La très grande majorité des piratages WordPress n’exploitent pas une faille de WordPress lui-même, mais une extension non mise à jour ou un mot de passe faible. Douze actions suffisent à écarter l’essentiel du risque, et la moitié d’entre elles se mettent en place en moins d’une heure.

Un point important à comprendre d’abord : votre site n’est presque jamais visé personnellement. Des robots parcourent le web en permanence, testent des identifiants courants et cherchent des versions d’extensions vulnérables. Un site vitrine sans trafic est scanné exactement comme un site à fort trafic.

Les six actions à faire aujourd’hui

Supprimez le compte « admin ». Créez un compte administrateur avec un identifiant non devinable, puis supprimez l’ancien en réattribuant ses contenus. La moitié des attaques par force brute testent « admin » en premier.
Activez la double authentification. C’est la mesure au meilleur rapport efficacité/effort de toute la liste. Un mot de passe volé devient inexploitable seul.
Mettez tout à jour. Cœur, thèmes, extensions. Vérifiez ensuite que le site fonctionne — pas seulement la page d’accueil, mais aussi le formulaire de contact et le tunnel de commande si vous en avez un.
Supprimez ce qui ne sert pas. Thèmes inactifs, extensions désactivées, anciens comptes utilisateurs. Une extension désactivée reste présente sur le serveur et reste exploitable.
Vérifiez que le HTTPS est bien forcé. Le certificat ne suffit pas : la version en http doit rediriger vers https, sans exception.
Lancez une sauvegarde complète et téléchargez-la. Sur votre ordinateur ou un espace de stockage externe, pas sur le serveur du site.

Les six actions à mettre en place cette semaine

Installez une extension de sécurité. Wordfence ou Solid Security, configurée avec limitation des tentatives de connexion et alerte sur modification de fichier.
Automatisez les sauvegardes vers un stockage externe. Quotidienne pour une boutique, hebdomadaire pour un site vitrine, avec une rétention d’au moins trente jours.
Testez une restauration. C’est l’étape que tout le monde saute, et c’est celle qui révèle les sauvegardes corrompues — généralement le jour où on en a besoin.
Révisez les rôles utilisateurs. Un rédacteur n’a pas besoin d’être administrateur. Le rôle « Éditeur » ou « Auteur » suffit dans la plupart des cas.
Désactivez l’éditeur de fichiers dans l’administration. Une ligne dans wp-config.php empêche qu’un compte compromis modifie directement le code du thème.
Mettez en place une surveillance de disponibilité. Un service gratuit qui vous alerte si le site tombe vous fait gagner des heures sur un incident.

Que faire si le site est déjà compromis

Ne commencez pas par nettoyer. Commencez par constater l’étendue : quand la compromission a-t-elle eu lieu, quels fichiers ont été modifiés, quels comptes ont été créés. Sans cette étape, vous nettoierez la conséquence en laissant la cause.

La séquence qui fonctionne : isoler le site (mode maintenance), identifier le point d’entrée, restaurer depuis une sauvegarde antérieure à l’infection, appliquer toutes les mises à jour, changer tous les mots de passe — y compris FTP et base de données — puis demander une réévaluation à Google si le site a été signalé.

Restaurer une sauvegarde sans corriger la faille d’origine conduit systématiquement à une réinfection en quelques jours. C’est l’erreur la plus fréquente.

Ce qui ne sert à rien

Changer le préfixe des tables sur un site existant. Le gain est théorique, le risque de casser le site bien réel.
Masquer la version de WordPress. Elle se déduit d’une dizaine d’autres signaux. C’est de la sécurité par l’obscurité.
Déplacer la page de connexion. Cela réduit le bruit dans les journaux, pas le risque réel. Utile, mais très secondaire face à la double authentification.

Voir la formation Sécurité & Maintenance