Comment les pirates entrent réellement dans les sites WordPress en 2026

Quand la plupart des gens imaginent le piratage d’un site web, ils se figurent quelqu’un en sweat à capuche tapant frénétiquement sur un terminal. La réalité est bien moins spectaculaire et bien plus courante. Les sites WordPress sont compromis chaque jour par des scanners automatisés qui parcourent le web public, sondent des milliers de sites à la fois et entrent par des portes laissées ouvertes. L’attaquant est généralement un script, pas une personne, et la cible, c’est rarement vous en particulier. C’est quiconque se trouve faire tourner le logiciel qu’ils savent exploiter.

Comprendre les véritables points d’entrée importe, car la même poignée d’erreurs explique l’écrasante majorité des compromissions WordPress. Corrigez-les et vous devenez une cible bien plus difficile. Ignorez-les et vous avancez à la chance.

1. Extensions vulnérables

Les extensions sont la première cause de compromission de WordPress. L’écosystème d’extensions est immense et la qualité du code est inégale. Une extension parfaitement sûre il y a deux ans peut voir publier une vulnérabilité critique la semaine prochaine, et si vous ne l’avez pas mise à jour, vous êtes exposé dès l’instant où cet avis devient public.

Le schéma se déroule généralement ainsi. Un chercheur ou un pirate découvre une faille dans une extension populaire, souvent quelque chose comme un téléversement de fichiers sans authentification ou une injection SQL. La faille est divulguée. En quelques heures, des scanners automatisés balayent internet à la recherche de sites exécutant la version vulnérable. Les sites non corrigés sont compromis en masse.

Un audit récent que nous avons mené sur le site d’une agence de Sydney a révélé une extension de gestionnaire de fichiers laissée installée et active depuis plus d’un an, alors même que cette famille d’extensions avait un long passé de vulnérabilités d’exécution de code à distance. L’attaquant n’a eu rien d’astucieux à faire. L’extension lui a remis un accès en écriture à tout le site.

2. Identifiants administrateur faibles ou réutilisés

Les attaques par force brute contre la page de connexion WordPress sont incessantes. Les bots tentent des milliers de combinaisons courantes d’identifiant et de mot de passe par heure, puisées dans des bases de fuites contenant des centaines de millions d’identifiants divulgués. Si votre administrateur utilise un identifiant comme admin, le nom de votre entreprise ou votre prénom, et un mot de passe apparu dans une fuite passée n’importe où sur internet, vous êtes déjà sur la liste.

La solution n’est pas compliquée. Utilisez des mots de passe uniques et longs. Utilisez un gestionnaire de mots de passe. Utilisez l’authentification à deux facteurs sur chaque compte administrateur. Limitez les tentatives de connexion. Renommez votre utilisateur administrateur par défaut pour qu’il ne soit pas devinable. Ces étapes sont ennuyeuses et stoppent net la plupart des attaques automatisées.

3. Cœur de WordPress obsolète

Le cœur de WordPress lui-même est généralement bien entretenu, avec des versions de sécurité diffusées rapidement. Le risque n’est pas que le cœur soit truffé de trous. Le risque est que certains propriétaires de sites désactivent les mises à jour automatiques puis oublient d’appliquer les manuelles. Exécuter une version de WordPress vieille d’un ou deux ans, c’est fonctionner avec des vulnérabilités documentées publiquement que n’importe quel scanner peut détecter.

WordPress vous avertira lorsqu’une mise à jour est disponible. Appliquez-la. Si vous craignez la compatibilité des extensions, appliquez-la d’abord sur une copie de préproduction. Ne la laissez pas en attente.

4. Thèmes compromis

Les thèmes sont aussi du code, et ils présentent les mêmes risques que les extensions. Le plus gros problème, ce sont les thèmes piratés téléchargés sur des sites douteux. Une copie gratuite d’un thème premium depuis un site de torrents est presque toujours truffée de portes dérobées, de liens cachés ou pire. L’économie sur un thème à cent dollars peut coûter des milliers en nettoyage.

Tenez-vous-en aux thèmes du dépôt officiel WordPress ou de fournisseurs réputés assurant un support actif et des mises à jour régulières. Payez ce que vous utilisez. C’est bien moins cher que l’inverse.

5. Fichiers de configuration et de sauvegarde exposés

Un nombre surprenant de sites WordPress laissent fuiter des fichiers sensibles qui n’auraient jamais dû se trouver sur le web public. Des archives de sauvegarde dans la racine du document, des dumps .sql, des fichiers .env et de vieilles copies de wp-config.php nommées par exemple wp-config.bak. Dès qu’un attaquant télécharge l’un d’eux, il dispose des identifiants de base de données, des clés secrètes, ou des deux.

