Sécuriser WordPress en 2026 : la vraie checklist post-Wordfence

Le mythe du plugin de sécurité miracle

Wordfence, iThemes Security (devenu Solid Security), Sucuri, MalCare : ces plugins ont une utilité réelle mais leur marketing donne une fausse impression. Installer Wordfence Free ne fait PAS de votre WordPress un "site sécurisé". Ça ajoute une couche de détection, c'est tout.

La vraie sécurité WordPress vient d'une combinaison de bonnes pratiques : durcissement du serveur, mises à jour disciplinées, choix des plugins, sauvegardes fiables, mots de passe forts, principe du moindre privilège. Aucune de ces mesures ne coûte cher, mais toutes demandent un peu de méthode.

Cet article n'est pas une pub pour un plugin. C'est ce qu'on fait concrètement en 2026 sur les sites WordPress que je livre.

1. Choisir un hébergeur correct (pas OVH mutualisé à 2€)

L'hébergeur est la première ligne de défense. Un hébergeur bas de gamme (OVH mutualisé, 1&1, Nuxit) met votre site sur un serveur partagé avec des centaines d'autres sites, sans isolation forte. Une seule faille chez un voisin, et tout le serveur peut être compromis.

Choisissez au minimum :

• o2switch, Infomaniak, Kinsta, WP Engine, Cloudways : hébergeurs qui isolent chaque site, patchent leur stack PHP régulièrement, offrent des sauvegardes quotidiennes.
• VPS dédié (Contabo, Hetzner, DigitalOcean) : le meilleur rapport isolation/prix si vous avez la compétence de le configurer.

Comptez 50 à 200€/an pour un hébergement correct. En dessous, vous payez votre site en sécurité.

2. Mettre à jour, systématiquement

Plus de 60% des sites WordPress piratés le sont via une faille dans un plugin ou un thème non à jour. C'est LA cause principale, très loin devant les mots de passe faibles.

Règle : toutes les mises à jour WordPress core, plugins et thèmes doivent être appliquées dans les 7 jours maximum après leur sortie. Activez les auto-updates quand c'est possible :

• WordPress core : auto-update mineur activé par défaut. Activer aussi l'auto-update majeur si votre site n'a pas de dépendance trop custom.
• Plugins critiques (sécurité, backup) : auto-update activé.
• Plugins fonctionnels (formulaires, SEO, cache) : update manuel avec test avant.
• Thème : update après backup, avec vérif visuelle.

3. Bannir les plugins nulled et les thèmes piratés

Les "plugins premium gratuits" trouvés sur des sites pirates (nulledscripts, forums warez) contiennent presque toujours un backdoor. Le business model : quelqu'un modifie un plugin légitime, injecte du code malveillant, et le partage gratuitement pour infecter des centaines de sites.

Un plugin nulled compromet votre site en 24-48h en moyenne. Même chose pour les thèmes premium "gratuits" trouvés en dehors de ThemeForest ou d'un dev connu.

4. Mots de passe forts + gestionnaire

Un mot de passe admin faible ("password123", "prenomnom2020") est cassé en 2 secondes par un bot. Mesures minimales :

• 16 caractères minimum, mélangeant majuscules, minuscules, chiffres, symboles.
• Un mot de passe unique par site (jamais réutilisé).
• Généré et stocké dans un gestionnaire (Bitwarden, 1Password, KeePass).
• Idem pour la base de données, le FTP, le compte hébergeur.

Bonus : renommez l'utilisateur "admin" par défaut. C'est le premier login que les bots essaient. Créez un nouvel utilisateur admin avec un nom aléatoire, puis supprimez l'utilisateur "admin".

5. Authentification à deux facteurs (2FA)

Non négociable en 2026. Un mot de passe fort peut fuiter (leak d'une autre base, phishing). Le 2FA rend l'authentification inaccessible sans le second facteur.

Solutions :

• Wordfence 2FA (intégré à Wordfence Free) : simple à activer, compatible Google Authenticator, Authy, 1Password.
• WP 2FA : plugin dédié, léger, gratuit.
• Miniorange 2FA : plus riche, supporte SMS et clés physiques (YubiKey).

6. Désactiver XML-RPC et bloquer les endpoints inutiles

XML-RPC est un ancien protocole WordPress principalement utilisé par les applications mobiles anciennes. Il est aussi la cible privilégiée des attaques brute-force et DDoS.

Sauf si vous utilisez explicitement Jetpack en mode connecté ou une app mobile WordPress, désactivez-le. Dans un mu-plugin ou via .htaccess :

Fichier wp-content/mu-plugins/hardening.php :

Contenu : add_filter('xmlrpc_enabled', '__return_false');

Ou dans Caddy/Nginx : bloquer /xmlrpc.php en 403. Sur un serveur Apache : règle .htaccess <Files xmlrpc.php> Order Deny,Allow Deny from all </Files>.

Autres endpoints à durcir :

• REST API user enumeration : /wp-json/wp/v2/users expose la liste des utilisateurs par défaut. Restreindre aux utilisateurs authentifiés.
• Author archives : /?author=1 révèle le login admin. Rediriger vers /.
• readme.html et license.txt : révèlent la version de WordPress. Supprimer.

