Comment tester la sécurité de votre site WordPress dans 2026 (Outils gratuits et liste de contrôle d'audit complète) - FR

Les attaquants exploitent une nouvelle faille WordPress en cinq heures en moyenne. Au moment où une vulnérabilité de plugin arrive dans votre boîte de réception, les robots l'ont généralement déjà essayé sur votre site. Cet intervalle de cinq heures est la seule raison pour laquelle vous devez tester votre propre site au lieu d'attendre que les mauvaises nouvelles vous arrivent.. Ce guide vous montre comment vérifier les trous d'un site WordPress, d'une analyse gratuite de 10 minutes à un audit complet que vous pouvez répéter tous les trimestres.

Réponse rapide: Exécutez d’abord deux analyses externes gratuites (Jus SiteCheck et WPScan), puis évaluez votre cryptage et vos en-têtes avec Qualys SSL Labs et securityheaders.com. Pour tout ce qui est en cours, installer un plugin de numérisation (Wordfence pour la plupart des sites, MalCare si la vitesse des pages est importante). Activez ensuite l'authentification à deux facteurs pour chaque administrateur, et désactivez XML-RPC si vous ne l'utilisez pas.

Dernière révision: juin 2026. Outils, noms de plugins, et données de vulnérabilité vérifiées par rapport aux sources actuelles.

Comment nous avons recherché ce guide

Nous n'avons pas effectué de test d'intrusion en direct sur votre site, et aucun article ne peut. Ce que nous avons fait: ouvrez chaque scanner gratuit répertorié ici et confirmez qu'il fonctionne toujours comme le décrit ce guide. Nous avons vérifié le nombre actuel d'installations de plugins et les ensembles de fonctionnalités sur WordPress.org et les pages des fournisseurs.. Et nous avons croisé les chiffres des menaces avec le rapport sur l’état de la sécurité WordPress de Patchstack pour 2025. Où un outil a changé de nom ou de propriétaire, nous le disons. Sécurité solide, par exemple, est le plugin que la plupart des anciens guides appellent encore iThemes Security. Nous avons pesé gratuitement, outils sans installation en premier (parce que la plupart des lecteurs veulent tester avant de dépenser), puis plugins en cours, puis protection au niveau de l'hôte. Tout ce que nous n'avons pas pu vérifier sur une page actuelle, nous avons laissé de côté.

Ce qu’un test de sécurité WordPress vérifie réellement

Un test de sécurité WordPress consiste à vérifier votre site pour détecter les faiblesses connues avant que quelqu'un d'autre ne les trouve.. Il regarde quatre couches: votre logiciel (coeur, plugins, thèmes), vos identifiants, vos autorisations de fichiers, et votre cryptage. La plupart du danger réside dans le premier.

Voici la chose la plus “audit” messages sautés. WordPress accumulé 11,334 de nouvelles vulnérabilités dans 2025, en haut 42% l'année précédente, et en gros 91% d'entre eux étaient dans des plugins. Une autre 9% provenait de thèmes. Core lui-même en avait six, tous de faible priorité. Ainsi, un vrai test dépense la majeure partie de son énergie sur vos modules complémentaires, pas sur WordPress lui-même. Les scripts intersites constituent à eux seuls environ 41% de tout ce qui a été rapporté. Si votre test ne signale pas les plugins obsolètes, c'est tester la mauvaise chose.

Deux types de tests existent, et tu veux les deux. Externe (télécommande) les analyses examinent votre site de la même manière qu'un attaquant sur Internet ouvert, sans connexion. Les analyses internes s'exécutent depuis WordPress et peuvent lire vos fichiers, comparez-les à des copies connues, et repérer les changements. Les outils à distance capturent ce qui est visible; les outils internes détectent ce qui a été falsifié.

Tests gratuits que vous pouvez exécuter 10 minutes (aucun plugin n'est nécessaire)

Commencez ici. Aucun de ces éléments ne touche le code de votre site, donc aucun risque de casser quoi que ce soit, et vous n'avez pas besoin de vous connecter pour les exécuter.

