La popularité de WordPress en fait une cible privilégiée. La bonne nouvelle : la grande majorité des attaques exploitent des failles connues et évitables. Quelques fondamentaux appliqués sérieusement suffisent à écarter l’essentiel du risque.
Maintenir à jour, en priorité
Le cœur de WordPress, les thèmes et les extensions doivent rester à jour. La plupart des compromissions viennent d’un composant obsolète dont la faille est publiquement documentée. Automatisez les mises à jour de sécurité et supprimez les extensions inutilisées : chaque composant installé élargit la surface d’attaque.
Renforcer l’authentification
- Bannissez les identifiants par défaut comme « admin ».
- Imposez des mots de passe longs et uniques.
- Activez l’authentification à deux facteurs sur les comptes administrateurs.
- Limitez le nombre de tentatives de connexion pour contrer les attaques par force brute.
Gérer les droits avec parcimonie
Appliquez le principe du moindre privilège : chaque utilisateur ne dispose que des droits nécessaires à sa tâche. Un rédacteur n’a pas besoin d’un accès administrateur. Cela limite les dégâts si un compte est compromis.
Chiffrement et pare-feu applicatif
Le HTTPS n’est plus optionnel : il chiffre les échanges et rassure les visiteurs. Un pare-feu applicatif web (WAF) filtre en amont les requêtes malveillantes — injections SQL, tentatives d’exploitation — avant qu’elles n’atteignent votre site. Beaucoup d’hébergements managés l’intègrent nativement.
Sauvegardes : le dernier rempart
Aucune protection n’est absolue. Des sauvegardes automatiques, régulières et testées vous permettent de restaurer un site sain en cas d’incident. Vérifiez régulièrement que la restauration fonctionne réellement : une sauvegarde jamais testée n’est qu’une hypothèse.
Déléguer ce qui peut l’être
Sur un hébergement WordPress managé, une partie de ces mesures — mises à jour, WAF, sauvegardes, surveillance — est appliquée par défaut. C’est l’un des arguments forts du managé : la sécurité devient une propriété de l’infrastructure plutôt qu’une checklist à tenir soi-même. Chez OVHcloud, cette approche s’accompagne d’un hébergement des données en Europe, soumis au RGPD.