7. Sauvegardes automatiques + testées

Une sauvegarde qu'on n'a jamais testée n'est PAS une sauvegarde. Un site piraté doit pouvoir être restauré en 1 heure maximum.

Solution recommandée pour une TPE : UpdraftPlus (gratuit) + Google Drive comme destination. Configuration :

• Sauvegarde des fichiers toutes les semaines.
• Sauvegarde de la base de données tous les jours.
• Conservation : 4 semaines minimum.
• Destination externe (jamais sur le même serveur).

Testez la restauration une fois par trimestre. Restaurer sur un sous-domaine de staging, vérifier que le site fonctionne. Sinon vous découvrirez le problème au pire moment.

8. Limiter les tentatives de connexion

Une attaque brute-force basique teste 100 à 1000 mots de passe par minute. Un plugin de "limit login attempts" bloque l'IP après N échecs.

Options :

• Wordfence Free : intègre déjà un limit login basique.
• Limit Login Attempts Reloaded : dédié, plus configurable.
• Fail2ban côté serveur : la meilleure solution mais nécessite un VPS.

Config type : 5 échecs de login = blocage 30 minutes, 10 échecs = blocage 24h.

9. HTTPS partout, HSTS activé

HTTPS n'est plus optionnel en 2026. Toutes les données transitent chiffrées (identifiants admin, contenus formulaires).

• Certificat Let's Encrypt gratuit installé par votre hébergeur.
• Redirection HTTP → HTTPS en 301 côté serveur.
• Header Strict-Transport-Security (HSTS) avec max-age d'au moins 6 mois.
• siteurl et home WordPress en https (pas http).

10. Choix minimaliste des plugins

Chaque plugin est une porte d'entrée potentielle. Un site avec 50 plugins a 50 fois plus de surface d'attaque qu'un site avec 5 plugins.

Règles :

• Aucun plugin qu'on n'utilise pas (le désactiver ne suffit pas, désinstaller).
• Préférer les plugins avec >100k installations actives et mises à jour dans les 3 derniers mois.
• Éviter les plugins qui n'ont pas eu de mise à jour depuis 1 an+ (marqués "may not be compatible" dans le repo).
• Auditer une fois par an la liste des plugins et enlever ce qui n'est plus utile.

11. Firewall applicatif (WAF) devant WordPress

Un WAF filtre les requêtes malveillantes avant qu'elles n'atteignent PHP. Deux options gratuites/pas chères :

• Cloudflare Free WAF : filtres OWASP core, protection DDoS, cache. Excellent pour un site vitrine, gratuit.
• Wordfence firewall (mode "extended protection") : filtre en amont de WP mais toujours au niveau PHP, moins performant qu'un WAF réseau.

Recommandation en 2026 : Cloudflare Free devant Wordfence. Vous bloquez 80% des attaques automatisées avant qu'elles n'arrivent à votre WordPress.

12. Monitoring et alertes

Savoir qu'on est attaqué au moment où ça arrive, pas 3 semaines après. Configurations minimales :

• Wordfence : alertes email en cas de tentative de login réussie hors IP habituelle, changement de fichier core, plugin ajouté.
• UptimeRobot (gratuit) : ping le site toutes les 5 min, alerte si down.
• Log serveur : conserver 30 jours minimum. Utile pour post-mortem en cas d'incident.

La checklist finale à imprimer

• Hébergeur pro : o2switch, Infomaniak, Kinsta, ou VPS géré
• Auto-updates WordPress core : mineur activé, majeur si stack stable
• Zéro plugin ou thème nulled/piraté
• Mot de passe admin : 16 char + unique + gestionnaire
• 2FA activé pour tous les comptes admin
• XML-RPC désactivé, user enumeration bloquée, readme supprimé
• Sauvegardes quotidiennes (DB) + hebdo (fichiers) + destination externe
• Restauration testée une fois par trimestre
• Limit login attempts configuré
• HTTPS partout + HSTS
• Nombre minimal de plugins, tous à jour
• Cloudflare Free devant WordPress + Wordfence Free installé
• Alertes email Wordfence + monitoring uptime

Ce que ce guide ne couvre pas (volontairement)

Trois sujets avancés qui méritent leur propre article :

• WAF payant type Sucuri Firewall ou Cloudflare Business : pertinent pour un site à fort trafic ou avec risques ciblés (concurrence, secteur sensible).
• Isolation Docker/PHP-FPM chrootée : sur VPS auto-géré, chaque site dans son container Docker + user système isolé.
• Audit annuel par un pentester : pour un site qui traite des données personnelles sensibles (santé, finance).

Pour un site vitrine TPE en 2026, la checklist des 12 points ci-dessus couvre 99% des risques réels.

Que faire maintenant ?

Ouvrez votre WordPress et cochez chaque point de la liste. Vous devriez pouvoir cocher tout en moins de 2 heures. Si un point vous bloque techniquement, écrivez-moi sur la page contact, je vous oriente.

La sécurité WordPress n'est ni un mystère, ni un business modèle pour vendre des abonnements à 500€. C'est une routine d'hygiène numérique, appliquée avec discipline. Faites-la maintenant, avant qu'un bot ne le fasse à votre place.

Questions fréquentes