Auditez votre racine de document. Tout ce qui ne fait pas partie de WordPress ne devrait pas s’y trouver. Déplacez les sauvegardes hors du serveur. Supprimez les vieux fichiers de développement. Bloquez l’accès direct aux noms de fichiers sensibles courants au niveau du serveur.

6. Contamination croisée sur l’hébergement mutualisé

Sur un hébergement mutualisé bon marché, plusieurs sites WordPress peuvent cohabiter sur le même compte, voire le même disque. Si l’un d’eux est compromis, l’attaquant a souvent la capacité de rebondir vers les autres, déposant le même maliciel sur chaque site du lot. C’est un schéma fréquent chez les agences qui font tourner vingt ou trente sites clients sur un unique plan mutualisé.

Isolez les sites. Utilisez un véritable hébergement WordPress infogéré où chaque site réside dans son propre conteneur. Auditez tout autre site partageant votre environnement avec la même rigueur que le vôtre.

7. Abus de XML-RPC et de la REST API

WordPress expose deux interfaces programmatiques principales, xmlrpc.php et la REST API. Toutes deux sont légitimes, toutes deux peuvent être utiles, et toutes deux ont servi de vecteurs d’attaque. XML-RPC en particulier a historiquement été détourné pour des attaques par force brute amplifiées, où une seule requête peut tenter de nombreuses suppositions de mot de passe à la fois.

Si vous n’utilisez pas XML-RPC, désactivez-le. Si vous n’avez pas besoin d’un accès non authentifié à certains points de terminaison de la REST API, restreignez-le. La plupart des hébergeurs modernes et des extensions de sécurité rendent cela simple.

8. Sessions et cookies volés

Un attaquant n’a pas toujours besoin de votre mot de passe. S’il peut capturer un cookie de session, par exemple via une attaque de l’homme du milieu sur une connexion non sécurisée, il peut se faire passer pour vous tant que cette session reste valide. Se connecter sur un wifi public sans VPN, ou exploiter un site sans un HTTPS correct partout, facilite grandement la chose.

Utilisez toujours HTTPS. Forcez-le sur tout le site. Définissez les indicateurs de cookie sécurisés. Déconnectez-vous quand vous avez terminé. Faites tourner périodiquement les salts et clés de WordPress pour invalider les sessions existantes.

9. Ingénierie sociale du personnel et des prestataires

Certaines compromissions ne nécessitent aucune faille logicielle. Un e-mail de phishing demandant à un employé de se connecter à une fausse page d’administration, un faux e-mail de facture poussant un développeur à exécuter une commande shell hostile, un prestataire qui réutilise le même mot de passe partout et le voit ensuite fuiter d’ailleurs. Les personnes font partie de la surface d’attaque.

Formez le personnel. Utilisez un gestionnaire de mots de passe à l’échelle de l’équipe. Imposez l’authentification à deux facteurs. Limitez le nombre de comptes ayant un accès de niveau administrateur. Supprimez les comptes dès que quelqu’un quitte le projet.

10. Sites oubliés et abandonnés

Beaucoup de sites WordPress sont lancés pour une campagne, un événement ou un projet annexe, puis oubliés. Ils continuent de tourner sur le même hébergement, avec les mêmes identifiants, dérivant lentement vers l’obsolescence. Un an plus tard, ils constituent une cible parfaite. Le propriétaire a cessé de les surveiller, mais ni Google ni les bots.

Si vous n’avez plus besoin d’un site WordPress, mettez-le hors ligne correctement. Exportez le contenu, démantelez l’installation, libérez le domaine, archivez la base de données. Ne laissez pas d’installations abandonnées sur l’internet public.

Comment se défendre réellement contre tout cela

Les défenses ne sont pas exotiques. Gardez tout à jour. Utilisez des mots de passe forts et uniques plus l’authentification à deux facteurs. Utilisez une extension de sécurité sérieuse comme Wordfence et tenez compte de ce qu’elle vous dit. Assurez-vous que votre hébergeur est réputé, isole correctement les sites et propose des sauvegardes externalisées. Auditez vos extensions, thèmes et utilisateurs administrateurs au moins chaque trimestre. Faites tourner les clés et les salts quand le personnel ou les prestataires changent. Restaurez une sauvegarde de temps en temps, simplement pour savoir qu’elle fonctionne.

Rien de tout cela n’est glamour. C’est de la routine et ça marche. Les sites qui se font compromettre ne sont presque jamais ceux qui ont tout fait. Ce sont ceux qui en ont fait l’essentiel, ou rien, en supposant qu’ils étaient trop petits pour qu’on les remarque.

Besoin d’un coup de main ?

Si vous souhaitez un regard honnête sur le degré réel d’exposition de votre site WordPress, Defyn peut réaliser un audit de sécurité et vous présenter exactement ce que nous avons trouvé. Contactez-nous et nous vous aiderons à fermer les portes avant que quelqu’un d’autre ne les franchisse.