Sécuriser un site WordPress : les 12 réglages qui comptent.Classés par importance, du plus utile au moins utile.

1. Une sauvegarde chaque jour, hors du serveur, et une restauration essayée.
2. Les mises à jour sans attendre, surtout les correctifs de sécurité des extensions.
3. Aucune extension inutile ou abandonnée, rien de téléchargé hors des sources officielles.
4. Un compte par personne, et la double authentification pour les administrateurs.
5. PHP 8.3 ou plus, HTTPS partout.
6. Un pare-feu, une limite aux tentatives de connexion, l'éditeur de fichiers désactivé.
7. Une surveillance : fichiers, failles de vos extensions, Search Console.

Dans ce guide

• Les six réglages qui protègent le plus
• Les six réglages qui ferment les portes
• Ce qui ne sert presque à rien
• L'audit de sécurité à faire en 20 minutes
• Ce que nous ferions à votre place
• Questions fréquentes

1. Une sauvegarde chaque jour, hors du serveur

Ce n'est pas une protection contre l'intrusion, c'est ce qui la rend réparable. Une sauvegarde chaque jour, envoyée sur un autre stockage que le serveur du site, gardée au moins un mois, et une restauration essayée au moins une fois. La documentation de WordPress conseille aussi de garder des copies datées dans un lieu sûr : c'est ce qui permet de revenir à une version antérieure à l'intrusion, souvent plus ancienne qu'on ne le croit.

2. Les mises à jour, sans attendre

WordPress installe seul ses mises à jour mineures de sécurité. Pour le reste, les extensions et le thème surtout, appliquez les correctifs de sécurité dès leur sortie, sans attendre la fin du mois. Sur une boutique, ou pour une extension qui touche au paiement, testez d'abord sur une copie du site. Les robots qui cherchent les versions vulnérables passent dans les jours qui suivent la publication d'une faille.

3. Aucune extension inutile ou abandonnée

Chaque extension est du code de plus sur votre serveur. Supprimez celles qui ne servent plus : désactivée, une extension reste sur le serveur, et une faille dans ses fichiers peut parfois être exploitée quand même. Sur la page de chaque extension sur wordpress.org, regardez la date de la dernière mise à jour : une extension que personne ne met plus à jour, ou que wordpress.org a fermée, ne recevra plus de correctif. Et ne téléchargez jamais une extension payante proposée gratuitement ailleurs : elle contient souvent une porte dérobée.

4. Des comptes propres et la double authentification

Un compte par personne, avec le rôle le plus bas possible : un rédacteur n'a pas besoin d'être administrateur. Supprimez les comptes des anciens prestataires et évitez les identifiants évidents comme « admin ». Des mots de passe uniques, rangés dans un gestionnaire. Puis la double authentification sur tous les comptes administrateurs, avec l'extension Two Factor, maintenue par des contributeurs de WordPress, ou celle de votre extension de sécurité. Dans votre profil, supprimez aussi les mots de passe d'application dont vous ne vous servez pas.

5. Une version de PHP encore suivie

WordPress recommande PHP 8.3 ou plus. Au 18 octobre 2026, PHP 8.4 et 8.5 reçoivent encore des évolutions, PHP 8.3 des correctifs de sécurité jusqu'à fin 2027 et PHP 8.2 jusqu'au 31 décembre 2026 seulement ; PHP 8.1 et 8.0 n'en reçoivent plus aucun. La version de votre site est indiquée dans Outils, puis Santé du site. Le changement se fait dans l'espace de votre hébergeur, après un essai sur une copie.

6. HTTPS partout

Dans Réglages, puis Général, les deux adresses du site doivent commencer par https://, et toute visite en http:// doit être renvoyée vers https://. WordPress en fait une exigence. Le chiffrement protège les mots de passe et les formulaires de vos visiteurs ; l'en-tête HSTS, plus bas, empêche de revenir en arrière.

