Sécuriser, sauvegarder et maintenir son site WordPress

Testez vos connaissances sur WordPress !

Je fais le test

Pourquoi la sécurité et la maintenance sont incontournables

Un site WordPress non sécurisé finit tôt ou tard par être piraté.vParfois, les dégâts semblent “mineurs” : site en une autre langue, liens bizarres dans le footer, contenus parasites. D’autres fois, la panne est totale, avec impossibilité d’accéder au back-office.

À cela s’ajoutent deux réalités :

• les sauvegardes sont souvent absentes ou mal configurées ;

• les mises à jour sont appliquées à la va-vite, sans précautions.

Résultat : au moindre bug, on se retrouve sans filet.

La bonne nouvelle, c’est qu’avec quelques réflexes simples – choisir les bons outils, planifier des backups, encadrer les mises à jour, nettoyer la base de données – tu peux rendre ton site beaucoup plus robuste, sans être expert en cybersécurité.

Comprendre les risques et poser les bases de la sécurité WordPress

WordPress est le CMS le plus utilisé au monde. C’est ce qui fait sa force… et sa fragilité : c’est aussi le plus scanné par les programmes de hacking. Avant même de parler d’extensions, il y a quelques fondamentaux à poser.

1. Les briques de ton site à sécuriser

Lors de la création d’un site WordPress, tu passes par plusieurs étapes :

• choix de l’hébergement et du nom de domaine ;

• installation de WordPress et du thème ;

• paramétrage du CMS ;

• ajout des extensions ;

• création du contenu.

Le CMS n’est pas sécurisé par défaut. À toi de :

• choisir un hébergeur fiable (sauvegardes serveur, certificats SSL, support réactif) ;

• limiter les extensions au strict nécessaire ;

• installer au moins :

   

  • une extension de sauvegarde,

  • une extension de sécurité / performance (ex. WP Optimize).

Un bon hébergeur renforce la sécurité côté serveur… mais il n’est pas responsable d’une faille dans tes fichiers WordPress ou un plugin non maintenu.

2. Menaces courantes

Les attaques automatisées ciblent en priorité :

• les identifiants par défaut (type “admin” / mots de passe faibles) ;

• les thèmes et plugins non mis à jour ;

• les sites sans sauvegarde (impossibilité de revenir en arrière) ;

• les bases de données encombrées et mal entretenues.

Le piratage n’est pas toujours spectaculaire. Il peut se limiter à :

• l’ajout de liens cachés ;

• la redirection vers un autre site ;

• des chaînes de caractères injectées dans tes fichiers.

Sécuriser WordPress consiste donc à :

• réduire la surface d’attaque ;

• prévoir le pire grâce aux backups ;

• maintenir le cœur, les thèmes et les extensions à jour.

Sauvegarder son site : backups automatiques & restauration

Les articles d’origine insistent tous sur la même idée : sans sauvegarde, tu joues sans sauvegarde de partie. Un jour ou l’autre, tu auras besoin de revenir à un état antérieur.

1. À quoi servent les backups ?

Une sauvegarde (backup) permet de restaurer ton site :

• en cas de hack ;

• après un bug grave lié à une mise à jour ;

• après un problème d’hébergeur.

WordPress distingue deux ensembles :

• les fichiers : thème, plugins, uploads (images, médias), modèles de page…

• la base de données : contenus, réglages, utilisateurs, options.

Tu peux théoriquement restaurer un site à partir de la base seule, mais il est fortement recommandé de sauvegarder à la fois :

• la base de données ;

• les fichiers.

2. Quand sauvegarder son site WordPress ?

Les textes que tu m’as donnés donnent des repères très clairs :

• site vitrine → un backup mensuel peut suffire ;

• site e-commerce ou éditorial très actif → sauvegardes hebdomadaires voire quotidiennes.

Deux contraintes à garder en tête :

• les backups prennent de la place sur le serveur ;

• il faut anticiper l’espace disque dès le choix de l’hébergeur.

3. Mettre en place les sauvegardes avec UpdraftPlus

Les articles convergent sur un plugin de référence : UpdraftPlus. Une fois installé et activé :

1. Va dans Réglages > Sauvegarde UpdraftPlus.

2. Choisis ce que tu sauvegardes :

   • base de données,

   • fichiers,

   • ou les deux (recommandé).

3. Lance une sauvegarde manuelle via le bouton Sauvegarder.

4. Retrouve tes backups dans l’onglet Sauvegardes existantes.

La version gratuite permet déjà de :

• planifier des sauvegardes automatiques (mensuelles, hebdo, quotidiennes…) ;

• définir le nombre de sauvegardes à conserver (ex. “garder les 2 dernières” pour ne pas saturer l’espace disque) ;

• recevoir une notification ou copie de sauvegarde par mail.

