Les principales causes de piratage WordPress

Un piratage n'est presque jamais une attaque ciblée

La première idée fausse à écarter est celle du pirate qui choisirait votre site parce qu'il vous en veut. Dans la très grande majorité des cas, un piratage WordPress n'a rien de personnel : ce sont des robots automatisés qui parcourent le web en permanence, testent des millions d'adresses et repèrent les sites présentant une faiblesse connue. Un site vitrine de quartier, une boutique WooCommerce confidentielle ou un blog peu visité sont concernés au même titre qu'un grand compte. La cible, ce n'est pas vous, c'est la faille.

Ce constat a une conséquence rassurante : la quasi-totalité des piratages visent des sites non maintenus. Les robots ne cherchent pas des sites protégés, ils cherchent des portes laissées ouvertes. Un site tenu à jour, avec des mots de passe solides et une surveillance minimale, ne présente tout simplement pas la surface d'attaque que ces automates recherchent. Comprendre les causes principales, c'est comprendre comment refermer ces portes. Passons-les en revue, avec la parade pour chacune.

Cause n°1 : des extensions et des thèmes non mis à jour

C'est de loin la première cause. Une extension ou un thème contient du code, et tout code peut comporter une faille. Quand une vulnérabilité est découverte dans une extension populaire, elle est corrigée par une mise à jour, mais elle est aussi rendue publique. À partir de ce moment, les robots savent exactement quoi chercher et testent en masse les sites qui n'ont pas encore appliqué le correctif. Un site qui accumule les extensions obsolètes offre autant de points d'entrée connus.

La parade : appliquer les mises à jour de WordPress, des extensions et du thème rapidement et régulièrement, après les avoir testées pour éviter qu'une mise à jour ne casse le site. Il faut aussi faire le ménage : désinstaller les extensions inutilisées, car une extension désactivée mais toujours présente reste une porte potentielle. Enfin, privilégier des extensions maintenues et abandonner celles qui ne reçoivent plus de correctifs.

Cause n°2 : des mots de passe faibles et l'absence de double authentification

La deuxième grande cause tient à l'accès au tableau de bord. Un compte administrateur protégé par un mot de passe faible, réutilisé ailleurs ou trop simple, finit par céder face aux tentatives automatisées qui essaient des combinaisons en série. Le risque est aggravé quand l'identifiant reste le classique admin et qu'aucune limite n'encadre le nombre d'essais de connexion.

La parade : utiliser des mots de passe longs et uniques, idéalement générés et stockés dans un gestionnaire, et activer la double authentification sur tous les comptes à privilèges. Avec la double authentification, un mot de passe deviné ne suffit plus : il faut aussi un second facteur, généralement un code temporaire. Limiter le nombre de tentatives de connexion et retirer les comptes inutilisés complètent efficacement cette protection.

Cause n°3 : une version de PHP obsolète

WordPress fonctionne grâce au langage PHP, installé sur le serveur. Chaque version de PHP a une durée de vie : passé une date, elle ne reçoit plus de correctifs de sécurité, même si elle continue de fonctionner en apparence. Un site qui tourne sur une version de PHP en fin de vie hérite donc de failles qui ne seront jamais corrigées, quel que soit le soin apporté par ailleurs à WordPress.

La parade : maintenir le site sur une version de PHP encore supportée et planifier la montée de version avant l'arrêt du support. Cette opération se prépare, car un changement de version peut révéler des incompatibilités dans le thème ou les extensions. Le sujet est détaillé dans notre article sur la fin de vie de PHP, qui explique comment anticiper le passage sans casse.

Cause n°4 : un hébergement mal configuré

Le serveur qui héberge le site joue un rôle direct dans sa sécurité. Un hébergement mal configuré, avec des droits de fichiers trop permissifs, une absence de séparation entre les sites d'un même compte, un accès non chiffré ou des composants serveur eux-mêmes obsolètes, offre des angles d'attaque indépendants de WordPress. À l'inverse, un hébergement sérieux constitue une première ligne de défense.

La parade : choisir un hébergement de qualité, imposer le HTTPS sur tout le site, veiller aux permissions de fichiers et s'assurer que la base de données et les composants serveur sont eux aussi tenus à jour. Sur ce terrain, la frontière de responsabilité entre le propriétaire du site et l'hébergeur doit être claire : savoir qui met à jour quoi évite les zones grises où personne ne s'occupe de la sécurité.

