Checklist sécurité WordPress 2026 : 20 points à vérifier
La sécurité d'un site WordPress ne repose pas sur un réglage miracle, mais sur une vingtaine de points simples tenus dans la durée. La plupart des piratages exploitent des faiblesses connues : extension oubliée, mot de passe réutilisé, sauvegarde absente. Cette checklist rassemble 20 contrôles concrets, classés par thème, pour vérifier votre site en une après-midi et savoir quoi corriger en priorité.
Comprendre pourquoi une checklist est utile
Un site WordPress se compose du cœur du logiciel, d'extensions, d'un thème, d'un hébergement et de comptes utilisateurs. Chaque élément peut devenir une porte d'entrée. Selon les bases publiques de vulnérabilités comme WPScan ou Patchstack, ce sont les extensions et les thèmes qui concentrent l'essentiel des failles recensées, bien plus que le cœur.
Une checklist a un intérêt majeur : elle transforme un sujet flou en liste de vérifications que l'on coche ou non. Elle s'adresse aussi bien au gérant qui veut contrôler le travail de son prestataire qu'à l'agence qui doit harmoniser la maintenance de dizaines de sites.
L'erreur fréquente est de faire le tour une fois, à la mise en ligne, puis de ne plus y revenir. Un site sécurisé en janvier peut être vulnérable en mars, simplement parce qu'une faille a été publiée sur une extension installée. La checklist doit donc être repassée régulièrement, et les points les plus mouvants automatisés.
Pour l'utiliser, prévoyez un accès administrateur au site, l'accès à l'espace client de votre hébergeur et, si possible, un accès FTP ou SFTP. Passez les points dans l'ordre, cochez ce qui est en place et notez pour chaque point manquant qui s'en charge et pour quand. Un point « je ne sais pas » compte comme un point non coché : c'est souvent là que se cachent les vraies faiblesses. Ne cherchez pas la perfection au premier passage. Un site qui passe de 10 à 16 points cochés en une après-midi est déjà beaucoup mieux protégé qu'avant, et la revue suivante portera sur les points restants.
La checklist en 20 points
Accès et comptes
- 1. Chaque administrateur a un compte nominatif, aucun compte « admin » partagé.
- 2. Les mots de passe sont longs, uniques et stockés dans un gestionnaire de mots de passe.
- 3. La double authentification est activée pour tous les administrateurs.
- 4. Les comptes des anciens salariés et prestataires sont supprimés.
- 5. Les tentatives de connexion sont limitées, et l'accès à wp-admin filtré si possible.
Mises à jour et composants
- 6. Le cœur de WordPress est à jour.
- 7. Les extensions et le thème sont à jour.
- 8. Les extensions et thèmes inutilisés sont supprimés, pas seulement désactivés.
- 9. Aucune extension n'est abandonnée par son développeur ni téléchargée depuis une source non officielle.
- 10. La version de PHP utilisée par l'hébergement est encore maintenue.
Configuration
- 11. L'édition des fichiers depuis l'administration est désactivée.
- 12. Les permissions de fichiers sont raisonnables : 755 pour les dossiers, 644 pour les fichiers, plus strictes pour wp-config.php.
- 13. Aucun fichier de sauvegarde, d'export ou de journal n'est accessible publiquement.
- 14. Le site est servi en HTTPS avec un certificat valide.
- 15. XML-RPC est désactivé si vous ne l'utilisez pas.
Sauvegardes et surveillance
- 16. Une sauvegarde automatique des fichiers et de la base existe, stockée hors de l'hébergement.
- 17. Une restauration a été testée au cours des trois derniers mois.
- 18. Un scan de sécurité régulier recherche fichiers suspects et code injecté.
- 19. La disponibilité et le certificat SSL sont surveillés, avec alertes.
- 20. Un pare-feu applicatif filtre les requêtes malveillantes.
Comment prioriser les corrections
Si plusieurs points ne sont pas cochés, ne cherchez pas à tout régler le même jour. Commencez par ce qui ferme une porte ouverte : une extension vulnérable non mise à jour, un compte administrateur inconnu ou partagé, l'absence totale de sauvegarde externe. Ces trois situations exposent le site à une attaque immédiate ou à une perte définitive.
Viennent ensuite les mesures qui réduisent la surface d'attaque : suppression des composants inutiles, double authentification, limitation des tentatives de connexion. Enfin, les réglages de durcissement et la surveillance consolident l'ensemble et vous préviennent au lieu de vous laisser découvrir un problème par hasard.
Qui fait quoi
Une checklist n'est utile que si chaque point a un responsable. Sur beaucoup de sites de TPE, personne ne sait vraiment qui doit mettre à jour les extensions : le dirigeant pense que c'est l'agence, l'agence pense que c'est inclus dans l'hébergement, et l'hébergeur ne s'occupe que du serveur. Notez noir sur blanc, pour chaque thème, qui agit et qui vérifie. Si un prestataire intervient, demandez-lui un compte rendu des points contrôlés, idéalement chaque mois.
Ce que la checklist ne couvre pas
Cette liste couvre les bases d'un site WordPress classique. Une boutique en ligne doit ajouter la sécurité du paiement et la protection des données clients. Un site qui collecte des données sensibles, comme un cabinet médical, doit aussi regarder l'hébergement des données et les obligations du RGPD. Une agence qui gère de nombreux sites doit, elle, veiller à l'isolation entre les sites hébergés sur un même compte.
