Checklist pour sécuriser WordPress : quoi régler, et comment savoir que ça tient

Pourquoi une checklist faite une fois ne suffit pas

La majeure partie du risque vient des extensions, et il évolue vite. Patchstack a compté 11 334 nouvelles vulnérabilités dans l'écosystème WordPress en 2025, soit 42 % de plus qu'en 2024 : 91 % concernaient des extensions, 9 % des thèmes, et seulement 6 WordPress lui-même. 46 % n'avaient aucun correctif du développeur au moment de leur divulgation, et pour les vulnérabilités les plus visées par les attaquants, le délai médian avant la première exploitation de masse était de 5 heures.

Un site sécurisé en janvier peut donc se retrouver exposé en mars sans que personne n'y touche. Les mesures ci-dessous sont celles que recommandent les pages de WordPress sur le durcissement et les attaques par force brute. Pour chacune, nous précisons si elle peut être surveillée en continu, et quelle surveillance Relvato s'en charge. Quand rien ne la surveille, nous le disons aussi.

1. Comptes et connexion

Utilisez un mot de passe unique et long pour chaque compte capable de se connecter, et activez la double authentification pour chaque administrateur. WordPress lui-même ne l'intègre pas : sa page sur les attaques par force brute recommande de l'activer pour tous les administrateurs et utilisateurs privilégiés, avec une extension sérieuse. L'extension Two Factor, conçue par des contributeurs de WordPress et référencée sur WordPress.org, est un bon choix par défaut.

Limitez le nombre d'administrateurs. Donnez à chaque personne le rôle le plus bas qui lui permette de faire son travail, supprimez les comptes que personne n'utilise, et repérez les administrateurs que vous ne reconnaissez pas ; notre guide sur les rôles utilisateur WordPress explique pourquoi chaque administrateur de plus est une porte d'entrée de plus. Les mots de passe d'application et les clés API WooCommerce méritent aussi un coup d'œil : ils sont faits pour des programmes, pas pour des personnes, et se connectent donc à l'API REST et à XML-RPC sans passer par le formulaire de connexion ni la double authentification.

Limitez les tentatives de connexion. La page de WordPress sur les attaques par force brute préfère que cela se fasse en amont, dans le pare-feu de votre hébergeur ou un CDN, et indique qu'une extension de sécurité peut limiter les tentatives quand ce n'est pas le cas ; un CAPTCHA comme Turnstile sur le formulaire de connexion aide aussi.

Ce qui peut être surveillé : le moniteur Liste des administrateurs signale un nouvel administrateur, un administrateur caché de l'écran Utilisateurs, un nouveau mot de passe d'application ou une nouvelle clé API, plus de trois administrateurs, les administrateurs qui ne se sont pas connectés depuis 90 jours, et les administrateurs sans double authentification activée dans l'extension de double authentification du site. Une fois le journal d'activité activé dans l'extension, il signale aussi les éditeurs et auteurs dans les comptes desquels personne ne s'est connecté depuis 90 jours, et le moniteur Journal d'activité et connexions admin signale les pics d'échecs de connexion et les administrateurs qui se connectent depuis un nouveau réseau. Le scan d'exposition avertit quand la page de connexion est ouverte sans aucune protection visible : aucune extension de protection de connexion, de CAPTCHA ou de double authentification, et aucun pare-feu devant. La double authentification activée dans une extension que Relvato ne peut pas lire, comme Shield, ne compte dans aucun sens.

2. Mises à jour, extensions et thèmes

Gardez WordPress, les extensions et les thèmes à jour ; la page de WordPress sur le durcissement est claire : les anciennes versions ne reçoivent plus de correctifs de sécurité. Installez les versions de sécurité dès qu'elles sortent, mettez à jour une extension à la fois, et vérifiez ensuite les pages qui comptent. Notre guide Maintenance WordPress propose un calendrier.

Moins d'extensions, c'est moins de vulnérabilités. Supprimez les extensions et les thèmes que vous n'utilisez pas plutôt que de simplement les désactiver, car du code inactif reste accessible. Remplacez les extensions fermées par WordPress.org ou qui n'ont pas été mises à jour depuis des années, et achetez les extensions premium chez leur développeur, jamais sur un site qui les redistribue.

