suspendu votre compte
- Des comptes administrateurs inconnusapparaissent dans Utilisateurs → Tous les utilisateurs
- Des fichiers PHP inconnus apparaissent dans
/wp-content/uploads/ - Des redirections inexplicables se produisent depuis mobile (souvent visibles seulement sur téléphone)
Si vous suspectez une compromission, consultez notre guide de récupération post-piratage →
En résumé : les 5 actions prioritaires
- Activez les mises à jour automatiques (core, thèmes, plugins)
- Changez votre mot de passe admin pour quelque chose de fort et unique
- Activez le 2FA sur le back-office WordPress
- Supprimez les plugins inactifs et abandonnés
- Vérifiez que les fichiers sensibles ne sont pas accessibles publiquement
Ces cinq actions couvrent la majorité des vecteurs d'entrée sur les sites WordPress de PME. Elles prennent environ 2 heures à mettre en place.
Vous voulez un regard professionnel sur votre site WordPress ? Notre guide de sécurité WordPress fournit une checklist complète, ou vous pouvez demander un audit complet à 290€ HT, rapport détaillé avec actions prioritaires livré sous 48h.