La création de sites internet à Béziers est devenue, avec l’IA, de plus en plus à la portée des professionnels qui ont du temps devant eux. L’outil WordPress – dont j’ai connu les premières versions en 2003 – est encore la plateforme la plus utilisée en 2026 pour créer son site, représentant plus de 40 % du web (source : W3Techs). C’est ce qui en fait un excellent choix : une communauté énorme, des milliers d’extensions, une documentation dans toutes les langues.
C’est aussi ce qui en fait une cible privilégiée : un pirate qui trouve une faille dans une extension populaire ne s’attaque pas à votre site en particulier, il s’attaque d’un coup aux dizaines de milliers de sites qui l’ont installée. Les attaques ne sont presque jamais ciblées, elles sont automatisées et industrialisées.
La question n’est donc pas de savoir si votre site sera visé, mais ce qui se passera le jour où il le sera.
Pourquoi sécuriser son site WordPress
Quand j’aborde le sujet avec un client, la réponse est souvent la même : « je n’ai rien d’important sur mon site, ça n’intéresse personne ». C’est une erreur de raisonnement. Un site piraté n’intéresse pas le pirate pour son contenu, il l’intéresse pour ce qu’il permet de faire : héberger du spam, rediriger du trafic, envoyer des emails frauduleux, ou simplement servir de relais.
Voici les quatre raisons concrètes pour lesquelles je considère la sécurité comme non négociable.
1. Protéger vos données et celles de vos visiteurs
Votre site héberge souvent des informations sensibles, et plus que vous ne l’imaginez : coordonnées de clients, historiques de commandes, messages reçus via vos formulaires, et bien sûr vos propres accès.
Une intrusion expose ces données à des tiers malveillants. Au-delà du préjudice pour vos clients, le RGPD vous impose de notifier la CNIL sous 72 heures en cas de violation de données personnelles, et d’informer les personnes concernées lorsque le risque est élevé. Ce n’est pas une formalité administrative : c’est une conversation que personne n’a envie d’avoir avec sa clientèle.
Décembre 2024 : 58 nouveaux emails non lus. Août 2026 : rebelote !
Tous des « notifications de blocage », envoyées de nuit et dans un laps de temps très court.
2. Préserver votre référencement naturel (SEO)
C’est le point que mes clients sous-estiment le plus, et de loin.
Un site piraté sert très souvent à faire du référencement parasite. Le pirate génère des milliers de pages sur votre nom de domaine, remplies de liens vers ses propres sites ou vers du contenu illégal. Vous ne voyez rien : ces pages n’apparaissent pas dans votre menu, ni dans votre back-office car elles ont été masquées dans les interfaces.
En 2025 j’ai récupéré un site dans exactement cette situation. La cliente m’a contacté pour changer d’hébergeur et mettre à jour son site internet. En ouvrant sa Google Search Console, j’ai trouvé entre 6 000 et 10 000 pages indexées sur son domaine. Son site en comptait normalement une dizaine. Tout le reste avait été généré par l’attaquant, et Google avait consciencieusement tout indexé.
Nettoyer les traces de ce type de piratage ne se limite pas à supprimer les fichiers. Il faut désindexer les pages parasites, purger les injections dans la base de données, vérifier qu’aucune porte dérobée ne subsiste, puis reconstruire patiemment la confiance de Google pour retrouver le référencement naturel précédent.
Cela prend des semaines, parfois des mois. Une prévention correcte aurait permis d’éviter tout ce temps perdu.
3. Éviter les pertes financières
Un site hors ligne ou compromis, ce sont des ventes qui ne se font pas, des prospects qui partent chez le concurrent, et une facture de remise en état qui n’était pas au budget.
Il faut aussi compter ce qu’on ne voit pas immédiatement : le temps que vous passez à gérer la crise, les emails à vos clients pour expliquer la situation, et la perte de visibilité qui se prolonge bien après que le site soit techniquement réparé.
Une intervention en urgence coûte toujours plus cher qu’une maintenance régulière. Sur ce point, je n’ai jamais rencontré d’exception.
4. Éviter de découvrir le problème trop tard
Le piratage bruyant qui affiche un drapeau et un message de revendication sur la page d’accueil, c’est devenu rare. Aujourd’hui, un attaquant a tout intérêt à rester invisible le plus longtemps possible.
J’ai eu affaire à un cas particulièrement bien pensé. Sur la page d’accueil d’un site client, une redirection envoyait le visiteur vers un site pour adultes. Mais uniquement à la toute première visite. L’adresse IP était mémorisée, et à partir de la deuxième connexion le site s’affichait normalement.
Le résultat est redoutable. Le propriétaire du site ne voit jamais rien : il visite son site tous les jours, donc son IP est enregistrée depuis longtemps. Son entourage non plus, pour la même raison. Seuls les nouveaux visiteurs, c’est à dire précisément les prospects, tombent sur la redirection. Et comme ils ne reviennent évidemment jamais, personne ne remonte l’information.
C’est aussi une façon d’échapper aux détections automatiques : un robot qui repasse plusieurs fois sur la page ne voit la redirection qu’une seule fois, ce qui complique le signalement.
Ce genre de scénario ne se détecte pas en regardant son site. Il se détecte avec de la surveillance.
Comment sécuriser un site WordPress correctement
Avant d’ajouter quoi que ce soit, je regarde ce qui est en place : version de WordPress, extensions installées et inactives, thème et thème de secours, comptes utilisateurs actifs et configuration de l’hébergement.