Ce qui peut être surveillé : le moniteur de vulnérabilités signale les extensions, thèmes et versions de WordPress avec des vulnérabilités connues, les extensions avec une mise à jour en attente (et précise quand le changelog mentionne un correctif de sécurité), les extensions fermées sur WordPress.org ou abandonnées depuis deux ans, les extensions et thèmes inactifs, et les extensions actives qui ne viennent pas de WordPress.org, pour que vous confirmiez d'où vient chacune. Sur les offres payantes, quand un nouvel avis de sécurité cite une extension installée sur votre site, le site est réanalysé.

3. HTTPS, TLS et en-têtes de sécurité

Servez tout le site en HTTPS, et redirigez chaque adresse http vers elle. N'acceptez que TLS 1.2 et 1.3 : le RFC 8996 a déprécié TLS 1.0 et 1.1 en 2021, et précise qu'ils ne doivent plus être utilisés. Ces réglages vivent chez votre hébergeur ou votre CDN, pas dans WordPress, ce qui explique qu'ils puissent changer quand vous changez d'hébergeur ou que l'hébergeur change ses valeurs par défaut.

Ajoutez un en-tête HSTS pour que les navigateurs ne reviennent jamais à http. Commencez avec un max-age court et augmentez-le une fois sûr que chaque sous-domaine fonctionne en HTTPS ; la liste de préchargement HSTS demande au moins un an (31536000 secondes), mais n'ajoutez preload que si vous le pensez vraiment. Notre guide sur les en-têtes de sécurité HTTP couvre HSTS et les autres en-têtes à envoyer.

Ce qui peut être surveillé : le moniteur de certificat SSL signale un certificat expiré, non fiable ou proche de l'expiration, et un serveur qui accepte encore TLS 1.0 ou 1.1. Le moniteur Redirections et hôte canonique signale une adresse http qui affiche la page au lieu de rediriger. Le moniteur Contenu mixte trouve les ressources http sur des pages https, et le scan d'exposition signale les en-têtes de sécurité manquants et un max-age HSTS inférieur à 180 jours.

4. Désactivez ce que vous n'utilisez pas

Désactivez XML-RPC si rien ne l'utilise ; c'est exactement ce que dit la page de WordPress sur les attaques par force brute. Jetpack, l'application mobile WordPress et certaines intégrations en ont encore besoin, donc vérifiez avant de le désactiver.

Désactivez l'éditeur de fichiers des extensions et des thèmes avec define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php. La page de WordPress sur le durcissement précise que cela n'empêche pas un attaquant de téléverser des fichiers, mais qu'une session administrateur volée ne peut alors plus modifier du PHP en direct depuis le tableau de bord.

Empêchez le site de lister ses utilisateurs et ses versions : le point de terminaison users de l'API REST, les archives d'auteur sur /?author=1, la balise generator et un readme.html public aident tous un attaquant à repérer des noms d'utilisateur et des versions vulnérables. Et gardez le débogage masqué pour les visiteurs : des erreurs PHP affichées sur une page révèlent des chemins de fichiers et des requêtes.

Ce qui peut être surveillé : le scan d'exposition signale XML-RPC activé, l'éditeur de fichiers activé, l'énumération des utilisateurs via l'API REST ou les archives d'auteur, les fuites de version, et le débogage affiché aux visiteurs. La plupart ont un correctif en un clic avec annulation, décrit dans Durcissement de la sécurité WordPress. WP_DEBUG qui écrit dans un journal privé n'est pas signalé, mais un debug.log que n'importe qui peut télécharger l'est.

5. Fichiers, permissions et ce qui traîne dans la racine web

La page de WordPress sur les permissions de fichiers fixe les chiffres : fichiers à 644 ou 640, dossiers à 755 ou 750, et wp-config.php à 440 ou 400 pour que les autres utilisateurs du serveur ne puissent pas le lire. Aucun dossier ne devrait jamais être à 777, pas même uploads.

Supprimez ce qui n'a rien à faire dans la racine web : dumps de base de données, sauvegardes zip, copies de wp-config.php comme wp-config.php.bak, fichiers .env et dossiers .git. Chacun peut livrer tout le site à quiconque devine l'adresse.

