Anatomie d’une attaque par force brute sur WordPress

Les attaques par force brute sur WordPress ont la même anatomie sur des milliers de sites, parce que les attaquants sont les mêmes botnets qui exécutent les mêmes scripts. Connaître les étapes, c’est ce qui permet de concevoir la défense. Ce guide déroule une attaque type en 2026.

Étape un : la découverte

Les botnets parcourent le web à la recherche des chemins /wp-login.php et /wp-admin. Les sites qui répondent à l’un ou l’autre deviennent des candidats. Les sites qui renvoient un 404 sur les deux n’entrent jamais dans la liste des candidats.

Masquer l’URL vous retire du vivier de candidats. Une réduction gratuite du volume d’attaques.

Étape deux : l’énumération des identifiants

Les attaquants sondent la réponse de connexion pour trouver des identifiants valides. Jusqu’à récemment, WordPress révélait les identifiants valides via des messages d’erreur différents. Les versions modernes de WordPress et le bon plugin bloquent cela.

Sans identifiant connu, la force brute n’a pas de cible.

Étape trois : le devinage de mot de passe

Une fois un identifiant connu, le bot essaie des mots de passe fuités et des mots de dictionnaire, répartis sur des milliers d’IP pour déjouer la limitation par IP. Defyn Security Manager répond par un verrouillage par IP et par identifiant, avec la possibilité de n’autoriser que des IP figurant sur une liste blanche.

Le plugin Defyn Security Manager propose aussi une restriction par plage horaire, de sorte que les connexions ne réussissent que pendant les heures que vous déclarez, réduisant la fenêtre pour les attaques automatisées.

Étape quatre : la persistance après le succès

Une connexion réussie mène à l’installation d’une porte dérobée, à la création d’un compte administrateur ou à une modification furtive de fichiers. Le site devient alors un maillon d’un botnet ou un point de distribution de logiciels malveillants.

Les journaux d’audit et la surveillance de l’intégrité des fichiers détectent la persistance. La récupération exige un nettoyage complet.

La défense en profondeur

Masquez l’URL. Bloquez l’énumération. Verrouillez la force brute. Imposez la 2FA. Journalisez tout. Chaque couche rend la chaîne d’attaque plus difficile. La plupart des attaques automatisées abandonnent avant d’avoir vaincu toutes les couches.

Les attaques manuelles ciblées existent encore, mais elles sont rares contre la plupart des sites.

Comprendre chaque étape de l’attaque, c’est ce qui permet de bâtir une défense à sa mesure. Si vous voulez que cette protection par couches soit mise en place et surveillée sur votre site, l’équipe de Defyn peut vous aider.

Foire aux questions

À quelle vitesse une attaque par force brute se déroule-t-elle ?

Les attaques réussies prennent de quelques minutes à quelques heures. Les attaques déjouées rebondissent en quelques secondes.

La plupart des attaques sont-elles automatisées ?

Oui. Plus de 99 % des attaques de connexion WordPress sont automatisées.

Puis-je voir les attaques en temps réel ?

Oui, via le journal d’audit. Les tentatives de connexion échouées et les verrouillages apparaissent à mesure qu’ils se produisent.

Et si mon site est spécifiquement ciblé ?

Les attaques ciblées contournent les défenses automatisées. La défense en couches les ralentit tout de même. Ici, ce sont la sauvegarde, la surveillance et la réponse aux incidents qui comptent le plus.