Sécuriser WordPress en 2026, c’est d’abord tenir le cœur, les extensions et PHP à jour, activer la double authentification, réduire les plugins, protéger l’administration et surveiller les alertes. Le risque vient rarement d’un “pirate génial” : il vient surtout d’une faille connue, d’un mot de passe deviné ou d’une extension abandonnée. Budget réaliste en France : de 600 à 2 500 € pour un durcissement sérieux, hors refonte.
Sécuriser WordPress : ce qui change vraiment en 2026
WordPress reste un bon choix pour une PME, à condition de le traiter comme un actif métier, pas comme une brochure posée en ligne. Un site WordPress porte souvent des formulaires, des comptes clients, des paiements, des contenus SEO, parfois des données personnelles. Une compromission coûte donc plus qu’une page défigurée.
En juillet 2026, WordPress 7.0.2 est la version de sécurité courante signalée, avec correction d’une faille critique et d’une faille de sévérité élevée, référencées CVE-2026-60137 et CVE-2026-63030. Des versions corrigées ont aussi été publiées pour des branches antérieures, comme WordPress 6.9.5 et 6.8.6. Le message est simple : rester sur une vieille version n’est plus une option raisonnable.
La documentation officielle WordPress rappelle que les versions anciennes ne reçoivent pas durablement les correctifs de sécurité. Elle précise aussi que les mises à jour automatiques en arrière-plan existent depuis WordPress 3.7 pour les versions mineures et de sécurité. Autrement dit, si votre site bloque encore ces mécanismes sans raison documentée, le risque est assumé.
Le piège que les non-techniciens sous-estiment : une mise à jour automatique n’est pas une stratégie de sécurité complète. Elle réduit le délai d’exposition, mais elle ne remplace ni les sauvegardes testées, ni la surveillance, ni l’audit des extensions. Un site peut être “à jour” et rester fragile à cause d’un compte administrateur partagé ou d’un plugin de formulaire mal configuré.
WordPress est-il sécurisé par défaut ? Oui, mais pas seul
Le cœur de WordPress est maintenu par une communauté très structurée. WordPress.org documente deux familles d’attaques fréquentes : les requêtes exploitant des vulnérabilités connues, souvent dans des extensions ou logiciels obsolètes, et les attaques par force brute, c’est-à-dire des essais massifs de mots de passe. C’est moins spectaculaire qu’un film, mais beaucoup plus courant.
Le volume à surveiller est considérable. WordPress.org indique héberger environ 78 000 plugins et thèmes, et l’initiative “Protect The Shire” annoncée en 2026 vise justement à sécuriser cet écosystème. Un délai temporaire de 24 heures avant diffusion automatique des nouvelles versions de plugins et thèmes a été introduit pour limiter certains effets de bord. Bonne mesure. Pas une garantie absolue.
Wordfence a publié dans son rapport annuel 2024 plus de 3 427 vulnérabilités WordPress, issues de plus de 5 100 signalements reçus. Le chiffre ne signifie pas que WordPress est “dangereux” par nature ; il montre surtout que l’écosystème est vaste, observé, et que les failles se concentrent souvent dans les composants ajoutés.
Sur les projets que nous menons, nous voyons souvent le même arbitrage : un plugin gratuit installé pour gagner deux heures finit par coûter une journée d’intervention quand il n’est plus maintenu. À ce budget, mieux vaut parfois développer une petite fonctionnalité proprement ou choisir une extension payante suivie, avec historique de mises à jour clair.
La checklist de durcissement en 15 points
Le durcissement consiste à réduire la surface d’attaque, c’est-à-dire tout ce qu’un attaquant peut tenter d’exploiter. Il ne rend pas un site invincible. Il rend les attaques ordinaires plus difficiles, plus visibles et moins coûteuses à traiter.
- Mettre à jour WordPress, les thèmes, les extensions et vérifier que WordPress 7.0.2 ou une branche corrigée équivalente est installée.
- Utiliser une version PHP maintenue par l’hébergeur, car PHP est le moteur serveur qui exécute WordPress.
- Activer les mises à jour automatiques de sécurité, sauf contrainte métier documentée.
- Supprimer les plugins et thèmes inutilisés, pas seulement les désactiver.
- Choisir des extensions suivies, compatibles avec la version WordPress utilisée et maintenues récemment.
- Imposer des mots de passe longs, uniques, gérés par coffre-fort.
- Activer la double authentification, ou 2FA, pour tous les comptes administrateurs.