7. Un pare-feu et une limite aux connexions

Un pare-feu applicatif bloque les attaques connues avant qu'elles n'atteignent WordPress. Il peut être installé sur le serveur, chez un service placé devant le site, ou sous forme d'extension, comme le rappelle le guide de durcissement de WordPress. Ajoutez une limite aux tentatives de connexion : après quelques échecs, l'adresse qui essaie des mots de passe est bloquée un moment.

8. L'éditeur de fichiers désactivé

WordPress permet de modifier le code du thème et des extensions depuis le tableau de bord. Un intrus qui vole un compte administrateur s'en sert pour écrire son propre code. Une ligne dans le fichier wp-config.php le désactive : define( 'DISALLOW_FILE_EDIT', true );. Elle n'empêche pas tout, mais elle ferme la porte la plus simple.

9. XML-RPC bloqué s'il ne sert pas

Le fichier xmlrpc.php sert à des outils anciens, comme certaines applications mobiles ou certaines extensions. C'est aussi une cible classique des robots qui essaient des mots de passe en série. Si vous ne vous en servez pas, bloquez-le au niveau du serveur ou du pare-feu.

10. Des fichiers protégés

Le guide officiel de WordPress donne les droits à appliquer : 755 pour les dossiers, 644 pour les fichiers, 400 ou 440 pour wp-config.php. Bloquez l'accès direct à wp-config.php, et empêchez l'exécution de fichiers PHP dans wp-content/uploads, qui ne doit contenir que des images et des documents : c'est là que les intrus déposent le plus souvent leurs scripts.

11. Des en-têtes de sécurité

Ce sont des consignes que le serveur envoie au navigateur : HSTS (toujours en HTTPS), Content-Security-Policy (quels scripts ont le droit de s'exécuter), X-Content-Type-Options, frame-ancestors (personne ne peut afficher votre site dans un cadre piégé), Referrer-Policy et Permissions-Policy. Testez votre site avec l'Observatory de Mozilla, gratuit. Une politique de contenu trop stricte peut bloquer une extension : réglez-la sur une copie d'abord.

12. Une surveillance

Un contrôle régulier des fichiers, qui signale toute modification inattendue ; un œil sur les failles publiées pour vos extensions, dans des bases publiques comme celles de Patchstack ou de WPScan ; un journal des connexions et des changements ; une vérification que le site répond ; et la Search Console de Google, qui signale les problèmes de sécurité qu'il voit. Un réglage qui n'est pas surveillé finit par ne plus être vrai.

1. Outils, puis Santé du site : version de PHP, HTTPS, mises à jour en attente, recommandations de WordPress.
2. Extensions : supprimez celles qui ne servent plus ; pour les autres, vérifiez sur wordpress.org la date de la dernière mise à jour.
3. Utilisateurs : filtrez sur Administrateur. Un compte par personne, aucun ancien prestataire.
4. Votre profil : double authentification active, aucun mot de passe d'application inutile.
5. Sauvegardes : où sont-elles, à quelle fréquence, depuis quand ? Quand avez-vous essayé d'en restaurer une ?
6. En-têtes de sécurité : passez l'adresse du site dans l'Observatory de Mozilla.
7. Search Console : Sécurité et actions manuelles, puis Problèmes de sécurité.

Chaque point qui ne va pas renvoie à l'un des douze réglages. Si votre site montre déjà des signes d'intrusion (redirections, pages inconnues dans Google, administrateur que vous ne connaissez pas), arrêtez-vous là et suivez notre guide : site WordPress piraté, que faire dans la première heure.

Rédigé par l'équipe Boost de WS Agency, qui maintient et protège des sites WordPress, PrestaShop et Joomla. Publié le 18 octobre 2026.

• WordPress, configuration recommandée (PHP 8.3 ou plus, HTTPS).
• WordPress, guide de durcissement (droits des fichiers, DISALLOW_FILE_EDIT, sauvegardes datées, pare-feu).
• PHP, versions encore suivies, consulté le 18 octobre 2026.
• Mozilla, Observatory, pour tester les en-têtes de sécurité.
• Bases de failles publiques : Patchstack et WPScan.

Une erreur, une information à compléter, un droit de réponse ? Écrivez à contact@wsagency.fr : nous corrigeons, et nous indiquons ici ce qui a changé et quand.