• Jus SiteCheck (sitecheck.sucuri.net): collez votre URL et il recherche les logiciels malveillants visibles, injection de spam, dégradation, et si votre domaine figure sur une liste noire. Rapide et honnête sur ses limites. Parce qu'il ne voit que ce que voit un navigateur, il ne peut pas détecter les infections côté serveur, alors traitez un résultat propre comme “rien d'évident,” ne pas “tout est clair.”
• WPScan (wpscan.com): le scanner spécifique à WordPress. Il empreinte votre version, plugins, et thèmes, puis les compare à une base de données de vulnérabilités retraçant des dizaines de milliers de problèmes connus. Le niveau gratuit nécessite une inscription rapide pour un jeton API et vous limite à un nombre défini d'analyses par jour., ce qui est suffisant pour un seul site.
• Laboratoires SSL Qualys (ssllabs.com/ssltest): note votre configuration HTTPS de A+ à F. Il lit votre certificat, versions de protocole, et suites de chiffrement. Tout ce qui est en dessous d'un A signifie un cryptage faible ou obsolète qui mérite d'être corrigé..
• securityheaders.com: une note en un clic sur vos en-têtes de réponse HTTP. L'absence d'un en-tête Content-Security-Policy ou HSTS est courante et facile à corriger, et cet outil vous indique exactement ceux qui vous manquent.
• Observatoire HTTP MDN (l'outil que beaucoup de gens appellent encore Mozilla Observatory): une vérification plus large des meilleures pratiques qui chevauche les deux ci-dessus et ajoute un contexte sur la raison pour laquelle chaque en-tête est important.

Exécutez les cinq, écrire les notes, et vous avez une base de référence en moins de dix minutes. Si tout revient propre, génial. Passez quand même à la liste de contrôle manuelle, parce que les scanners distants manquent les éléments qui se trouvent derrière votre écran de connexion.

La liste de contrôle d’audit manuel: quoi vérifier vous-même

Les scanners distants ne peuvent pas se connecter. Vous pouvez. C'est la partie qui détecte les faiblesses que les attaquants exploitent réellement.. Parcourez-le avec votre tableau de bord ouvert.

• Logiciel obsolète. Vérifier le noyau, chaque plugin, et chaque thème pour les mises à jour disponibles. Exécuter WordPress 7.0 “Armstrong” ou version ultérieure conserve automatiquement les correctifs de sécurité mineurs, mais les plugins ont toujours besoin de votre attention. Supprimez tout ce que vous n'utilisez pas. Un plugin désactivé a encore du code sur le serveur.
• Plugins abandonnés. Ouvrez la page de chaque plugin et regardez “dernière mise à jour.” Un plugin intact depuis plus d'un an est un handicap, pas une fonctionnalité. Trouver un remplaçant entretenu.
• Comptes et rôles d'utilisateurs. Supprimer les anciens comptes d'administrateur, rétrograder les utilisateurs qui n'ont pas besoin de droits d'administrateur, et assurez-vous qu'aucun compte n'utilise le nom d'utilisateur “administrateur.” Chaque administrateur supplémentaire est un autre jeu complet de clés.
• Authentification à deux facteurs. Confirmez que 2FA est activé pour tous les comptes d'administrateur et d'éditeur, idéalement avec une application d'authentification (TOTP) plutôt que des SMS. De nombreux professionnels de la sécurité considèrent qu’il s’agit du changement ayant le plus grand impact que vous puissiez apporter.. Envie d'aller plus loin? Un mot de passe (WebAuthn) résiste au phishing d'une manière que même les codes d'application ne peuvent pas, bien que dans 2026 c'est toujours un plugin uniquement, pas cuit dans le noyau. Générez des codes de sauvegarde dans tous les cas.
• Renforcement de la connexion. Y a-t-il une limite aux tentatives de connexion infructueuses? Un CAPTCHA sur le formulaire de connexion? These slow brute-force bots to a crawl.
• XML-RPC. If you don’t use the Jetpack app, remote publishing, or pingbacks, disable xmlrpc.php. Ses system.multicall method lets attackers test hundreds of password guesses in one request, which is why it’s a favorite brute-force target.
• Autorisations de fichiers. Directories should be 755 (ou 750), des dossiers 644 (ou 640), et wp-config.php should be 440 ou 400, never 644. Leaving wp-config readable hands your database credentials to any process on the server.
• Dashboard file editing. Ajouter DISALLOW_FILE_EDIT to wp-config.php. If an attacker ever gets in, the built-in editor is their fastest path to injecting code. Most production sites never need it.
• SSL and headers. Confirm HTTPS is forced site-wide (no mixed content) and act on the SSL Labs and securityheaders grades from the last step.
• Sauvegardes. Verify you have recent, off-site backups and that you’ve actually restored one at least once. Une sauvegarde que vous n'avez jamais testée est une supposition, pas un filet de sécurité.
• La couche d'hébergement. Les bons hébergeurs bloquent beaucoup avant qu'ils n'atteignent WordPress. Si vous utilisez un hébergement mutualisé et que vous êtes sérieux à ce sujet, un déménagement vers hébergement WordPress géré changements de patch, pare-feu, et analyse des logiciels malveillants sur le fournisseur.

