Les 10 principaux problèmes de sécurité de WordPress [+ comment les éviter]

WordPress alimente près de la moitié du web pour une bonne raison, mais cette popularité a un prix : celui de la sécurité. Un plugin défaillant, un thème obsolète ou un mot de passe paresseux, et votre site devient une cible facile. 

Dans ce guide, nous allons vous présenter les 10 failles de sécurité les plus dangereuses qui menacent votre site WordPress aujourd'hui et vous montrer comment les corriger.

Les 10 principaux problèmes de sécurité de WordPress et leurs corrections

1. Vulnérabilités dans les plugins et les thèmes

Les plugins et les thèmes obsolètes constituent un point d'entrée idéal pour les pirates informatiques. 

Lorsque des failles de sécurité sont découvertes dans les composants de WordPress, elles sont rapidement rendues publiques et corrigées - mais si vous ne procédez pas à des mises à jour, vous laissez votre porte ouverte aux attaques.

Et il ne s'agit pas d'un problème spécifique à WordPress. La popularité de WordPress en fait une cible privilégiée pour les chercheurs en sécurité et les pirates informatiques. Ce n'est pas parce que WordPress n'est pas sûr, c'est parce qu'il est populaire. Plus une plateforme est utilisée, plus elle est examinée de près.

Des mises à jour régulières permettent également d'éviter les problèmes de compatibilité susceptibles de dégrader les performances de votre site, ce qui peut entraîner une perte de données, des fonctionnalités défectueuses et la frustration des visiteurs.

Comment éviter les vulnérabilités des plugins :

• Mettez en place une routine pour vérifier les mises à jour des plugins, des thèmes et du noyau. Ou mieux encore, activez les mises à jour automatiques dans WordPress pour vous décharger d'une tâche supplémentaire.
• N'installez que des plugins et des thèmes provenant du dépôt officiel de WordPress ou de développeurs reconnus. Vous saurez ainsi qu'ils sont activement maintenus et qu'ils sont beaucoup moins susceptibles de vous exposer.
• Si un plugin ou un thème n'est pas utilisé, supprimez-le. Même les plugins inactifs peuvent être exploités s'ils sont obsolètes ou mal entretenus.
• Utilisez un outil de gestion WordPress comme WP Umbrella pour simplifier l'ensemble de votre flux de travail de maintenance. Il s'agit d'un excellent plugin pour sauvegarder votre site web, surveiller le temps de fonctionnement et les performances, programmer des analyses automatisées pour les vulnérabilités, détecter les problèmes PHP, et bien plus encore.

Lire aussi : 5 outils pour analyser les vulnérabilités des sites WordPress

2. Attaques par force brute

Les attaques par force brute sont ce qu'elles semblent être. Il s'agit de tentatives de connexion incessantes par des robots qui essaient des milliers de combinaisons de noms d'utilisateur et de mots de passe jusqu'à ce qu'ils s'introduisent dans le système.

Comme ces attaques sont menées par des robots, elles sont rapides, automatisées et dangereuses. Un mot de passe faible comme "ADMIN123" peut être déchiffré en quelques secondes. Pire encore, des tentatives de connexion répétées peuvent surcharger votre serveur ou bloquer les utilisateurs réels.

Comment éviter les attaques par force brute :

• Utilisez des mots de passe forts et uniques pour tous les comptes.
• Activez l'authentification à deux facteurs (2FA) pour une protection supplémentaire. Selon Melapress, 41 % des utilisateurs de WordPress n'utilisent pas l'authentification à deux facteurs ou des mots de passe forts.
• Bloquer les IP après 3 à 5 tentatives infructueuses pour mettre fin au jeu de devinettes sans fin.
• Ajoutez un CAPTCHA à votre page de connexion pour empêcher les attaques automatiques des robots.
• Utilisez un plugin de sécurité pour surveiller les connexions et bloquer automatiquement les adresses IP suspectes.

