Sécuriser WordPress : les 15 réglages à faire dès aujourd’hui

Comptes, double authentification, mises à jour, sauvegardes, pare-feu, XML-RPC, wp-config, PHP : les 15 réglages pour sécuriser votre site WordPress, classés par priorité.

Team EVICO

Membre de l’équipe EVICO, agence spécialisée dans la création de sites internet, le référencement naturel et le marketing digital. Notre équipe accompagne les entreprises dans le développement de leur visibilité en ligne à travers des stratégies web performantes et des contenus à forte valeur ajoutée.

Publié le 12 novembre 2026

Sécuriser WordPress : les 15 réglages à faire dès aujourd'hui

Pour sécuriser un site WordPress, commencez par cinq gestes qui prennent moins d’une heure : supprimer les comptes inutiles, imposer des mots de passe longs, activer la double authentification, tout mettre à jour et désinstaller les extensions qui ne servent plus. Viennent ensuite des sauvegardes externalisées, un pare-feu applicatif et quelques réglages techniques (XML-RPC, wp-config.php, droits des fichiers, version de PHP). Voici les 15 réglages que nous appliquons sur chaque site que l’on nous confie, classés par priorité et par difficulté.

Pourquoi cet ordre ? Parce que les robots visent d’abord les portes les plus faciles : nous avons détaillé les chiffres dans notre article pourquoi les sites WordPress se font pirater ; ici, on passe à la pratique.

Les 15 réglages en un coup d’œil

#	Réglage	Priorité	Difficulté
1	Faire le ménage dans les comptes	Aujourd’hui	Facile
2	Mots de passe longs et uniques	Aujourd’hui	Facile
3	Double authentification	Aujourd’hui	Facile
4	Tout mettre à jour	Aujourd’hui	Facile
5	Supprimer les extensions et thèmes inutiles	Aujourd’hui	Facile
6	Sauvegardes externalisées et testées	Aujourd’hui	Moyen
7	Limiter les tentatives de connexion	Cette semaine	Facile
8	Pare-feu applicatif et scan de vulnérabilités	Cette semaine	Moyen
9	Désactiver XML-RPC si inutile	Cette semaine	Moyen
10	Bloquer l’éditeur de fichiers	Cette semaine	Facile
11	HTTPS partout, y compris l’administration	Cette semaine	Facile à moyen
12	Durcir wp-config.php	Ce mois-ci	Moyen
13	Droits des fichiers et de la base	Ce mois-ci	Avancé
14	Une version de PHP supportée	Ce mois-ci	Moyen
15	Journal d’activité et surveillance	Ce mois-ci	Moyen

« Facile » signifie faisable depuis l’administration WordPress, sans toucher au code. « Moyen » demande un accès à l’hébergement ou une extension à configurer. « Avancé » suppose un accès FTP ou SSH et de savoir revenir en arrière.

Priorité 1 : à faire aujourd’hui

1. Faire le ménage dans les comptes utilisateurs

Ouvrez Comptes > Tous les comptes et filtrez sur « Administrateur ». Sur les sites que nous reprenons, nous trouvons souvent des comptes d’anciens prestataires ou salariés, toujours actifs. Supprimez-les (WordPress propose d’attribuer leurs contenus à un autre compte) et appliquez le principe du moindre privilège : un rédacteur n’a pas besoin d’être administrateur, le rôle « Éditeur » ou « Auteur » suffit. Évitez aussi l’identifiant « admin », le premier testé par les robots.

Difficulté : facile, 10 minutes.

2. Imposer des mots de passe longs et uniques

La CNIL recommande, pour un mot de passe utilisé seul, une robustesse d’au moins 80 bits d’entropie : par exemple 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou une phrase de passe d’au moins 7 mots. Le plus important reste l’unicité : un mot de passe réutilisé sur un service qui a fuité ouvre directement votre administration. Utilisez un gestionnaire de mots de passe, y compris pour l’hébergement et le FTP.

Difficulté : facile.

3. Activer la double authentification

La documentation officielle de WordPress sur le durcissement (Hardening WordPress) recommande l’authentification en deux étapes. Avec une application comme Google Authenticator ou une clé de sécurité, un mot de passe volé ne suffit plus pour entrer. Plusieurs extensions gratuites le font (Two Factor, Wordfence Login Security…). Nous l’activons sur tous les comptes qui peuvent publier.

Difficulté : facile, 5 minutes par compte.

4. Tout mettre à jour, et garder le rythme

Cœur, thème, extensions, traductions. Depuis WordPress 3.7, les versions mineures et de sécurité du cœur s’installent automatiquement par défaut : vérifiez que ce réglage n’a pas été désactivé. Pour les extensions, WordPress permet d’activer les mises à jour automatiques extension par extension. Notre pratique : automatique pour les extensions simples et réputées, mise à jour manuelle et testée (formulaires, paiement, pages clés) pour les extensions structurantes comme le constructeur de pages ou WooCommerce. Le rythme compte : WordPress a publié trois versions de sécurité entre le 17 septembre et le 6 octobre 2026.

