Sécurité WordPress
Certains liens de cette page sont des liens d'affiliation : nous pouvons toucher une commission, sans surcoût pour vous. En savoir plus
La sécurité d’un site WordPress se joue rarement sur un grand piratage spectacle : c’est une faille de plugin oubliée, un mot de passe trop simple, une sauvegarde inexistante. Le travail de fond est régulier et peu coûteux ; l’incident, lui, l’est beaucoup.
Les trois causes principales
Les plugins et thèmes obsolètes, les accès fragiles et l’absence de sauvegarde expliquent la grande majorité des incidents. Chacune se traite avec des gestes simples, à condition d’en faire une habitude.
Durcir sans casser
Restreindre l’accès à l’administration, forcer la double authentification, limiter les tentatives de connexion et passer par un pare-feu applicatif réduisent fortement la surface d’attaque. Les mises à jour se testent d’abord en préproduction.
Préparer le pire
Une sauvegarde hors serveur, une procédure de restauration testée et un plan de communication prêt à contacter l’hébergeur transforment une infection grave en simple contrariété. translations: en: “securite-wordpress”
Quand en avez-vous besoin ?
- Votre site WordPress est en ligne depuis plusieurs mois sans mises à jour régulières
- Vous avez déjà été victime d'une infection, d'une redirection vers un site inconnu ou d'une page de phishing
- Vos visiteurs ou votre hébergeur vous signalent des emails d'alerte de sécurité
- Vous collectez des données clients (commandes, formulaires, comptes) sur WordPress
- Votre site est une boutique WooCommerce et une faille signifie une perte de confiance et de ventes
Comment ça se passe
- Audit de sécurité — Vérifier les versions de WordPress, des thèmes et des plugins, détecter les plugins abandonnés, analyser les fichiers modifiés et les comptes administrateurs, et contrôler les accès et les permissions.
- Durcissement — Mettre à jour le cœur, supprimer les thèmes et plugins inutiles, forcer la double authentification, restreindre l'accès à l'administration, modifier l'URL de connexion et configurer les permissions de fichiers.
- Pare-feu et détection — Installer un pare-feu applicatif (Wordfence, iThemes ou Cloudflare), limiter les tentatives de connexion, bloquer les pays ou les robots suspects si nécessaire, et activer la surveillance de l'intégrité des fichiers.
- Sauvegardes hors serveur — Programmer des sauvegardes automatiques des fichiers et de la base vers un stockage externe, avec une rétention suffisante et une restauration testée régulièrement.
- Maintenance et vigilances — Appliquer les mises à jour en préproduction, suivre les alertes de vulnérabilité, revoir les comptes utilisateurs et former les administrateurs au phishing.
Combien ça coûte
| Prestation | Prix indicatif | À savoir |
|---|---|---|
| Audit de sécurité WordPress | 3 000 – 10 000 MAD (≈ 270 – 920 €) | Diagnostic complet avec rapport |
| Durcissement du site | 2 000 – 8 000 MAD (≈ 180 – 730 €) | Pare-feu, accès, comptes et permissions |
| Maintenance sécurisée mensuelle | 800 – 5 000 MAD / mois (≈ 75 – 450 €) | Mises à jour, sauvegardes, surveillance et rapports |
| Nettoyage après infection | 4 000 – 15 000 MAD (≈ 370 – 1 400 €) | Suppression du code malveillant et durcissement |
| Sauvegarde externalisée | 1 000 – 5 000 MAD / an (≈ 90 – 450 €) | Stockage distant et restauration testée |
| Protection WAF et anti-DDoS | 0 – 10 000 MAD / an (≈ 0 – 920 €) | Offre de base gratuite à la protection avancée |
Fourchettes indicatives pour le marché marocain en 2026, hors taxes. Les tarifs varient selon le périmètre et le prestataire.
Outils recommandés
Les outils que nous recommandons le plus souvent pour ce type de projet.
Wordfence
Pare-feu applicatif, scan de malwares et alertes
UpdraftPlus
Sauvegardes planifiées vers un stockage externe
Cloudflare
WAF, anti-DDoS et cache
Patchstack
Alertes de vulnérabilités des plugins WordPress
Wordfence Login Security
Double authentification et limitation des tentatives de connexion
Erreurs à éviter
- Reporter les mises à jour de sécurité en attendant un moment calme qui n'arrive jamais
- Garder des plugins désactivés mais non supprimés, qui restent une cible
- Utiliser le même mot de passe pour l'administration et pour un autre service
- Sauvegarder uniquement sur le serveur lui-même
- Ignorer les alertes de l'hébergeur, qui détecte souvent l'infection avant vous
Questions fréquentes
Comment savoir si mon site WordPress est infecté ?
Signes fréquents : site plus lent, redirections vers des sites inconnus, résultats Google affichant des titres bizarres, alertes de l'hébergeur, visiteurs qui signalent des fenêtres publicitaires. Un scan de sécurité révèle les fichiers suspects.
WordPress est-il plus vulnérable qu'un autre CMS ?
WordPress n'est pas intrinsèquement plus fragile, mais sa popularité en fait une cible et son écosystème de plugins est vaste. La majorité des infections viennent de plugins ou de thèmes non mis à jour ou abandonnés.
Faut-il un plugin de sécurité payant ?
Pas nécessairement au départ : la version gratuite de Wordfence ou de Cloudflare couvre l'essentiel. Le payant devient utile pour des scans réguliers avancés, du support et une protection renforcée.
Quelle est la principale cause de piratage ?
Les accès trop faibles : mots de passe simples, absence de double authentification, comptes administrateurs inutiles. Viennent ensuite les plugins et thèmes obsolètes, puis les habillages piratés téléchargés sur des sites douteux.
Faut-il sauvegarder avant chaque mise à jour ?
Oui, ou du moins régulièrement et avant toute mise à jour majeure. Une sauvegarde récente permet de restaurer en quelques minutes en cas de compatibilité cassée.
Mis à jour le