3. Attaques de type "Cross-Site Scripting" (XSS)

En 2023, XSS représentait 53,3 % de toutes les nouvelles vulnérabilités dans l'écosystème WordPress, ce qui en fait le type d'exploit le plus courant. Les attaques XSS injectent des scripts malveillants dans la partie frontale de votre site par le biais de formulaires, de sections de commentaires et d'autres entrées utilisateur. Le code s'exécute dans le navigateur de toute personne qui visite la page compromise, souvent sans être détecté.

Les attaquants utilisent XSS pour voler des cookies, des jetons de session et des données sensibles de l'utilisateur. Ils peuvent se faire passer pour des utilisateurs, les rediriger vers des pages de phishing ou prendre le contrôle de comptes. Ces attaques passent souvent inaperçues et peuvent causer des dommages importants avant d'être repérées. 

Comment éviter les attaques XSS :

• Installez un plugin de sécurité fiable ou utilisez un pare-feu d'application Web (WAF) pour détecter et bloquer les tentatives de XSS en temps réel.
• Validez et assainissez toutes les entrées et sorties des utilisateurs. Ne faites jamais confiance aux données provenant de formulaires, d'URL ou de sources externes sans un filtrage approprié.
• Ajoutez des en-têtes de politique de sécurité du contenu à votre site pour contrôler quels scripts peuvent être exécutés et à partir de quelles sources.
• Respecter les normes de codage sécurisées en échappant les sorties et en nettoyant les entrées afin d'éviter l'injection de codes malveillants.
• Effectuez régulièrement des audits de code afin d'identifier et de corriger les points faibles des fichiers de votre thème ou de vos plugins.
• Programmer des tests de pénétration pour découvrir et corriger de manière proactive les vulnérabilités avant que les attaquants n'en profitent.

4. Protocole XML-RPC sans restriction

Le protocole XML-RPC, une fonctionnalité héritée de WordPress, a été initialement introduit pour permettre la communication à distance entre WordPress et des applications externes. À l'époque où la publication mobile et les outils de blogging hors ligne étaient très demandés, XML-RPC permettait de publier du contenu à distance. 

Cependant, avec l'évolution de WordPress - en particulier avec l'introduction de l'API REST en 2015 - cet ancien protocole est devenu largement obsolète. Malgré cela, XML-RPC reste actif par défaut sur toutes les installations WordPress, ouvrant la porte à plusieurs risques de sécurité sérieux.

L'une des principales préoccupations est son potentiel d'abus dans les attaques par force brute. Contrairement aux tentatives de connexion traditionnelles qui peuvent être facilement signalées et bloquées, XML-RPC permet aux attaquants de regrouper des centaines de demandes de connexion en un seul appel HTTP. 

En outre, la fonction de pingback liée à XML-RPC peut être utilisée à des fins d'attaques DDoS, en inondant un site cible par le biais d'un réseau de sites WordPress détournés.

Comment éviter les exploits XML-RPC :

• La plupart des plugins et applications modernes utilisent désormais l'API REST, de sorte que XML-RPC est souvent inutile. Le fait de le désactiver permet de combler une lacune importante.
• Utilisez un plugin pour bloquer l'accès à xmlrpc.php. Les plugins de sécurité tels que Wordfence ou Disable XML-RPC permettent de fermer facilement l'accès sans avoir à modifier les fichiers du serveur.
• Bloquez manuellement xmlrpc.php via .htaccess. Si vous êtes à l'aise pour modifier les paramètres du serveur, ajoutez une règle pour interdire tout accès à ce fichier - c'est une solution légère et efficace.
• Si des plugins ou des services spécifiques nécessitent toujours XML-RPC, envisagez de limiter ses fonctionnalités ou d'établir une liste blanche d'adresses IP particulières.

5. Vulnérabilités d'injection SQL

L'injection SQL est l'une des méthodes d'attaque les plus anciennes et les plus dangereuses utilisées contre les sites web. Elle se produit lorsqu'un site web ne valide pas correctement les données saisies par l'utilisateur et les transmet accidentellement à une requête SQL. 