Difficulté : facile, mais régulier.

5. Supprimer les extensions et thèmes inutiles

Une extension désactivée reste présente sur le serveur, et ses fichiers peuvent rester exploitables. Supprimez tout ce qui ne sert pas, ne gardez qu’un thème de secours (un thème par défaut de WordPress). Une extension sans mise à jour depuis plus d’un an mérite une alternative. Enfin, n’installez jamais d’extension ou de thème premium « gratuit » téléchargé hors du site de l’éditeur : c’est l’une des portes d’entrée que nous retrouvons le plus souvent lors d’un nettoyage.

Difficulté : facile.

6. Mettre en place des sauvegardes externalisées et testées

La sauvegarde ne protège pas d’une attaque, elle permet d’en revenir. Elle doit être automatique, conservée hors de votre hébergement (un stockage distant), couvrir fichiers et base de données, et être testée par une vraie restauration de temps en temps. Nous détaillons la règle dans notre article sur la sauvegarde WordPress selon la méthode 3-2-1.

Difficulté : moyen (une extension à configurer et un stockage distant).

Priorité 2 : à faire cette semaine

7. Limiter les tentatives de connexion

Wordfence a bloqué plus de 55 milliards d’attaques par mot de passe en 2024 sur les sites qu’il protège. Bloquer temporairement une adresse après quelques échecs coupe court à la force brute. C’est aussi ce que la CNIL prend en compte : avec un mécanisme de limitation des tentatives, l’entropie minimale qu’elle recommande descend à 50 bits. La plupart des extensions de sécurité l’incluent.

Difficulté : facile.

8. Installer un pare-feu applicatif et un scan de vulnérabilités

C’est le rôle des extensions de sécurité WordPress (Wordfence, Solid Security, Patchstack, Sucuri…) : filtrer les requêtes malveillantes, scanner les fichiers et surtout vous alerter quand une extension installée a une faille connue. Pourquoi ne pas se contenter du pare-feu de l’hébergeur ? Parce qu’en 2025, Patchstack a testé les protections de plusieurs hébergeurs connus contre de vraies attaques WordPress : seules 26 % ont été bloquées. Un pare-feu qui connaît WordPress et ses extensions est plus efficace. Une seule extension de sécurité suffit : en empiler plusieurs crée des conflits et ralentit le site.

Difficulté : moyen (installation simple, réglages à comprendre).

9. Désactiver XML-RPC si vous ne l’utilisez pas

Le fichier xmlrpc.php permet à des applications externes de publier sur le site. Il est rarement utile aujourd’hui (l’API REST l’a remplacé dans la plupart des usages), mais il est très sollicité par les robots, notamment pour tester des mots de passe en masse. Sauf si vous utilisez Jetpack, l’application mobile WordPress ou un outil de publication externe, désactivez-le via votre extension de sécurité ou une règle serveur.

Difficulté : moyen.

10. Bloquer l’éditeur de fichiers intégré

Par défaut, un administrateur peut modifier le code du thème et des extensions depuis le tableau de bord. Si un pirate obtient un accès administrateur, c’est l’outil idéal pour injecter du code. La documentation officielle recommande d’ajouter une ligne dans wp-config.php : define( 'DISALLOW_FILE_EDIT', true );.

Difficulté : facile si vous avez accès aux fichiers.

11. HTTPS partout, administration comprise

La quasi-totalité des hébergeurs fournit aujourd’hui un certificat gratuit. Vérifiez que toutes les pages redirigent vers la version en https, que l’adresse du site est bien en https dans Réglages > Général, et que l’administration est elle aussi chiffrée : le guide officiel de durcissement recommande l’administration en SSL (constante FORCE_SSL_ADMIN).

Difficulté : facile à moyen (attention aux contenus mixtes après la bascule).

Un doute sur la sécurité de votre site ? Nous nettoyons les sites WordPress piratés sous 24 à 48 h et sécurisons durablement les autres via notre maintenance WordPress. Ou contactez-nous : devis gratuit, réponse sous 24 h.

Priorité 3 : à faire ce mois-ci

12. Durcir le fichier wp-config.php

Ce fichier contient les identifiants de votre base de données. La documentation WordPress recommande des droits en 400 ou 440 (lecture seule) et d’en interdire l’accès direct par une règle serveur. Profitez-en pour renouveler les clés de sécurité (les « salts ») avec le générateur officiel de WordPress.org : cela déconnecte toutes les sessions ouvertes, y compris celles d’un éventuel intrus.

Difficulté : moyen.