- Limiter les comptes administrateurs au strict nécessaire et créer des rôles éditeur ou contributeur quand c’est suffisant.
- Restreindre l’accès à wp-admin, l’espace d’administration, par pare-feu applicatif ou règles IP quand le contexte le permet.
- Protéger wp-config.php, le fichier qui contient les paramètres sensibles de connexion à la base de données.
- Désactiver l’édition de fichiers depuis l’interface WordPress, pour éviter qu’un compte compromis modifie directement le code.
- Forcer HTTPS avec un certificat TLS valide et envisager HSTS, l’en-tête HTTP qui demande au navigateur de n’utiliser que HTTPS.
- Ajouter des en-têtes de sécurité adaptés, comme Content-Security-Policy pour contrôler les sources autorisées et X-Frame-Options ou frame-ancestors pour limiter l’affichage dans une iframe.
- Mettre en place des sauvegardes automatiques, externalisées et restaurées en test au moins une fois par trimestre.
- Centraliser les journaux, les alertes et le monitoring pour détecter rapidement les connexions suspectes, fichiers modifiés et erreurs serveur.
La partie oubliée, c’est le test de restauration. Une sauvegarde jamais restaurée est une promesse, pas une assurance. Pour un site vitrine avec quelques formulaires, un test trimestriel suffit souvent ; pour un WooCommerce ou un espace client, il faut descendre à une fréquence plus serrée.
Si votre site collecte des données personnelles, le RGPD impose aussi une logique de sécurité proportionnée. Pour certaines organisations concernées par la directive européenne NIS2, applicable par les États membres depuis octobre 2024, la gouvernance cyber devient plus formelle ; le sujet est détaillé dans notre analyse sur les obligations NIS2 appliquées à WordPress.
Quels plugins de sécurité choisir sans alourdir le site ?
Un plugin de sécurité n’est pas un garde du corps magique. C’est un outil. Il peut filtrer des attaques, scanner des fichiers, journaliser des événements et ajouter la 2FA, mais il ajoute aussi du code, des réglages et parfois de la charge serveur.
Wordfence Security, en version 8.2.2 publiée le 13 mai 2026, revendique plus de 5 millions d’installations actives, une compatibilité testée jusqu’à WordPress 7.0.2 et PHP 7.0+. Il inclut un WAF, c’est-à-dire un pare-feu applicatif web qui filtre certaines requêtes, un scanner de logiciels malveillants, la 2FA, le trafic en direct et des alertes. L’audit log complet est dans l’offre payante.
Le plugin Two Factor, version 0.16.0 publiée le 27 mars 2026, est plus ciblé : plus de 100 000 installations actives, WordPress 6.8+ et PHP 7.2+ requis, avec prise en charge TOTP, e-mail, codes de secours et WebAuthn/passkeys via extension. Si votre besoin principal est l’authentification forte, c’est souvent plus léger qu’une suite complète.
| Option | Usage pertinent | Coût indicatif France | Délai habituel |
|---|---|---|---|
| Durcissement manuel sans plugin lourd | Site vitrine simple, peu d’utilisateurs | 600 à 1 200 € | 1 à 2 jours |
| Wordfence ou équivalent avec réglages WAF | Site exposé, formulaires, trafic régulier | 900 à 2 000 € hors licence éventuelle | 2 à 4 jours |
| Cloudflare devant WordPress | Filtrage réseau, cache, anti-DDoS de base | 300 à 1 500 € de configuration selon règles | 0,5 à 2 jours |
| Audit sécurité avec correction priorisée | WooCommerce, intranet, espace client | 1 800 à 5 000 € | 1 à 3 semaines |
Honnêtement, installer trois plugins de sécurité en parallèle est rarement une bonne idée. Ils peuvent se chevaucher, ralentir le site et produire des alertes contradictoires. Mieux vaut un dispositif lisible : pare-feu côté réseau ou hébergeur, un outil WordPress bien configuré, puis des procédures claires.
Pour les accès sensibles, les passkeys méritent aussi d’être étudiées : elles remplacent le mot de passe par une clé cryptographique liée à l’appareil ou au gestionnaire d’identité. Le principe est expliqué dans notre dossier sur l’usage des passkeys sur un site web, utile si vous gérez des comptes clients ou un extranet.
Hébergement, Cloudflare, sauvegardes : le socle invisible
Un WordPress sécurisé sur un hébergement mal configuré reste fragile. L’hébergeur doit fournir des versions PHP maintenues, des sauvegardes, un accès SFTP plutôt que FTP, des certificats TLS et une isolation correcte entre sites. Chez OVHcloud, o2switch, Infomaniak ou un hébergement managé WordPress, les offres varient fortement sur ces points.