Exécutez un audit automatisé plus approfondi avec un plugin de sécurité (pas à pas)

Les analyses externes et la liste de contrôle vous donnent un instantané. Un plugin d'analyse vous donne un fil-piège qui surveille le site en permanence. Voici comment en créer un et exécuter un audit complet.

• 1. Choisissez un plugin, pas trois. L'exécution simultanée de deux pare-feu ou de deux scanners provoque des conflits et de fausses alarmes. Choisissez Wordfence, Maltraitance, Sécurité solide, Des jus, ou AIOS, alors reste avec ça.
• 2. Sauvegardez d'abord. Effectuez une nouvelle sauvegarde avant d'installer tout ce qui touche aux paramètres de sécurité, afin que vous puissiez revenir en arrière si une règle de pare-feu casse une page.
• 3. Exécutez la première analyse complète. Laissez-le s'installer, puis comparez vos fichiers de base, plugins, et thèmes par rapport aux originaux vérifiés. C’est là que les fichiers modifiés ou injectés font surface.
• 4. Lire les résultats par gravité. Résultats critiques et élevés en premier. Les fichiers principaux modifiés ou PHP inconnu dans votre dossier de téléchargement sont des signaux d'alarme. Les avis de faible priorité peuvent attendre.
• 5. Activez le pare-feu. Activez le pare-feu des applications Web et laissez-le connaître votre trafic pendant quelques jours avant de renforcer les règles.
• 6. Configurer des alertes. Notifications par e-mail ou Slack pour les modifications de fichiers, échecs de connexion, et nouveaux comptes administrateur. Vous voulez entendre parler des problèmes le jour où ils surviennent, pas le prochain trimestre.
• 7. Planifier des analyses récurrentes. Quotidien pour un magasin, hebdomadaire pour un site de brochures. Automatisez-le pour ne pas compter sur la mémoire.
• 8. Réexécutez vos analyses externes gratuites. Confirmez que le plugin n'a pas introduit de contenu mixte ou de régressions d'en-tête.

Quel plugin? Wordfence fonctionne sur votre serveur et offre la visibilité la plus approfondie au niveau WordPress, avec un pare-feu de point final et un scanner de logiciels malveillants soutenu par plus de 5 millions d'installations. MalCare déplace la numérisation vers son propre cloud, pour que les analyses approfondies ne mettent pas votre serveur à rude épreuve, et sa suppression en un clic est le nettoyage le plus rapide si vous êtes déjà infecté. Sucuri associe un plugin gratuit à un pare-feu cloud qui filtre le trafic avant qu'il ne vous parvienne. Cela convient à un magasin derrière Un CDN, ou un site qui a déjà été consulté. Sécurité solide (Oui, l'ancienne sécurité iThemes) se concentre sur le renforcement de la connexion et guide les débutants à travers chaque correctif dans un langage simple.

À quelle fréquence devriez-vous tester la sécurité de WordPress?

