Un site WordPress mal protégé peut être compromis en quelques heures, et les conséquences dépassent largement la technique : pages défigurées, redirections vers des sites frauduleux, perte de positions dans Google, voire blocage complet par les navigateurs. Les développeurs de les développeurs de Geek Tonic constatent régulièrement que la majorité des incidents auraient pu être évités par des mesures simples appliquées en amont. WordPress alimente plus de 40 % du web, ce qui en fait une cible privilégiée : des milliers de scans automatisés cherchent chaque jour des extensions obsolètes ou des mots de passe faibles.
Pourquoi la sécurité d'un site WordPress influence directement le SEO
Un piratage n'est pas qu'un problème technique. Google pénalise les sites compromis de plusieurs façons :
- Messages d'action manuelle dans Search Console pour contenu piraté ou spam injecté.
- Suppression des résultats : un site détourné peut disparaître des pages de résultats pendant plusieurs semaines.
- Avertissements navigateur : Chrome et Firefox affichent un écran rouge « site dangereux », ce qui fait chuter le taux de clic de 80 à 95 %.
- Perte de confiance : les backlinks acquis deviennent moins pertinents si les pages pointées changent de contenu.
Une faille exploitée peut aussi injecter des milliers de pages de spam indexées en quelques jours, qu'il faut ensuite désindexer une par une. Le coût de nettoyage est souvent dix fois supérieur à celui de la prévention.
Les fondations : mises à jour, mots de passe et accès administrateur
Environ 60 % des compromissions WordPress proviennent d'extensions ou de thèmes obsolètes. La première mesure consiste donc à automatiser les mises à jour mineures de WordPress et à vérifier chaque semaine l'état des extensions.
Mises à jour
- Activer les mises à jour automatiques pour le cœur de WordPress (versions mineures de sécurité).
- Mettre à jour les extensions majeures après sauvegarde et test sur un environnement de préproduction.
- Supprimer toute extension ou tout thème inactif : un plugin désactivé mais présent reste une porte d'entrée potentielle.
Authentification
- Mot de passe d'au moins 16 caractères, unique, généré par un gestionnaire de mots de passe.
- Authentification à deux facteurs (2FA) activée pour tous les comptes administrateur.
- Limitation des tentatives de connexion : un pare-feu bloque l'IP après 3 à 5 échecs.
- Renommage ou protection de l'URL
/wp-adminet de/wp-login.phppar une règle serveur ou un plugin dédié.
Le compte « admin » par défaut doit être supprimé : il concentre une part importante des attaques par force brute. Un compte éditeur nominatif par personne permet aussi de tracer les actions.
Durcir la configuration serveur et WordPress
Quelques réglages techniques réduisent considérablement la surface d'attaque :
| Mesure | Effet |
|---|---|
| Désactiver l'édition de fichiers dans l'administration | Empêche l'injection de code via l'éditeur de thèmes |
Bloquer l'exécution PHP dans /wp-content/uploads | Neutralise l'upload de scripts malveillants |
| Forcer HTTPS avec HSTS | Protège les cookies de session contre l'interception |
Restreindre l'accès à wp-config.php et xmlrpc.php | Coupe deux vecteurs d'attaque classiques |
| Désactiver l'affichage des erreurs PHP | Évite de divulguer des chemins serveur exploitables |
Ces réglages se font dans wp-config.php, dans le fichier .htaccess ou dans la configuration Nginx. Un pare-feu applicatif web (WAF) comme Cloudflare, Wordfence ou Sucuri ajoute une couche de filtrage avant même que la requête n'atteigne WordPress.
Sauvegardes et plan de reprise
Une sauvegarde régulière est la seule garantie de restaurer un site en quelques heures plutôt qu'en plusieurs jours. Trois règles structurent une stratégie efficace :
- Fréquence : sauvegarde quotidienne de la base de données, hebdomadaire des fichiers, ou plus fréquente pour un site e-commerce.
- Externalisation : stockage chez un prestataire distinct de l'hébergeur (S3, Google Drive, Dropbox) pour survivre à une panne serveur.
- Test de restauration : une sauvegarde jamais restaurée ne vaut rien. Un test trimestriel sur un environnement de test valide la procédure.
Conserver 30 jours d'historique permet de remonter à l'origine d'une infection, souvent détectée plusieurs semaines après l'intrusion.
Surveillance, détection et réaction
La détection précoce limite l'impact SEO. Plusieurs signaux doivent alerter :
- Nouveaux comptes administrateur inconnus.
- Fichiers modifiés dans les dossiers de thèmes ou d'extensions.
- Augmentation anormale du trafic sortant (envoi de spam).
- Pages indexées qui explosent dans Search Console, souvent signe d'injection de contenu.
- Chute brutale du trafic organique de 30 % ou plus en quelques jours.
Des outils comme Wordfence, iThemes Security ou Jetpack Scan envoient des alertes par e-mail en cas de modification suspecte. Un audit mensuel des journaux d'accès permet de repérer les tentatives répétées d'un même IP.
En cas de compromission, la procédure est connue : mise en maintenance, restauration depuis une sauvegarde saine, changement de tous les mots de passe et clés de sécurité (AUTH_KEY, SALT), analyse des fichiers, puis demande de réexamen dans Search Console. Le délai moyen de rétablissement d'un site nettoyé correctement se situe entre 3 et 10 jours, mais la réindexation complète peut prendre plusieurs semaines.
Conclusion
Sécuriser un site WordPress repose sur une discipline régulière plutôt que sur un outil unique : mises à jour suivies, authentification renforcée, configuration serveur durcie, sauvegardes externalisées et surveillance active. Ces mesures représentent quelques heures de travail initial et une trentaine de minutes par mois, un investissement largement inférieur au coût d'un nettoyage après piratage et à la perte de positions qu'il entraîne.
