WordPress est-il vraiment vulnérable au piratage, et comment le sécuriser efficacement ?

WordPress n'est pas vulnérable par nature : son cœur logiciel est développé et audité par une vaste communauté, et les failles y sont corrigées rapidement. La quasi-totalité des piratages exploitent en réalité des extensions ou des thèmes obsolètes, des mots de passe faibles et des mises à jour négligées — autrement dit un défaut de maintenance, pas une faiblesse intrinsèque du CMS.

Si WordPress est très visé, c'est d'abord parce qu'il équipe une part majoritaire des sites dans le monde : les attaques automatisées le ciblent en priorité, au hasard, sans viser une entreprise en particulier. Le risque tient donc moins au choix de WordPress qu'à la manière dont le site est entretenu.

Sécuriser efficacement un site WordPress repose sur quelques gestes constants : appliquer sans délai les mises à jour du cœur, des extensions et du thème ; n'installer que des composants réputés et activement maintenus ; imposer des mots de passe forts et l'authentification à deux facteurs ; limiter les tentatives de connexion ; et disposer de sauvegardes régulières et testées. Un pare-feu applicatif (WAF) et le principe du moindre privilège complètent utilement ce socle.

La sécurité de WordPress est donc avant tout une discipline continue, pas une case à cocher une fois pour toutes. C'est précisément l'objet d'un contrat de maintenance de site web, qui garantit que ces vérifications sont réalisées régulièrement plutôt qu'au moment où il est déjà trop tard.