13. Régler les droits des fichiers et de la base de données

Les valeurs de référence données par WordPress : 755 pour les dossiers, 644 pour les fichiers. Côté base de données, l’utilisateur MySQL du site n’a besoin, pour fonctionner au quotidien, que des droits SELECT, INSERT, UPDATE et DELETE. Retirer les droits plus larges limite les dégâts en cas d’injection. Attention : certaines mises à jour qui modifient la base exigent de rétablir ces droits temporairement.

Difficulté : avancé.

14. Passer sur une version de PHP supportée

PHP est le langage qui exécute WordPress sur le serveur. WordPress.org recommande PHP 8.3 ou plus. Selon le calendrier officiel de php.net, la branche 8.2 ne reçoit plus que des correctifs de sécurité jusqu’au 31 décembre 2026, et les versions antérieures n’en reçoivent plus du tout. Un PHP obsolète, ce sont des failles serveur qui ne seront jamais corrigées. Le changement se fait souvent en un clic chez l’hébergeur, mais testez d’abord sur une copie. Si votre hébergeur ne propose pas de version récente, il est temps d’en changer (voir notre comparatif mutualisé, VPS ou infogéré).

Difficulté : moyen.

15. Garder un journal d’activité et surveiller

Un journal d’activité enregistre qui se connecte, qui installe une extension, qui modifie une page. En cas d’incident, c’est lui qui permet de dater l’intrusion et de trouver la porte d’entrée. Ajoutez une surveillance de disponibilité (une alerte si le site tombe), un contrôle d’intégrité des fichiers et déclarez le site dans Google Search Console, qui vous prévient s’il détecte un piratage. Et quelqu’un doit lire les alertes.

Difficulté : moyen.

Ce qui rassure mais protège peu

Certaines astuces circulent beaucoup et donnent un faux sentiment de sécurité :

Renommer l’adresse de connexion (wp-admin) : cela réduit le bruit des robots, mais ne remplace ni un bon mot de passe ni la double authentification.
Masquer la version de WordPress : les robots testent les failles sans se soucier de la version affichée.
Changer le préfixe des tables « wp_ » sur un site existant : la documentation officielle le cite, mais l’opération est risquée sur un site en production pour un gain limité. Nous le faisons à la création du site, rarement après.
Empiler trois extensions de sécurité : elles se gênent entre elles et ralentissent le site. Une seule, bien réglée, vaut mieux.

Combien de temps cela prend, et qui doit s’en charger ?

Les réglages 1 à 7 et 10 sont à la portée d’un dirigeant à l’aise avec l’administration WordPress : comptez une demi-journée. Les réglages 8, 9 et 11 à 15 demandent un accès à l’hébergement et de savoir réparer si quelque chose casse. Surtout, la sécurité n’est pas un réglage unique : les mises à jour, la lecture des alertes et le test des sauvegardes reviennent chaque semaine.

C’est précisément ce que couvre notre maintenance WordPress, assurée par une équipe 100 % interne. Et si vous pensez que votre site est déjà compromis, ne commencez pas par ces réglages : faites d’abord nettoyer et sécuriser le site piraté, sinon la porte dérobée restera en place. Pour un projet de création ou de refonte, notre agence WordPress à Bordeaux intègre ces 15 réglages dès la mise en ligne.

Questions fréquentes

Comment sécuriser un site WordPress gratuitement ?

Les réglages les plus efficaces sont gratuits : supprimer les comptes inutiles, utiliser des mots de passe uniques, activer la double authentification, tout mettre à jour et supprimer les extensions inutilisées. Des extensions de sécurité gratuites couvrent aussi la limitation des connexions et le scan de fichiers.

Quel est le meilleur plugin de sécurité WordPress ?

Il n’y a pas de meilleur absolu : Wordfence, Solid Security, Patchstack ou Sucuri ont chacun leurs points forts. Le critère décisif, c’est l’alerte sur les extensions vulnérables et le pare-feu applicatif. Installez-en une seule, bien configurée, plutôt que plusieurs qui se gênent.

Faut-il désactiver XML-RPC sur WordPress ?

Oui, si vous n’utilisez ni Jetpack, ni l’application mobile WordPress, ni un outil de publication externe. XML-RPC est très sollicité par les robots pour tester des mots de passe. Testez le site après la désactivation.

Les mises à jour automatiques WordPress sont-elles risquées ?

Pour les versions mineures et de sécurité du cœur, actives par défaut depuis WordPress 3.7, le risque est faible et le bénéfice élevé. Pour les extensions structurantes (constructeur de pages, WooCommerce, paiement), nous préférons une mise à jour testée, précédée d’une sauvegarde.

Quelle version de PHP pour WordPress ?

WordPress.org recommande PHP 8.3 ou plus. Selon php.net, PHP 8.2 ne reçoit plus que des correctifs de sécurité jusqu’au 31 décembre 2026 et les versions antérieures ne sont plus supportées. Testez le changement sur une copie du site avant de l’appliquer.