Sécurité WordPress : le guide pour protéger le site de votre PME en Suisse

WordPress fait tourner une grande partie des sites de PME en Suisse romande. C'est un très bon outil, mais c'est aussi la cible préférée des pirates, justement parce qu'il est partout.

La bonne nouvelle : la grande majorité des piratages WordPress s'évitent. Ils ne viennent pas d'une attaque sophistiquée contre votre entreprise, mais d'un plugin oublié, d'un mot de passe faible ou d'une version de PHP dépassée.

Voici comment les sites se font pirater, ce qu'il faut mettre en place et quoi faire si c'est déjà arrivé.

Pourquoi les sites WordPress se font pirater

Personne ne vise votre site personnellement

Les attaques sont automatisées. Des robots scannent le web en continu à la recherche de sites qui utilisent une version vulnérable d'un plugin ou d'un thème. Quand ils en trouvent un, ils exploitent la faille, sans savoir ni se soucier de qui vous êtes.

Un cabinet de physiothérapie à Vevey est donc aussi exposé qu'une grande entreprise. Ce qui compte, c'est l'état du site, pas sa taille.

Les plugins, première porte d'entrée

Le cœur de WordPress est maintenu par une équipe de sécurité dédiée et corrigé rapidement. Le risque vient surtout des extensions :

• •Les plugins pas mis à jour. Quand une faille est corrigée, le correctif est public. Les pirates savent alors exactement quoi chercher sur les sites qui ne l'ont pas encore installé.
• •Les plugins abandonnés. Une extension que son développeur ne maintient plus ne recevra jamais de correctif. Elle reste vulnérable pour toujours.
• •Les thèmes et plugins piratés. Les versions « nulled » de plugins payants, téléchargées gratuitement sur des sites douteux, contiennent souvent du code malveillant dès l'installation.

Les accès mal protégés

Mots de passe réutilisés, comptes administrateurs d'anciens prestataires jamais supprimés, absence d'authentification à deux facteurs : les attaques par force brute testent des milliers de combinaisons sur la page de connexion jusqu'à trouver la bonne.

Un serveur ou PHP dépassé

WordPress tourne sur PHP. Chaque version de PHP ne reçoit des correctifs de sécurité que pendant une durée limitée. PHP 8.1 n'est plus maintenu depuis fin 2025 et PHP 8.2 ne le sera plus après fin 2026. Un site qui tourne encore sur une ancienne version cumule les failles connues côté serveur.

La checklist de sécurité WordPress

Ces mesures couvrent l'essentiel des risques. Elles demandent surtout de la régularité.

1. Tout garder à jour

• •Mettez à jour WordPress, les plugins et le thème dès qu'une version sort, en priorité quand elle corrige une faille.
• •Vérifiez que le site fonctionne après chaque mise à jour : un plugin incompatible peut casser une page ou un formulaire.
• •Passez à une version de PHP encore maintenue, PHP 8.3 ou plus récente.

2. Faire le ménage dans les plugins

• •Supprimez les plugins désactivés et ceux qui ne servent plus.
• •Remplacez les plugins qui n'ont pas reçu de mise à jour depuis longtemps.
• •N'installez que des extensions issues du répertoire officiel WordPress ou de leur éditeur.

3. Protéger les accès

• •Activez l'authentification à deux facteurs pour tous les administrateurs.
• •Utilisez des mots de passe uniques, stockés dans un gestionnaire de mots de passe.
• •Limitez les tentatives de connexion et supprimez les comptes qui ne servent plus.
• •Donnez à chaque personne le rôle minimum dont elle a besoin : un rédacteur n'a pas besoin d'être administrateur.

4. Ajouter un pare-feu

• •Wordfence ajoute un pare-feu applicatif, un scanner de malware et une protection de la page de connexion directement dans WordPress.
• •Cloudflare filtre une partie du trafic malveillant avant même qu'il atteigne votre serveur, et son plan gratuit suffit pour la plupart des sites vitrines.

5. Sauvegarder hors du serveur

Une sauvegarde stockée sur le même serveur que le site peut être touchée par la même attaque. Gardez des copies régulières à un autre endroit, et vérifiez de temps en temps que la restauration fonctionne vraiment.

6. Surveiller

Lire les logs du serveur, recevoir une alerte quand le site tombe ou quand un fichier est modifié : c'est ce qui permet de réagir en quelques heures plutôt qu'en quelques semaines.

Les signes que votre site est piraté

• •Vos visiteurs sont redirigés vers d'autres sites, parfois seulement sur mobile ou quand ils viennent de Google.
• •Des pages en japonais, de pharmacie ou de casino apparaissent dans Google sous votre nom de domaine.
• •Le navigateur affiche un avertissement « site dangereux ».
• •Votre hébergeur suspend le compte ou vous signale une activité suspecte.
• •Des administrateurs inconnus apparaissent dans WordPress.
• •Vos e-mails arrivent dans les spams de vos clients.

Que faire si votre site est piraté

1. Ne supprimez rien au hasard et ne restaurez pas une sauvegarde sans savoir si elle est saine : vous risquez d'effacer les traces utiles ou de remettre en ligne une version déjà infectée.
2. Changez les mots de passe de l'hébergement, de la messagerie et des comptes administrateurs.
3. Faites nettoyer le site en profondeur. Supprimer le code malveillant visible ne suffit pas : les pirates laissent souvent des portes dérobées pour revenir. Il faut aussi trouver et fermer la faille utilisée.
4. Demandez le réexamen à Google dans la Search Console une fois le site propre, pour lever les avertissements et retirer les pages de spam de l'index.

J'interviens sur ce type de situation, que j'aie créé le site ou non : voir mon service de nettoyage de site WordPress piraté et de dépannage WordPress.

Sécurité et nLPD : ce que la loi demande

La nouvelle loi fédérale sur la protection des données, en vigueur depuis le 1er septembre 2023, impose de protéger les données personnelles par des mesures techniques et organisationnelles adaptées au risque.

Si votre site collecte des données via un formulaire de contact, une boutique WooCommerce ou un espace client, sa sécurité fait partie de ces mesures. En cas de violation de la sécurité des données qui présente vraisemblablement un risque élevé pour les personnes concernées, une annonce au PFPDT est obligatoire.

Faire soi-même ou déléguer

Toutes les mesures de cette checklist peuvent se faire en interne. Le vrai défi, c'est la régularité : une faille publiée un lundi peut être exploitée dans les jours qui suivent, pendant que vous êtes occupé à faire tourner votre entreprise.

C'est pour ça que j'ai créé un abonnement maintenance et cyberdéfense WordPress à CHF 100.- par mois hors TVA, frais de mise en place offerts. Il comprend :

• •les mises à jour de WordPress, des plugins, du thème et de PHP dès qu'une version sort,
• •un audit de sécurité quotidien et l'analyse des logs,
• •l'installation et la configuration de Wordfence, et de Cloudflare si besoin,
• •la surveillance continue du site par mon agent IA, 24h/24 et 7j/7,
• •la réparation et le nettoyage du site sans frais en cas de piratage.

Vous voulez d'abord savoir où en est votre site ? Demandez un audit de sécurité de votre site : je vous envoie la liste des failles trouvées et comment les corriger.