Sur les sites que je récupère, je trouve régulièrement des extensions désactivées mais toujours présentes sur le serveur, parfois depuis des années. Une extension désactivée reste un fichier accessible : si elle contient une faille, elle est exploitable.
1. Des mises à jour régulières, pas automatiques et oubliées
WordPress, les extensions et le thème doivent être tenus à jour. C’est la mesure la plus efficace et la plus négligée. Car il arrive que WordPress puisse émettre plusieurs mises à jour dans un court laps de temps : en août 2026, pas moins de 3 mises à jour de sécurité ont été déployées en moins d’un mois, uniquement pour la base de WordPress.
Mais mettre à jour à l’aveugle a ses propres risques : une extension mise à jour peut casser un affichage ou entrer en conflit avec une autre. C’est pour cela que je fais les mises à jour manuellement, avec une sauvegarde préalable et une vérification visuelle du site après coup. Cela prend quelques minutes et évite de découvrir trois semaines plus tard que le formulaire de contact ne fonctionne plus.
2. Un hébergement configuré correctement
Beaucoup de choses se jouent au niveau du serveur : version de PHP à jour, protection du fichier de configuration, désactivation des fonctions inutiles, restriction d’accès à la page de connexion, blocage des tentatives répétées.
C’est là que mon parcours en administration systèmes et réseaux sert directement. Une bonne partie des mesures les plus efficaces ne s’installent pas depuis le tableau de bord WordPress.
3. Des sauvegardes testées
Une sauvegarde qu’on n’a jamais essayé de restaurer n’est pas une sauvegarde, c’est une hypothèse.
Je m’assure que les sauvegardes sont externalisées. Pas uniquement sur le serveur qui héberge le site, sinon elles disparaissent avec lui : le cas le plus parlant est celui de l’incendie du centre de données OVH en 2021 dans lequel plusieurs sites internet ont été définitivement perdus faute de sauvegardes externalisées.
JE conseille aussi que ces sauvegardes soient suffisamment fréquentes pour ne pas perdre de contenu, c’est particulièrement important pour des sites ecommerce contenant historiques de commandes, données clients, catalogue de produits…
4. De la surveillance et de la réactivité
C’est le point qui fait la différence entre un site protégé et un site « simplement équipé ».
Les 58 notifications que je reçois en une nuit ne sont pas un problème en soi, ce sont des attaques bloquées : le système et l’extension font leur travail. Le problème apparaîtrait si personne ne les lisait, ou si une tentative finissait par aboutir sans que quiconque s’en aperçoive.
Le cas de la redirection conditionnelle est parlant : sans surveillance active, ce site aurait pu rester dans cet état pendant des mois. Le propriétaire n’avait aucun moyen de le voir par lui même.
En résumé : sécuriser son site WordPress est indispensable !
Un site WordPress bien tenu, c’est une installation à jour, un hébergement configuré, des sauvegardes qui fonctionnent et quelqu’un qui regarde ce qui se passe.
Ce n’est pas un chantier permanent mais une routine, qui coûte infiniment moins cher que la remise en état d’un site piraté, et surtout beaucoup moins cher que la reconstruction d’un référencement perdu.
Si vous avez un doute sur l’état de votre site, ou si vous voulez simplement savoir où vous en êtes, je vous propose un point téléphonique gratuit de 30 minutes. Nous regardons ensemble votre installation, je vous dis ce qui va et ce qui ne va pas, sans engagement.
FAQ - Sécuriser son site WordPress
Un plugin de sécurité suffit-il à protéger mon site ?
Non. Une extension de sécurité bloque une partie des attaques automatisées, ce qui est déjà utile, mais elle ne remplace ni les mises à jour, ni la configuration du serveur, ni les sauvegardes, ni la surveillance. C’est une brique, pas une solution complète.
À quelle fréquence faut-il mettre à jour WordPress ?
Dès qu’une mise à jour de sécurité est publiée, sans attendre. Pour les mises à jour classiques, une intervention mensuelle avec sauvegarde préalable et vérification du site couvre correctement le besoin de la plupart des sites vitrines.
Comment savoir si mon site WordPress est piraté ?
Les signaux les plus courants : une chute de trafic inexpliquée, des pages inconnues qui apparaissent dans la Search Console, un avertissement de Google, des fichiers récents que vous n’avez pas créés, ou des retours de visiteurs qui décrivent un comportement que vous ne reproduisez pas. Ce dernier point est important : si un visiteur vous signale quelque chose d’anormal que vous ne voyez pas, prenez le au sérieux.
Que faire si mon site est déjà compromis ?
Ne supprimez rien dans la précipitation et ne restaurez pas immédiatement une sauvegarde : si la faille est encore là, le site sera recompromis dans les jours qui suivent. Il faut d’abord identifier le point d’entrée, puis nettoyer, puis colmater. Contactez un professionnel avant d’agir.
Mon hébergeur ne s'occupe-t-il pas de la sécurité ?
Votre hébergeur sécurise son infrastructure : les serveurs, le réseau, parfois un pare-feu. Il permet, comme O2switch.net que je recommande aujourd’hui, de configurer la sécurisation des connexions au site, le filtrage des adresses IP… Il ne sécurise pas votre installation WordPress, vos extensions ni vos mots de passe. La responsabilité de ce qui tourne sur l’hébergement vous revient.