Cela permet aux attaquants d'injecter leurs commandes dans la base de données - des commandes qui n'ont jamais été censées être exécutées. S'ils y parviennent, ils peuvent consulter des données privées, modifier le contenu du site, créer de nouveaux utilisateurs ou même supprimer des tables entières.

Dans WordPress, l'injection SQL cible généralement les plugins ou les thèmes vulnérables, en particulier ceux qui acceptent des soumissions de formulaires ou des paramètres d'URL et qui ne vérifient pas les entrées. Les pirates automatisent souvent ces attaques en recherchant sur Internet les sites présentant des points faibles. 

Et si plusieurs applications partagent la même base de données, un seul site vulnérable peut les mettre toutes en danger. Dans le pire des cas, une injection SQL peut passer d'une violation de données à une compromission totale du serveur, en fonction de la manière dont les autorisations sont configurées.

Comment prévenir les vulnérabilités par injection SQL :

• Assainissez toutes les entrées - ne faites jamais confiance aux entrées des utilisateurs, en particulier celles provenant de formulaires, de barres de recherche ou de chaînes d'URL.
• Utilisez des instructions préparées avec des requêtes paramétrées. Évitez également d'intégrer directement des variables dans la chaîne de requête si vous écrivez du code SQL personnalisé.
• Maintenez les plugins et les thèmes à jour. De nombreuses failles d'injection SQL proviennent de composants tiers obsolètes ou mal codés.
• N'accordez à l'utilisateur de la base de données que les autorisations dont il a besoin. Ne lui donnez pas un accès complet à moins que cela ne soit nécessaire.
• Utiliser un plugin de sécurité pour rechercher les codes vulnérables et bloquer les modèles connus d'injection SQL.
• Effectuez régulièrement des analyses de vulnérabilité pour détecter les failles avant qu'un attaquant ne le fasse.

6. Exposer votre fichier wp-config.php

Nous sommes en 2025, et on pourrait penser que ce n'est plus un problème, mais c'en est un. L'un des oublis les plus courants (et les plus dangereux) en matière de sécurité WordPress est de laisser le fichier wp-config.php exposé. Ce fichier contient tout, des identifiants de la base de données aux clés secrètes en passant par les paramètres de configuration essentiels. 

Les attaquants recherchent activement ce fichier car, s'ils y ont accès, ils peuvent injecter des scripts malveillants, manipuler le comportement de votre site, voler des données ou même supprimer entièrement votre site. 

Parfois, ce fichier est accidentellement rendu public par des serveurs mal configurés ou des autorisations de fichiers trop permissives. Et oui, il arrive même qu'il soit indexé par Google.

Comment empêcher l'exposition du fichier wp-config.php :

• Déplacez wp-config.php un niveau au-dessus de votre répertoire racine. WordPress le trouvera toujours, mais le public ne le trouvera pas.
• Définissez les permissions du fichier à 400 ou 440 pour qu'il soit lisible par le serveur.
• Bloquez l'accès du web au fichier en utilisant .htaccess (pour Apache) ou les règles du serveur (pour Nginx).
• Utilisez des clés de sécurité solides - vous pouvez en générer de nouvelles à partir du générateur de clés officiel de WordPress.
• Désactiver les rapports d'erreur PHP en production pour éviter les fuites de chemins ou d'informations d'identification dans les messages d'erreur.
• Sauvegardez-le régulièrement (ainsi que l'ensemble de votre site) afin de pouvoir le restaurer en cas de problème.

7. Absence de sauvegardes régulières du site

Il ne s'agit pas d'une vulnérabilité au sens traditionnel du terme, mais elle est tout aussi critique. Si votre site est piraté, tombe en panne ou se casse pendant une mise à jour et que vous n'avez pas de sauvegarde, vous devrez repartir de zéro. 

Pas de sauvegarde = pas de récupération.

La sécurité de votre site n'a aucune importance si vous ne pouvez pas le rétablir en cas de problème.

