Sécuriser un site WordPress : la checklist essentielle

Les fondations : HTTPS et mises à jour

Activez HTTPS sur tout le site et forcez la redirection depuis HTTP (réglage « Adresse du site (URL) » en https:// dans Réglages → Général, complété par une redirection 301 côté serveur). Maintenez ensuite WordPress, votre thème et surtout vos extensions à jour : les extensions obsolètes sont, de très loin, le premier vecteur de compromission. Activez les mises à jour automatiques au moins pour les correctifs de sécurité.

Faites le ménage : supprimez les extensions et thèmes inutilisés au lieu de simplement les désactiver, car un code désactivé mais présent reste exploitable. Vérifiez enfin la version de PHP de votre hébergement : une version en fin de vie (par exemple PHP 7.x) ne reçoit plus de correctifs et doit être basculée vers une version maintenue depuis le panneau de votre hébergeur.

Verrouiller l’exposition de fichiers

WordPress laisse parfois accessibles des fichiers à haut risque : wp-config.php (qui contient vos identifiants de base de données), le dossier .git d'un déploiement, des sauvegardes (.zip, .sql) oubliées à la racine, ou les fichiers de débogage. Un attaquant qui télécharge votre wp-config.php obtient un accès direct à votre base. Bloquez ces chemins au niveau du serveur, avant même que WordPress ne soit sollicité.

# Protéger wp-config.php
<Files wp-config.php>
  Require all denied
</Files>

# Bloquer fichiers cachés et sauvegardes
<FilesMatch "(\.env|\.bak|\.sql|\.old|\.zip)$">
  Require all denied
</FilesMatch>

Maîtriser xmlrpc.php et la page de connexion

Le fichier xmlrpc.php, activé par défaut, est massivement abusé pour deux types d'attaques : la force brute amplifiée (tester des centaines de mots de passe en une seule requête) et le déni de service (pingback). Si vous n'utilisez ni l'application mobile WordPress ni certains services de publication à distance, désactivez-le. Protégez aussi /wp-login.php contre la force brute en limitant le nombre de tentatives.

Pensez également à désactiver l'éditeur de fichiers intégré (qui permet de modifier le code des thèmes/extensions depuis l'admin), afin qu'un compte admin compromis ne puisse pas injecter de code directement.

<Files xmlrpc.php>
  Require all denied
</Files>

define('DISALLOW_FILE_EDIT', true);

Ajouter les en-têtes de sécurité

WordPress n'envoie aucun en-tête de sécurité par défaut. Ajoutez au minimum HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy et une Content-Security-Policy adaptée à vos extensions. Ces en-têtes protègent vos visiteurs contre le clickjacking, le vol de session et les injections de scripts (XSS). Vous pouvez les définir via le .htaccess de votre hébergement, ou directement depuis le thème enfant. Nos guides dédiés donnent la configuration exacte de chacun.

add_action('send_headers', function () {
    header('X-Frame-Options: SAMEORIGIN');
    header('X-Content-Type-Options: nosniff');
    header('Referrer-Policy: strict-origin-when-cross-origin');
});

Protéger le compte admin et les e-mails

Utilisez un identifiant administrateur autre que « admin » (le tout premier testé par les robots), un mot de passe long et unique, et activez l'authentification à deux facteurs (2FA) via une extension dédiée. Limitez le nombre de tentatives de connexion pour casser la force brute.

Enfin, ne négligez pas la sécurité de votre domaine côté e-mail : publiez des enregistrements SPF et DMARC pour empêcher qu'un attaquant usurpe votre nom de domaine dans des campagnes de phishing. C'est un risque souvent oublié, qui n'a rien à voir avec WordPress lui-même mais protège votre réputation et vos clients.