WordPress : sécuriser ses plugins et ses versions

WordPress : le risque vient souvent de l’écosystème

WordPress propulse une part considérable des sites web dans le monde, ce qui en fait une cible fréquente. Le cœur de WordPress est activement maintenu, mais un site réel dépend aussi de ses plugins, de ses thèmes, de son hébergement, de ses comptes administrateurs et de sa discipline de mise à jour. C’est souvent là que les incidents commencent.

Ce que les chiffres 2025-2026 révèlent

Les données publiées sur l’écosystème WordPress donnent une mesure précise de l’origine réelle du risque, et elle confirme largement le sous-titre de cet article.

Le chiffre le plus parlant est celui du délai d’exploitation : 5 heures en médiane entre la divulgation d’une faille et sa première exploitation. Attendre « la semaine prochaine » pour appliquer un correctif de sécurité n’est plus une option viable dans cet écosystème.

Les attaques dites de chaîne d’approvisionnement ajoutent une dimension particulièrement inquiétante à ce tableau. Quand un plugin populaire est compromis à la source, par exemple via le compte piraté de son éditeur, ce sont tous les sites qui l’utilisent qui se retrouvent exposés d’un coup, y compris ceux dont les administrateurs n’ont commis aucune négligence. Ce type d’incident, déjà observé sur le répertoire officiel, rappelle qu’aucune vigilance individuelle ne dispense de surveiller ce que l’on installe et de réagir vite dès qu’une alerte est publiée.

Les principaux risques à surveiller

• Plugins abandonnés : une extension sans mise à jour depuis longtemps peut devenir incompatible, vulnérable ou simplement non maintenue face aux nouvelles versions de WordPress. Avec 91 % des vulnérabilités situées dans les plugins, c’est le point d’attention numéro un.
• Injection SQL et XSS : un plugin mal sécurisé peut exposer la base de données, injecter du code dans une page ou compromettre les sessions visiteurs.
• Élévation de privilèges : une faille d’autorisation peut permettre à un compte limité, voire à un visiteur, d’obtenir des droits supérieurs. Cela devient d’autant plus critique que 43 % des failles récentes ne nécessitent aucune authentification.
• Thèmes et builders trop lourds : un thème ancien, un builder mal maintenu ou une accumulation d’extensions peut multiplier la surface d’attaque.
• Sauvegardes inutilisables : une sauvegarde non vérifiée n’est pas une garantie. Beaucoup de sites découvrent trop tard que les archives sont incomplètes, corrompues ou stockées au même endroit que le site compromis. Signe de la gravité : près de 70 % des sites piratés contiennent une porte dérobée (backdoor) laissée par l’attaquant, qui persiste même après un nettoyage superficiel.

Les contrôles prioritaires

• Mettre à jour le cœur WordPress, les plugins et les thèmes dès qu’un correctif de sécurité est publié, idéalement dans les heures qui suivent compte tenu du délai médian d’exploitation de 5 heures. Suivez les annonces officielles WordPress.org et les notes des éditeurs d’extensions critiques.
• Supprimer ce qui ne sert pas : un plugin désactivé mais encore présent reste du code sur le serveur. Désinstallez les extensions inutiles et remplacez les plugins abandonnés.
• Limiter les comptes administrateurs : 2FA, mots de passe robustes, suppression des comptes dormants, droits minimum nécessaires.
• Sauvegarder hors serveur : conservez des sauvegardes récentes, chiffrées si besoin, stockées hors de l’hébergement principal, puis testez une restauration complète.
• Surveiller les fichiers et connexions : journalisation, alertes de connexion, détection de fichiers modifiés, blocage des tentatives répétées, en particulier la recherche de portes dérobées après tout incident suspect.
• Ajouter une protection applicative : un WAF ou un service de sécurité WordPress peut filtrer des attaques connues, mais ne remplace pas la maintenance.