Cas concrets
L'artisan qui croyait son site trop petit
Un électricien passe la checklist avec son neveu. Résultat : trois extensions inutilisées, un compte administrateur créé pour un ancien prestataire et aucune sauvegarde externe. En deux heures, les points 4, 8 et 16 sont réglés.
La boutique WooCommerce et les accès partagés
Une boutique de décoration utilise un seul compte administrateur partagé entre la gérante, le graphiste et l'agence. Le passage à des comptes nominatifs avec double authentification permet enfin de savoir qui fait quoi, et de retirer un accès sans changer celui des autres.
L'agence qui standardise
Une agence applique la checklist sur ses trente sites clients et constate des écarts importants. Elle en fait un modèle de maintenance unique, vérifié chaque trimestre, et automatise les points 6, 7, 16, 18 et 19.
L'association après un incident
Le site d'une association a été défiguré. Après le nettoyage, la checklist sert de plan de remise à niveau. Le point d'entrée était une extension abandonnée, couverte par le point 9.
Méthode pas à pas
- Faire l'inventaire : listez les sites, les comptes, les extensions et les thèmes. Avec WP-CLI, l'outil en ligne de commande de WordPress :
wp user list --fields=user_login,user_email,roles
wp plugin list
wp core version
- Traiter les accès : points 1 à 5. Ce sont les plus rapides à corriger et parmi les plus efficaces.
- Mettre à jour et alléger : points 6 à 10, avec une sauvegarde préalable. Notre article sur les mises à jour WordPress sans casser son site détaille la procédure.
- Durcir la configuration : points 11 à 15. Pour le point 11, une ligne suffit dans wp-config.php :
define( 'DISALLOW_FILE_EDIT', true );
- Sécuriser la reprise : points 16 et 17, en suivant notre guide de sauvegarde WordPress.
- Mettre en place la surveillance : points 18 à 20, pour être prévenu au lieu de découvrir un problème par hasard.
- Planifier la prochaine revue : fixez une date dans le trimestre et notez qui est responsable de chaque thème.
Bonnes pratiques
- Imprimez ou partagez la checklist et cochez-la réellement, site par site.
- Automatisez les points qui changent souvent : mises à jour, sauvegardes, scans, surveillance.
- Désignez un responsable par site, même s'il délègue l'exécution.
- Conservez un historique des revues : il prouve les mesures prises en cas d'incident ou d'échange avec un assureur.
- Refaites une revue complète après chaque refonte ou changement d'hébergeur.
Erreurs fréquentes à éviter
- Faire la checklist une seule fois, à la mise en ligne.
- Désactiver une extension au lieu de la supprimer.
- Partager un compte administrateur unique entre plusieurs personnes.
- Cocher « sauvegarde » sans avoir jamais testé une restauration.
Comment V-Shield vous aide
V-Shield automatise une grande partie de cette checklist. Le scan automatique, quotidien en Essentiel et toutes les 6 heures en Pro et Business, recherche portes dérobées, fichiers suspects, comptes administrateurs frauduleux et injections en base. Les mises à jour du cœur, des extensions et des thèmes sont gérées avec retour arrière, les sauvegardes sont stockées hors de votre hébergement, et la disponibilité comme le certificat SSL sont surveillés toutes les 5 minutes. Le pare-feu applicatif et le durcissement de configuration couvrent les points 5, 11 et 20. Consultez le détail des fonctionnalités et les tarifs par formule. Pour approfondir, lisez notre guide complet pour sécuriser WordPress, notre article sur le firewall WAF et celui sur le score de sécurité.
Cochez automatiquement la moitié de la liste : démarrez avec la formule Pro, satisfait ou remboursé 30 jours.
Questions fréquentes
À quelle fréquence faut-il passer cette checklist de sécurité WordPress ?
Une revue complète une fois par trimestre est un bon rythme pour la plupart des sites. Certains points, comme les mises à jour et les sauvegardes, doivent être contrôlés chaque semaine, ou automatisés. Refaites aussi la checklist entière après chaque événement important : refonte, changement d'hébergeur, départ d'un prestataire ou incident de sécurité.
Par quoi commencer si je n'ai qu'une heure ?
Commencez par les points qui ferment les portes les plus utilisées par les attaquants : appliquer les mises à jour en attente, supprimer les extensions inutilisées, vérifier la liste des administrateurs, changer les mots de passe faibles et vérifier qu'une sauvegarde récente existe hors de votre hébergement. Le reste peut suivre la semaine suivante.
Faut-il être développeur pour appliquer cette checklist ?
Non, la plupart des points se vérifient depuis l'administration WordPress ou l'espace client de l'hébergeur. Quelques réglages, comme la modification de wp-config.php ou des permissions de fichiers, demandent un accès FTP ou un prestataire. L'essentiel est de savoir qui s'en charge et de le noter.
Changer l'adresse de connexion wp-admin améliore-t-il la sécurité ?
Masquer l'adresse de connexion réduit le bruit des robots dans les journaux, mais ce n'est pas une protection en soi : un attaquant déterminé la retrouve. Les mesures efficaces restent des mots de passe uniques, la double authentification, la limitation des tentatives de connexion et, si possible, le filtrage géographique.
Une checklist suffit-elle à protéger un site WordPress ?
Une checklist met en place les bonnes bases à un instant donné. Mais un site évolue : nouvelles extensions, nouvelles failles publiées, nouveaux comptes. Pour rester protégé, il faut ajouter une surveillance continue, des scans réguliers et des mises à jour suivies, que ce soit en interne ou avec un outil dédié.