Réalisez un audit complet au moins tous les six mois. C'est le sol, pas le but. Testez à nouveau après l'un de ces éléments: une version principale majeure, ajouter ou supprimer un plugin, une migration d'hôte, ou tout signe de problème comme des redirections de spam ou une baisse soudaine du trafic. La vitesse est la raison. Quand GutenKit et Hunk Companion ont été jugés vulnérables en octobre 2025, les assaillants ont tiré sur 9 millions de tentatives d'exploitation en deux semaines. Les sites qui ont analysé le jour où les correctifs ont été publiés étaient corrects; ceux qui ont attendu un mois sont devenus des cibles.

La cadence évolue avec vos enjeux. Un blog personnel peut être publié tous les trimestres. Une boutique WooCommerce acceptant des paiements réels devrait analyser quotidiennement et examiner les journaux chaque semaine, parce qu'une violation y entraîne une fuite des données des clients, pas seulement le vôtre. Si vous dirigez un magasin, la barre de sécurité est plus haute dans tous les domaines, ce qui est son propre argument en faveur d'un hébergement conçu pour les magasins plutôt que d'un plan partagé de base.

Que faire lorsqu'un test trouve quelque chose

J'ai trouvé un problème? Ne pas paniquer, et ne commencez pas à supprimer des fichiers au hasard. Triage dans cet ordre.

Première, déterminez si vous êtes vulnérable ou si vous avez déjà été piraté. Un plugin signalé comme obsolète est un risque que vous pouvez corriger. Fichiers PHP inconnus, utilisateurs administrateurs inconnus, ou un contenu que vous n'avez pas écrit signifie que vous êtes probablement déjà compromis, et c'est un travail différent. Pour une infection vivante, mettre le site en mode maintenance, restaurer une sauvegarde propre d'avant la violation, puis colmatez le trou qui les laisse entrer. Sinon tu seras simplement réinfecté.

Pour les vulnérabilités simples, la solution est généralement ennuyeuse: mettre à jour ou supprimer le plugin, resserrer la permission, ajouter l'en-tête manquant, activer 2FA. Réexécutez l'analyse qui l'a détecté pour confirmer que le résultat a disparu. La faiblesse est-elle une force brute constante ou un trafic indésirable qui martèle votre connexion? C'est un travail pour le bord. L'hébergement avec protection DDoS intégrée arrête l'inondation avant qu'elle n'atteigne PHP.

Comment choisir votre boîte à outils de test

Vous n'avez pas besoin de tous les outils. Vous avez besoin des deux ou trois bons produits pour votre situation. Quelques cas courants:

• Blog de loisirs, budget serré: moins de 5 000 visites par mois, exécutez des analyses externes gratuites chaque trimestre, ainsi que le niveau gratuit de Solid Security pour 2FA et les limites de connexion. Évitez le pare-feu payant; à ce trafic, la protection au niveau de l'hôte est suffisante.
• Site d'entreprise, formulaires pour prospects, pas de caisse: Wordfence (gratuit ou premium) pour une analyse continue et un pare-feu de point final, avec des analyses automatisées hebdomadaires. La visibilité sur le serveur surpasse celle d'un scanner distant uniquement lorsque vous disposez de plugins personnalisés..
• Boutique WooCommerce, paiements réels, pics de trafic: un pare-feu cloud comme Sucuri à la périphérie et MalCare pour l'analyse hors serveur, des analyses quotidiennes si approfondies ne ralentissent jamais le paiement. Associez-le à un hôte qui filtre les DDoS en amont. C’est le seul cas où payer pour une protection à plusieurs niveaux gagne sa vie..
• Vous gérez 10+ sites clients: un scanner cloud que vous pouvez tous exécuter à partir d'un seul tableau de bord (MalCare ou jus) il vaut mieux se connecter à chaque site. Les plugins par site ne s'adaptent pas à une agence.

Une règle traverse tout cela: choisissez un seul pare-feu et un seul scanner, puis agissez réellement en fonction de ce qu'ils rapportent. Deux plugins qui se chevauchent s'affrontent, et un scan que tu ne lis jamais est pire que pas de scan, parce que ça te donne une fausse confiance. Je ne suis pas sûr que votre hébergeur actuel vous offre une base solide sur laquelle bâtir? le outil de recherche d'hébergement filtre les fournisseurs en fonction des fonctionnalités de sécurité qui comptent ici.

