Un matin, tu ouvres ton site et tu tombes sur une page en turc qui vend du Viagra. Ou pire : ton site affiche un message de rançon. Scénario catastrophe ? Pas tant que ça. En 2025, Sucuri a nettoyé plus de 60 000 sites WordPress infectés — et la grande majorité appartenait à des petites entreprises qui pensaient « ça n’arrive qu’aux autres ».
Au Maroc, la situation est préoccupante. Les entreprises investissent dans un beau site, mais négligent sa sécurité. Résultat : des sites de restaurants, de cabinets médicaux et de boutiques en ligne se font pirater chaque semaine. La bonne nouvelle, c’est que 95 % des piratages WordPress sont évitables avec les bonnes pratiques.
Ce guide te donne un plan d’action concret, étape par étape, pour blinder ton site WordPress. Pas de jargon inutile, pas de paranoïa — juste les mesures qui comptent vraiment.
Pourquoi les sites WordPress se font pirater
Ce n’est pas la faute de WordPress
Mettons les choses au clair : WordPress lui-même est un logiciel mature et sécurisé. Le core de WordPress ne représente que 0,6 % des vulnérabilités détectées par Wordfence en 2025. Le problème vient de l’écosystème autour :
- Plugins vulnérables : 97 % des failles viennent de plugins tiers, surtout ceux qui ne sont plus maintenus
- Thèmes piratés : les thèmes « nulled » téléchargés gratuitement contiennent presque toujours du code malveillant
- Mises à jour ignorées : un plugin non mis à jour depuis 6 mois est une porte ouverte
- Mots de passe faibles : « admin/admin123 » reste tristement courant
Les types d’attaques les plus fréquentes
Voici ce qui menace concrètement ton site :
- Brute force : des robots testent des milliers de combinaisons login/mot de passe par minute
- Injection SQL : exploitation de failles dans les formulaires pour accéder à ta base de données
- Cross-Site Scripting (XSS) : injection de scripts malveillants via des champs de saisie
- Malware : code malveillant injecté dans tes fichiers PHP qui redirige tes visiteurs ou vole des données
- Backdoors : accès cachés que le pirate installe pour revenir même après un nettoyage
Le cas marocain : une cible facile
Les sites marocains sont particulièrement visés pour plusieurs raisons. Beaucoup d’hébergeurs locaux proposent des configurations par défaut peu sécurisées. Les mises à jour sont souvent négligées faute de budget maintenance. Et l’utilisation massive de thèmes et plugins piratés — pour économiser quelques centaines de dirhams — expose les sites à des risques majeurs.
Un site e-commerce à Casablanca s’est fait voler 3 000 numéros de carte bancaire en 2024 à cause d’un plugin de paiement obsolète. Le coût du nettoyage et des amendes a dépassé 150 000 MAD. La maintenance annuelle qui aurait prévenu le problème ? 12 000 MAD.
Les fondamentaux : ta première ligne de défense
Mises à jour : la règle non négociable
C’est le geste le plus simple et le plus efficace. Mets à jour :
- Le core WordPress : dès qu’une nouvelle version sort (active les mises à jour automatiques mineures)
- Les plugins : chaque semaine, vérifie et applique les mises à jour
- Le thème : même logique que les plugins
- PHP : passe en PHP 8.2 ou 8.3 minimum — les anciennes versions ne reçoivent plus de correctifs de sécurité
Astuce pro : fais toujours une sauvegarde avant de mettre à jour. Un plugin qui casse ton site après mise à jour, ça arrive — mais c’est récupérable en 5 minutes si tu as un backup.
Mots de passe et accès : stop aux mauvaises habitudes
Applique ces règles sans exception :
- Mot de passe admin : 16 caractères minimum, avec majuscules, minuscules, chiffres et caractères spéciaux. Utilise un gestionnaire comme Bitwarden (gratuit)
- Nom d’utilisateur : jamais « admin ». Crée un identifiant unique
- Authentification à deux facteurs (2FA) : obligatoire pour tous les comptes admin et éditeur. WordPress 6.8 le supporte nativement
- Limite les rôles : ton rédacteur n’a pas besoin d’être administrateur. Applique le principe du moindre privilège
Le certificat SSL : non optionnel
En 2026, un site sans HTTPS est marqué comme « Non sécurisé » par Chrome et pénalisé par Google. Le certificat SSL est gratuit avec Let’s Encrypt (inclus chez la plupart des hébergeurs). Vérifie que toutes tes pages se chargent bien en HTTPS — y compris les images et les scripts.
Les plugins de sécurité : tes alliés du quotidien
Wordfence : le garde du corps gratuit
Wordfence est le plugin de sécurité le plus populaire (4+ millions d’installations). La version gratuite offre :
- Un pare-feu applicatif (WAF) qui bloque les attaques connues
- Un scanner de malware qui vérifie tes fichiers
- La protection brute force avec limite de tentatives de connexion
- Le blocage d’IP et de pays (utile si tu ne vises que le Maroc et la France)
La version Premium (environ 1 100 MAD/an) ajoute les règles de pare-feu en temps réel et le blocage d’IP malveillantes en direct.
Sucuri : l’alternative cloud
Sucuri fonctionne différemment : le pare-feu est côté cloud, avant que le trafic n’atteigne ton serveur. C’est efficace contre les attaques DDoS et réduit la charge serveur. Le rapport annuel de Sucuri est une référence dans l’industrie pour comprendre les tendances de piratage WordPress.