Bien choisir un plugin avant de l’installer

Puisque les plugins concentrent l’essentiel du risque, le premier réflexe de sécurité se joue avant même l’installation, au moment du choix. Toutes les extensions ne se valent pas, et quelques indicateurs simples permettent de trier. La date de la dernière mise à jour révèle si l’éditeur suit encore son produit : une extension muette depuis un an ou deux est un signal d’alarme. Le nombre d’installations actives et les avis donnent une idée de la fiabilité éprouvée sur le terrain. La réactivité de l’éditeur face aux failles passées, souvent lisible dans l’historique des versions, en dit long sur ce qui se produira à la prochaine alerte.

Un bon plugin est aussi un plugin dont on a réellement besoin. Chaque extension installée élargit la surface d’attaque, quelle que soit sa qualité, et ajoute une dépendance à surveiller dans la durée. Avant d’installer, la vraie question n’est donc pas seulement « ce plugin est-il sûr ? » mais « ai-je vraiment besoin de cette fonction ? ». La sobriété est ici une stratégie de sécurité à part entière.

Méthode simple pour auditer votre site

Commencez par dresser l’inventaire : version de WordPress, thème actif, thèmes inutilisés, plugins actifs, plugins désactivés, date de dernière mise à jour et rôle réel de chaque extension. Classez ensuite les plugins en trois catégories : indispensables, remplaçables, inutiles. Les plugins inutiles doivent être supprimés ; les remplaçables doivent être comparés à des alternatives activement maintenues (fréquence de mise à jour, réactivité de l’éditeur face aux failles) ; les indispensables doivent être surveillés de près.

Vérifiez aussi les accès : comptes administrateurs, comptes prestataires, clés API, accès FTP/SFTP, base de données, console d’hébergement. Un site WordPress compromis ne l’est pas toujours par une faille plugin : il peut aussi l’être par un compte ancien, un mot de passe réutilisé ou un accès prestataire oublié.

Réagir vite, mais surtout anticiper

Encore faut-il détecter la compromission, car elle est souvent silencieuse. Un site peut être piraté sans que rien ne saute aux yeux : les signes se lisent dans les détails, des fichiers modifiés récemment sans intervention de votre part, un compte administrateur inconnu, des ralentissements inexpliqués, des redirections étranges ou une alerte de l’hébergeur. Près de 70 % des sites piratés contiennent une porte dérobée que l’attaquant laisse derrière lui pour pouvoir revenir, et qui passe facilement inaperçue sans vérification dédiée.

En cas de compromission avérée, isolez le site, restaurez une sauvegarde saine, changez tous les mots de passe et identifiez le point d’entrée avant de remettre en ligne. Vérifiez systématiquement l’absence de porte dérobée résiduelle. Mais le meilleur incident reste celui qui n’arrive pas : une maintenance proactive, avec mises à jour planifiées et restaurations testées, coûte bien moins cher qu’un nettoyage d’urgence, facturé de quelques centaines à plusieurs milliers de dollars, sans compter les ventes perdues pendant que le site est hors service.

La sécurité WordPress est une discipline, pas un produit

Aucun plugin de sécurité, aussi bon soit-il, ne remplace une hygiène régulière : des mises à jour appliquées vite, un parc d’extensions maîtrisé, des sauvegardes testées et des accès surveillés. C’est un travail modeste mais continu, sans lequel la meilleure protection finit contournée par une faille laissée ouverte trop longtemps. La bonne nouvelle, c’est que la majorité des compromissions exploitent des failles déjà connues et corrigées : les éviter tient plus de la constance que de l’expertise.

Ces réflexes prolongent ceux décrits dans notre checklist de maintenance e‑commerce. Notre audit de site vitrine permet d’identifier les priorités techniques, mobiles, SEO et de sécurité avant d’engager les corrections utiles.

Sources : Patchstack, 2025 WordPress Security Report · Hide My WP Ghost, WordPress Security Statistics 2025-2026 · WordPress.org, Releases