Cause n°5 : les extensions et thèmes piratés (nulled)

Pour économiser une licence, certains sites installent des versions piratées d'extensions ou de thèmes payants, souvent appelées nulled. Le problème n'est pas seulement légal : ces fichiers sont fréquemment modifiés pour contenir du code malveillant caché, précisément parce qu'ils sont téléchargés en connaissance de cause sur des sources non fiables. Installer un tel composant revient à ouvrir soi-même la porte, sans même qu'une faille soit nécessaire.

La parade : n'installer que des extensions et des thèmes provenant de sources officielles, du répertoire WordPress ou de l'éditeur, avec une licence en règle. Une licence payante n'est pas seulement un droit d'usage : c'est aussi l'accès aux mises à jour de sécurité, qui font toute la différence dans la durée. L'économie apparente d'un composant piraté se paie très cher au premier incident.

Cause n°6 : l'absence de pare-feu et de surveillance

Un site sans pare-feu applicatif reçoit directement tout le trafic, y compris les tentatives automatisées. Un pare-feu filtre en amont les requêtes malveillantes connues et bloque les comportements suspects avant qu'ils n'atteignent WordPress. Son absence, combinée à un manque de surveillance, fait qu'un site peut être compromis pendant des semaines sans que personne s'en aperçoive, jusqu'à ce que Google le signale ou qu'un visiteur alerte.

La parade : mettre en place un pare-feu applicatif, par exemple via un service comme Cloudflare ou une solution de sécurité dédiée, et surveiller l'état du site. L'inscription à la Google Search Console permet d'être prévenu si Google détecte un contenu malveillant, et un contrôle régulier des fichiers et des comptes complète le dispositif. La surveillance ne remplace pas la prévention, mais elle réduit fortement le temps pendant lequel un problème passe inaperçu.

Les causes et leurs parades en un coup d'oeil

Cause fréquente	Parade préventive
Extensions et thèmes non mis à jour	Mises à jour testées et régulières, ménage des extensions inutiles
Mots de passe faibles, pas de double authentification	Mots de passe uniques, double authentification, limitation des tentatives
Version de PHP obsolète	Version de PHP supportée, montée de version anticipée
Hébergement mal configuré	Hébergeur sérieux, HTTPS, permissions et composants à jour
Extensions ou thèmes piratés (nulled)	Sources officielles uniquement, licences en règle
Absence de pare-feu et de surveillance	Pare-feu applicatif, sauvegardes, Google Search Console

Le vrai dénominateur commun : l'absence de maintenance

En regardant cette liste, un fil apparaît clairement. Aucune de ces causes ne relève d'une attaque sophistiquée : ce sont des négligences ordinaires, presque toujours liées à un site laissé sans suivi. Sur les sites que nous auditons avant reprise, la proportion tournant sur une version obsolète, sans sauvegardes restaurables ou avec des extensions abandonnées est frappante, comme le montre notre baromètre de l'état réel des sites WordPress. Un site n'est pas piraté parce que WordPress serait fragile, mais parce que personne ne s'en occupe.

C'est aussi pourquoi la sauvegarde tient une place à part. Elle n'empêche pas un piratage, mais elle en change radicalement les conséquences : avec une sauvegarde récente et testée, un site compromis peut être restauré proprement plutôt que reconstruit dans l'urgence. Si le mal est déjà fait, notre guide pour restaurer un site WordPress après une attaque détaille la marche à suivre. Mais la logique de fond reste la même : prévenir coûte toujours moins cher que réparer.

La prévention chez Limbus Studio

Limbus Studio, studio de design et agence digitale à Pantin depuis 2005, traite la sécurité comme une affaire de maintenance préventive, pas de produit miracle. Un contrat de maintenance couvre précisément les causes décrites plus haut : mises à jour testées de WordPress, des extensions et du thème, suivi de la version de PHP, sauvegardes régulières et restaurables, surveillance et durcissement des accès. C'est ce suivi continu, plus qu'un réglage ponctuel, qui met un site hors de portée des robots. Le sujet d'ensemble est traité dans notre article sur la maintenance WordPress et WooCommerce.

La maintenance préventive de Limbus Studio est proposée à 100 ou 120 €HT par mois selon le type de site, WordPress ou WooCommerce. Pour un site déjà en ligne, le point de départ est un audit gratuit sous 24 heures qui dresse l'état réel des mises à jour, de la version de PHP, des sauvegardes et des points d'exposition, sans engagement. Et pour un nouveau projet, les tarifs de création sont publics, à partir de 3 000 €HT. Le plus simple, pour savoir où en est votre site, reste d'en parler.