Autres plugins complémentaires
- WPS Hide Login : change l’URL de connexion (/wp-admin devient /ton-url-secrete)
- Limit Login Attempts Reloaded : bloque après X tentatives échouées
- Two Factor : ajoute le 2FA si tu n’es pas encore en WordPress 6.8
Chez SINESI, la sécurité fait partie de chaque projet WordPress qu’on livre. On ne considère pas un site comme « terminé » tant que la couche sécurité n’est pas en place.
Les sauvegardes : ton assurance vie digitale
La règle 3-2-1
Applique la règle 3-2-1 sans compromis :
- 3 copies de tes données
- 2 supports différents (serveur + cloud)
- 1 copie hors site (Google Drive, Dropbox, Amazon S3)
Les outils de sauvegarde
- UpdraftPlus (gratuit) : le plus populaire, sauvegarde vers Google Drive, Dropbox, S3
- BlogVault (payant) : sauvegardes incrémentielles qui ne surchargent pas ton serveur
- ManageWP : idéal si tu gères plusieurs sites WordPress
La fréquence de sauvegarde
- Site vitrine (contenu statique) : sauvegarde hebdomadaire
- Blog actif (publications régulières) : sauvegarde quotidienne
- E-commerce (transactions) : sauvegarde toutes les 6 heures minimum
Teste tes sauvegardes. Une sauvegarde que tu n’as jamais restaurée n’est pas une sauvegarde — c’est un fichier qui prend de la place. Restaure dans un environnement de test au moins une fois par trimestre.
Sécurité avancée : passer au niveau supérieur
Le pare-feu serveur (WAF)
Au-delà des plugins, un pare-feu au niveau serveur ou CDN bloque les attaques avant qu’elles n’atteignent WordPress. Les solutions :
- Cloudflare (gratuit à payant) : CDN + pare-feu + protection DDoS. Le plan gratuit suffit pour la plupart des sites
- Sucuri Firewall : WAF cloud spécialisé WordPress
- ModSecurity : WAF serveur, nécessite un VPS ou dédié
Durcir la configuration WordPress
Quelques modifications dans ton fichier wp-config.php et .htaccess font une grosse différence :
- Désactive l’éditeur de fichiers :
define('DISALLOW_FILE_EDIT', true);empêche la modification de code depuis le back-office - Limite les révisions :
define('WP_POST_REVISIONS', 5);allège la base de données - Change le préfixe de table : remplace le
wp_par défaut par quelque chose d’unique - Protège wp-config.php : ajoute une règle dans .htaccess pour bloquer l’accès direct
- Désactive XML-RPC : si tu n’utilises pas l’app WordPress mobile ou Jetpack, désactive-le — c’est un vecteur d’attaque brute force
Les headers de sécurité HTTP
Configure ces en-têtes dans ton serveur ou via un plugin :
- Content-Security-Policy : limite les sources de scripts et styles autorisées
- X-Frame-Options: SAMEORIGIN : empêche l’intégration de ton site dans une iframe
- X-Content-Type-Options: nosniff : empêche le sniffing MIME
- Strict-Transport-Security : force HTTPS pendant une durée définie
Si tu n’es pas à l’aise avec ces configurations techniques, notre équipe de développement fullstack peut s’en charger et mettre en place une stratégie de sécurité complète.
Que faire si ton site est déjà piraté
Les signes d’un piratage
Ton site est peut-être compromis si :
- Google affiche « Ce site a été piraté » dans les résultats de recherche
- Des redirections vers des sites suspects apparaissent
- De nouveaux comptes admin ont été créés sans ton autorisation
- Tes fichiers PHP contiennent du code encodé en base64 que tu ne reconnais pas
- Ton hébergeur a suspendu ton site pour activité malveillante
- Google Search Console signale des pages indexées que tu n’as pas créées
Le plan de nettoyage en 7 étapes
- Mets le site en maintenance immédiatement pour protéger tes visiteurs
- Change tous les mots de passe : WordPress, FTP, base de données, hébergeur
- Scanne avec Wordfence ou Sucuri pour identifier les fichiers infectés
- Restaure depuis une sauvegarde saine si tu en as une (d’où la nécessité des backups)
- Mets tout à jour : core, plugins, thème, PHP
- Vérifie les comptes utilisateurs et supprime tout compte suspect
- Demande un réexamen à Google via Search Console si ton site a été blacklisté
Le plan de sécurité WordPress : ta checklist
Chaque semaine
- Vérifier et appliquer les mises à jour (core, plugins, thème)
- Consulter les logs du plugin de sécurité
- Vérifier que les sauvegardes automatiques fonctionnent
Chaque mois
- Scanner le site complet avec Wordfence ou Sucuri
- Vérifier les comptes utilisateurs et leurs permissions
- Contrôler Google Search Console pour des anomalies
- Tester la restauration d’une sauvegarde
Chaque trimestre
- Auditer les plugins installés : supprimer ceux inutilisés
- Vérifier les headers de sécurité avec securityheaders.com
- Mettre à jour les mots de passe critiques
- Revoir la configuration du pare-feu
Conclusion : la sécurité n’est pas un luxe
Sécuriser un site WordPress, ce n’est ni compliqué ni coûteux. C’est une question de discipline et de bonnes pratiques. Les mises à jour régulières, un bon plugin de sécurité, des sauvegardes fiables et des mots de passe solides — ces quatre piliers suffisent à bloquer 95 % des attaques.
Au Maroc, trop d’entreprises découvrent la sécurité web après un piratage. Ne fais pas cette erreur. Investis quelques heures maintenant pour te protéger, ou prépare-toi à investir des dizaines de milliers de dirhams plus tard pour réparer les dégâts.
Tu veux un audit de sécurité de ton site WordPress ? SINESI propose des audits complets avec un plan d’action personnalisé. Contacte-nous pour protéger ton business en ligne.