Ce qui peut être surveillé : le scan d'exposition recherche les fichiers .env exposés, les dossiers .git, les copies de wp-config.php, les dumps SQL, les archives de sauvegarde et un debug.log public. Avec l'extension Relvato connectée, le site signale ces fichiers depuis l'intérieur, ainsi que des fichiers PHP dans uploads et des clés de sécurité restées à leur valeur d'exemple. Il lit aussi les permissions de wp-config.php et de .htaccess : l'un ou l'autre que n'importe qui sur le serveur peut modifier, et un wp-config.php que d'autres comptes peuvent lire quand PHP s'exécute sous son propriétaire. Les permissions des autres fichiers ne sont pas surveillées. Le moniteur Intégrité des fichiers compare les fichiers de WordPress aux sommes de contrôle officielles et signale les fichiers PHP inattendus et les extensions cachées, et le moniteur Intégrité du thème signale les exécutables déposés dans uploads et le code malveillant ajouté à wp-config.php ou .htaccess.

6. Des sauvegardes que vous avez restaurées

Sauvegardez la base de données et les fichiers : chaque semaine pour un petit site, chaque jour pour un site actif, et toujours avant une mise à niveau, comme le recommande la page de WordPress sur les sauvegardes. Gardez des copies à plusieurs endroits, car une sauvegarde stockée sur le serveur disparaît avec lui s'il est piraté ou tombe en panne.

Une sauvegarde ne compte que si elle se restaure. La page de WordPress sur le durcissement demande des sauvegardes que vous avez testées : valides et faciles à restaurer. Restaurez-en une sur un site de pré-production tous les quelques mois.

Ce qui peut être surveillé : le moniteur de sauvegardes lit UpdraftPlus, BackWPup, Duplicator, WPvivid et d'autres extensions de sauvegarde. Il signale une dernière sauvegarde terminée datant de plus de sept jours, des sauvegardes échouées ou bloquées, l'absence de planification, et des sauvegardes stockées uniquement sur le même serveur. Relvato ne teste pas les restaurations : celle-là reste sur votre propre liste.

7. Pare-feu, malware et les signes qu'un scanner ne voit pas

Mettez un pare-feu applicatif web devant le site, chez votre hébergeur, sur un CDN, ou via une extension. Ne comptez pas sur l'hébergeur seul : dans les tests de Patchstack, les défenses de l'hébergement n'ont bloqué que 26 % des attaques. Notre comparatif Wordfence vs Sucuri couvre les deux options les plus connues.

Relvato ne signale pas si un pare-feu se trouve devant votre site. La plateforme surveille ce qui passe à travers : le moniteur Signes de piratage recherche les pages de spam, le cloaking et les redirections vers d'autres sites, comme les voient les visiteurs et Google, et le moniteur Scripts tiers signale un script venu d'une nouvelle origine sur vos pages clés, y compris le paiement, la voie par laquelle entrent les skimmers de carte.

Si quelque chose passe malgré tout, notre guide Checklist WordPress piraté couvre ce qu'il faut faire en premier, y compris les endroits qu'aucun scanner ne voit. Après un nettoyage, le mode quarantaine surveille les fichiers, les administrateurs et les scripts du site chaque heure pendant 48 heures.

Ce dont la surveillance a besoin, et ce qu'elle ne peut pas faire

La plupart des points vus de l'intérieur, comme les administrateurs, les extensions, les sauvegardes et l'intégrité des fichiers, ont besoin de l'extension Relvato pour WordPress connectée, qui prouve aussi que vous possédez le site. Les points vus de l'extérieur, comme les certificats, TLS, les redirections et les en-têtes, fonctionnent sur n'importe quel site. Leur fréquence dépend de l'offre : au plus une fois par semaine sur Free, chaque jour sur Pro et chaque heure sur Business, et après chaque mise à jour d'extension ou de thème à partir de Pro.

La surveillance vous dit quand un point cesse d'être vrai. Elle ne règle rien à votre place, et ne remplace ni un pare-feu, ni une extension de sauvegarde, ni la double authentification. Considérez cette checklist comme deux listes : les mesures que vous réglez une fois, et celles dont vous voulez être informé le jour où elles changent.