Le pire, c'est que la plupart des gens ne réalisent l'importance des sauvegardes WordPress qu'après un problème. Soit ils supposent que leur hébergeur s'en charge (ce qui est souvent le cas), soit ils effectuent des sauvegardes manuelles de temps en temps et ne les ont jamais testées. Les deux sont risqués.

Comment éviter cela ?

• Automatisez vos sauvegardes et ne les laissez pas à la mémoire. Réglez-les de manière à ce qu'elles s'exécutent selon un calendrier précis : quotidiennement pour les sites actifs et hebdomadairement pour les sites statiques.
• Utilisez un outil fiable comme WP Umbrella. C'est une option solide car il offre des sauvegardes incrémentales, de sorte que seuls les changements sont sauvegardés après la première sauvegarde complète. Cela signifie moins de charge sur le serveur et des performances plus rapides.
• Suivez la règle du 3-2-1 : conservez au moins trois copies de sauvegarde dans deux formats différents et une copie hors site.
• Conservez plusieurs versions. Si votre dernière sauvegarde a eu lieu après l'apparition d'un logiciel malveillant, vous voudrez revenir à une version propre avant cette date.
• Savoir comment restaurer. Une sauvegarde est inutile si vous ne savez pas comment restaurer rapidement votre site.

Related : 8 meilleurs plugins de sauvegarde WordPress

8. Attaques DDoS 

Une attaque par déni de service distribué (DDoS) est une méthode utilisée par les attaquants pour submerger le serveur d'un site web avec un volume excessif de trafic, le rendant inaccessible aux utilisateurs légitimes. Pour ce faire, ils utilisent plusieurs systèmes compromis, formant souvent un réseau de zombies, afin d'envoyer un flot de requêtes au serveur cible. 

Ces botnets peuvent être constitués de divers appareils, notamment des ordinateurs et des appareils de l'Internet des objets (IoT), qui ont été infectés par des logiciels malveillants pour fonctionner sous le contrôle de l'attaquant. 

L'objectif premier d'une attaque DDoS est de perturber le fonctionnement normal d'un site web, en provoquant des temps d'arrêt et en entraînant potentiellement des pertes financières et des atteintes à la réputation. Les pirates l'utilisent pour diverses raisons, notamment l'extorsion, l'avantage concurrentiel, des motifs politiques ou pour provoquer des perturbations.

Comment éviter les attaques DDoS :

• Utilisez un pare-feu d'application Web (WAF). Cloudflare et Sucuri proposent des WAF qui filtrent le trafic malveillant avant qu'il n'atteigne votre serveur. 
• Utiliser un réseau de diffusion de contenu (CDN). Les CDN distribuent le contenu de votre site web sur plusieurs serveurs dans le monde entier, ce qui permet d'absorber et d'atténuer les hausses de trafic lors d'une attaque.
• Analysez régulièrement le trafic de votre site web afin d'identifier les pics inhabituels qui pourraient indiquer le début d'une attaque DDoS.
• Configurez votre serveur de manière à limiter le nombre de requêtes qu'un utilisateur peut effectuer dans un laps de temps donné, afin de réduire l'impact des attaques potentielles.
• Assurez-vous que votre fournisseur d'hébergement propose des services d'atténuation des attaques DDoS dans le cadre de son offre.

9. Faiblesse des mots de passe et des identifiants de connexion

Les mots de passe faibles et les informations de connexion par défaut restent l'un des moyens les plus faciles pour les pirates de s'introduire dans un site WordPress. Les attaques par force brute ou le "credential stuffing", qui consiste à utiliser des informations de connexion provenant d'autres violations de données, reposent tous deux sur une chose : une mauvaise hygiène des mots de passe. 

Si vous utilisez toujours "admin" comme nom d'utilisateur ou "password123" comme identifiant, vous cédez l'accès sans trop de difficultés. Et si ce compte dispose d'un accès de niveau administrateur, les attaquants peuvent prendre le contrôle total, installer des logiciels malveillants, voler des données et défigurer votre contenu.