Cloudflare peut ajouter une couche utile : filtrage de trafic, règles WAF, limitation de débit, cache, protection DNS. Ce n’est pas un remplacement de la sécurité applicative, mais un bon amortisseur. Pour un site attaqué par force brute sur /wp-login.php, limiter les tentatives au niveau Cloudflare est souvent plus propre que de laisser PHP traiter chaque requête.
Les en-têtes HTTP méritent un réglage précis. HSTS oblige le navigateur à rester en HTTPS. Content-Security-Policy peut bloquer des scripts non autorisés, mais une politique trop stricte casse parfois les outils marketing, les cartes ou les lecteurs vidéo. X-Frame-Options limite l’intégration du site dans une frame, tandis que CSP frame-ancestors offre un contrôle plus complet.
Un point budget : sur un petit site, la sécurité coûte moins cher quand elle est prévue pendant une refonte. Si vous refaites votre site, pensez à intégrer les migrations, redirections, sauvegardes et contrôles SEO dans le même lot ; notre checklist de refonte WordPress sans perte de référencement donne les repères utiles.
Délais, risques et arbitrages pour un dirigeant
Pour un site vitrine standard, un durcissement propre prend généralement deux à cinq jours ouvrés : audit rapide, mises à jour, suppression des composants inutiles, 2FA, sauvegardes, règles de pare-feu, test de restauration et documentation. Pour un WooCommerce ou un espace connecté, comptez plutôt une à trois semaines, car il faut tester les parcours critiques.
Le coût dépend moins du nombre de pages que de l’état technique. Un site récent avec peu d’extensions se sécurise vite. Un WordPress vieux de six ans, avec un thème non maintenu, dix constructeurs de pages et des modifications faites directement dans le thème parent, demande souvent un nettoyage avant même de parler de sécurité.
Le cas où la solution évidente est mauvaise : tout mettre à jour d’un coup en production, sans sauvegarde restaurable ni environnement de test. Cela peut corriger les failles, puis casser le tunnel de commande ou le formulaire de demande de devis. Côté agence, le réflexe est de prioriser : sauvegarder, cloner, mettre à jour, tester, puis déployer par étapes.
Regardez aussi la sécurité comme un sujet d’organisation. Qui reçoit les alertes ? Qui valide une mise à jour sensible ? Qui désactive un compte salarié parti ? Pour un site avec données personnelles, ces questions rejoignent aussi les bonnes pratiques RGPD ; les erreurs de bandeaux et consentements sont abordées dans notre guide sur les pièges fréquents des cookies RGPD.
Cadrer ce type de chantier en amont évite la plupart des mauvaises surprises : inventaire, criticité des données, niveau de service attendu, budget de maintenance et procédure d’incident. C’est souvent là qu’un regard extérieur fait gagner du temps, surtout quand le site génère déjà des demandes commerciales ou des ventes.
FAQ sur la sécurité WordPress en 2026
Comment savoir si mon WordPress est vulnérable ?
Commencez par l’écran Santé du site : il signale les mises à jour désactivées, les échecs de mises à jour en arrière-plan, PHP obsolète et les extensions en attente. Vérifiez aussi la version WordPress, les plugins abandonnés et les comptes administrateurs.
Faut-il masquer l’URL wp-admin pour sécuriser WordPress ?
Masquer wp-admin peut réduire le bruit des robots, mais ce n’est pas une vraie protection seule. La 2FA, la limitation des tentatives, les mots de passe uniques et les mises à jour comptent beaucoup plus.
Combien coûte la sécurisation d’un site WordPress ?
En France, comptez autour de 600 à 2 500 € pour un durcissement sérieux d’un site vitrine ou PME, selon l’état initial. Un audit plus complet avec corrections pour WooCommerce ou espace client peut monter vers 1 800 à 5 000 €.
Un plugin comme Wordfence suffit-il ?
Non, il aide beaucoup s’il est bien configuré, mais il ne remplace pas les sauvegardes, la mise à jour de PHP, la suppression des plugins inutiles et la surveillance. La sécurité WordPress est une chaîne, pas un seul outil.
À quelle fréquence faut-il faire les mises à jour WordPress ?
Les correctifs de sécurité doivent être appliqués dès que possible, idéalement via mises à jour automatiques pour les versions mineures. Pour les extensions sensibles, une revue hebdomadaire est un bon rythme sur un site professionnel.