Questions fréquemment posées

Puis-je tester gratuitement la sécurité de mon site WordPress?

Oui, et tu devrais commencer par là. Sucuri SiteCheck et WPScan analysent tous deux depuis l'extérieur sans frais, et Qualys SSL Labs et securityheaders.com évaluent gratuitement votre cryptage et vos en-têtes. Pour une analyse interne continue, Wordfence et Solid Security proposent tous deux des versions gratuites qui couvrent les bases. Les niveaux payants ajoutent principalement de la profondeur au pare-feu et un nettoyage plus rapide des logiciels malveillants, pas l'analyse principale elle-même.

Wordfence ou MalCare sont-ils meilleurs pour la numérisation?

Cela dépend de l'endroit où vous voulez que le travail ait lieu. Wordfence exécute son scanner sur votre serveur, qui donne des détails plus approfondis au niveau du fichier mais utilise vos ressources lors d'une analyse. MalCare exécute des analyses dans son propre cloud, pour ne pas ralentir votre site, et sa suppression des logiciels malveillants en un clic est plus rapide si vous êtes déjà piraté. Pour la plupart des sites auto-hébergés, Wordfence est la valeur par défaut; pour les magasins où la vitesse est sacrée, MalCare gagne.

Comment savoir si mon site WordPress a déjà été piraté?

Surveillez les révélations: pages redirigeant vers le spam, comptes d'administrateur inconnus, contenu que vous n'avez pas publié, un avertissement soudain de liste noire de Google, ou votre hébergeur suspendant le compte. Exécutez Sucuri SiteCheck pour une lecture externe rapide, puis une analyse complète de Wordfence ou MalCare pour comparer les fichiers principaux avec les originaux. Si une analyse trouve des fichiers principaux modifiés ou du PHP inconnu dans votre dossier de téléchargements, traitez-le comme une violation confirmée et restaurez une sauvegarde propre.

Un plugin de sécurité va-t-il ralentir mon site WordPress?

Un peu, principalement pendant les analyses et seulement si le scanner s'exécute sur votre serveur. Wordfence peut ajouter de la charge pendant l'exécution d'une analyse approfondie, c'est pourquoi les sites à fort trafic choisissent souvent MalCare ou Sucuri pour transférer ce travail vers le cloud. Un pare-feu bien configuré a un impact minimal au quotidien. Si la vitesse est votre souci, choisissez un scanner basé sur le cloud et planifiez des analyses pendant les heures creuses.

Ai-je toujours besoin d'un plugin de sécurité si mon hôte dispose d'un pare-feu?

Habituellement oui. Un pare-feu hôte bloque les attaques au niveau du réseau, mais il ne voit pas que l'un de vos plugins présente une faille de script intersite connue, ou que quelqu'un a ajouté un compte administrateur hier soir. Un plugin d’analyse surveille dans WordPress là où l’hôte ne peut pas. L'exception est l'hébergement WordPress entièrement géré, où le fournisseur exécute les deux couches et la surveillance pour vous.

Où aller à partir d'ici

Les tests ne sont pas un événement ponctuel; c'est une habitude. Exécutez les analyses gratuites cette semaine, travailler la liste de contrôle manuelle, puis mettez en place un plugin pour surveiller le site entre les audits. La fenêtre d'exploitation de cinq heures signifie une chose: l'écart entre “correctif disponible” et “patch appliqué” c'est là que les sites meurent. La vraie victoire réside dans les mises à jour automatiques et un fil-piège qui vous indique quand quelque chose bouge.

Si votre audit continue de faire apparaître des problèmes que votre plan actuel ne peut pas résoudre, le problème pourrait être la fondation plutôt que le site. Cela vaut la peine de comparer l’hébergement WordPress géré pour l’application de correctifs sans intervention, en regardant Hébergement de qualité e-commerce si vous acceptez des paiements, ou superposition Hébergement protégé contre les DDoS sous un site qui ne cesse d'être martelé. Un hébergement solide et un site testé sont la combinaison qui vous permet de rester en ligne.