Ce type d'attaque ne nécessite pas de compétences avancées, mais seulement du temps et un réseau de zombies. Et une fois qu'ils sont entrés, le nettoyage peut être un véritable gâchis - perte de réputation, temps d'arrêt, voire pire. 

Les mots de passe sont une solution peu coûteuse mais très rentable.

Comment l'éviter ?

• Utilisez des mots de passe longs et complexes (plus de 12 caractères avec des majuscules et des minuscules, des chiffres et des symboles).
• Supprimez le nom d'utilisateur "admin". Créez quelque chose d'unique et supprimez le nom par défaut.
• Activez le 2FA pour tous les utilisateurs administrateurs. Cela bloque la plupart des tentatives de force brute à froid.
• Installez un gestionnaire de mots de passe (comme Bitwarden ou KeePass) pour générer et stocker des informations d'identification solides.
• Limiter les tentatives de connexion, afin que les robots soient bloqués après quelques tentatives.
• Changez immédiatement vos mots de passe si vous avez été victime d'une violation ou si vous soupçonnez qu'il y en a eu une.

10. Mauvaise gestion des utilisateurs et des autorisations

Cela peut sembler évident, mais il faut le répéter car on l'oublie souvent. L'erreur humaine reste l'une des principales causes des incidents de piratage informatique. 

L'une des façons les plus simples d'exposer votre site à des risques est de donner aux utilisateurs plus d'accès qu'ils n'en ont besoin. Les conséquences peuvent être graves si un compte disposant d'un accès de haut niveau est piraté. Il peut en résulter des injections de spam SEO, un accès non autorisé à des données sensibles, l'installation de logiciels malveillants, voire des campagnes d'hameçonnage hébergées sur votre site.

Comment éviter ce problème :

• Ne donnez aux utilisateurs que le niveau d'accès exact dont ils ont besoin, rien de plus.
• Vérifiez régulièrement votre liste d'utilisateurs et supprimez les comptes qui ne sont plus actifs ou nécessaires.
• Rétrogradez les autorisations lorsque les rôles changent. Si un utilisateur n'a plus besoin de droits d'administration, réduisez immédiatement son accès.

Conclusion

La sécurisation de votre site nécessite une attention régulière. Mais la bonne nouvelle, c'est que vous n'avez pas à vous en occuper seul. Vous n'avez pas à vous y atteler seul.

WP Umbrella permet de gérer facilement la plupart des menaces de sécurité que nous avons évoquées.

Vulnérabilités des plugins et des thèmes: WP Umbrella scanne vos sites web toutes les 6 heures pour détecter les vulnérabilités, ce qui vous permet d'être alerté avant que les problèmes ne deviennent sérieux. Avec sa fonction de mise à jour en masse, vous pouvez garder tous vos plugins et thèmes à jour sur plusieurs sites en quelques clics.

Système de sauvegarde complet: Le système de sauvegarde incrémentielle automatisée est conforme au GDPR et stocke vos données en toute sécurité pendant 50 jours. Sa restauration en un clic vous permet de récupérer vos données rapidement. 

Surveillance de la disponibilité et des performances: Les problèmes de sécurité se manifestent souvent d'abord par des problèmes de performance. Le suivi du temps de fonctionnement et des performances de WP Umbrellavous permet de repérer les activités inhabituelles avant qu'elles ne se transforment en une véritable crise de sécurité.

Alertes de sécurité proactives : Au lieu d'attendre que quelque chose se brise, WP Umbrella surveille activement vos sites pour les vulnérabilités de sécurité potentielles, en envoyant des alertes directement dans votre boîte de réception ou Slack lorsque des mesures sont nécessaires.

Que vous gériez un seul site WordPress ou des centaines, WP Umbrella vous donne les outils pour rester en tête des menaces de sécurité. Parce que lorsqu'il s'agit de la sécurité de WordPress, la prévention n'est pas seulement meilleure que la guérison, c'est tout !