La version payante ajoute :

• la migration de site ;

• le clonage (préprod intégrée au back-office), pratique pour tester les mises à jour sur une copie.

4. Où stocker ses sauvegardes ?

Les bonnes pratiques rappelées dans les articles :

• ne pas conserver les backups au même endroit que le site, pour éviter de tout perdre en cas de panne serveur ;

• configurer un stockage distant via FTP ou un espace externe.

Dans UpdraftPlus, tu peux définir :

• un serveur FTP (ou SFTP)

• un identifiant

• un mot de passe

• un chemin distant

Tu peux aussi envoyer la sauvegarde vers plusieurs destinations en même temps.

Maîtrisez WordPress de A à Z

Découvrir la formation

Mises à jour WordPress : cœur, thèmes et plugins sans risque

Les mises à jour sont nécessaires pour la sécurité… mais mal gérées, elles peuvent casser un site. D’où l’importance d’une méthode.

1. Mises à jour mineures vs majeures

Les articles distinguent :

• mises à jour mineures

• • corrections de bugs

• • ajustements de sécurité

• • mises à jour de thèmes, plugins, fichiers de langue

• mises à jour majeures

• • évolution du cœur de WordPress (nouvelle version)

• • changements structurels plus lourds
    
    

Les mises à jour apparaissent dans le back-office sous forme de pastilles rouge orangé.

2. Les précautions à prendre

Les textes insistent sur trois réflexes :

• Toujours réaliser une sauvegarde avant une mise à jour
  
  
• • via UpdraftPlus
    
    
  • et vérifier qu’elle est bien terminée.

• Ne pas installer une mise à jour majeure le jour de sa sortie
  
  
  • attendre 10 à 15 jours ;
    
    
  • laisser le temps à la communauté de remonter les bugs et à WordPress de publier des correctifs.
    
    

• Regrouper les mises à jour
  
  

• • prévoir une “séance de maintenance” dédiée, par exemple 1 fois par mois ;
    
    
  • éviter de faire une grosse mise à jour en plein pic de trafic.

3.3. Procédure simple pour mettre à jour WordPress en sécurité

• Vérifier que ton site est sauvegardé (base + fichiers).

• Noter la version actuelle de WordPress.

• Mettre à jour en priorité :

• • le cœur de WordPress (version stable),
  • puis les extensions,
  • puis les thèmes.
    
    

• Tester :

• • page d’accueil,

• • quelques pages importantes,

• • éventuellement le tunnel de commande sur une boutique.
    
    

• En cas de problème, restaurer la sauvegarde depuis UpdraftPlus.

Optimisation et entretien de la base de données (WP Optimize)

WordPress génère en continu des éléments qui s’accumulent :

• révisions d’articles ;

• brouillons automatiques ;

• tables laissées par d’anciennes extensions.

À la longue, la base de données se fragmente, ce qui :

• alourdit le site ;

• rallonge les temps de réponse du serveur.

1. WP Optimize : nettoyer et optimiser

Les contenus d’origine recommandent WP Optimize, une extension :

• très populaire ;

• dédiée à l’optimisation de la base de données.

Elle permet :

• de supprimer automatiquement les révisions et brouillons obsolètes ;

• de nettoyer les tables laissées par des plugins désinstallés ;

• de programmer un nettoyage automatique à la fréquence de ton choix.

WP Optimize va plus loin en proposant :

• une gestion du cache ;

• l’optimisation des images ;

• la minification de certains fichiers, pour les rendre moins lourds.

Durcir l’accès : authentification, rôles, HTTPS

Les articles qui t’ont servi de base parlent surtout sécurité globale, backups, mises à jour et base de données. Pour une mise à jour 2025 cohérente, on peut compléter avec quelques bonnes pratiques modernes, sans rentrer dans le détail technique.

1. Comptes et rôles utilisateurs

• éviter le compte “admin” avec un mot de passe générique ;

• limiter les comptes ayant le rôle Administrateur ;

• attribuer des rôles adaptés (Éditeur, Auteur, Contributeur…) ;

• supprimer les comptes inutilisés.

2. HTTPS et certificat SSL

• s’assurer que le site est accessible en https:// ;

• rediriger tout le trafic http vers https ;

• renouveler le certificat SSL (souvent géré par l’hébergeur).

3. Authentification renforcée

Sans entrer dans une configuration précise d’extension :

• privilégier des mots de passe longs et uniques ;

• activer une double authentification (2FA) dès que possible ;

• limiter le nombre de tentatives de connexion (via une extension dédiée si besoin).

Formations Marketing Digital

Formez-vous aux métiers du web grâce à nos formations en marketing digital à distance. 

Découvrir les formations

Runbook de maintenance WordPress : la checklist

Tu voulais un “runbook” de maintenance à transformer ensuite en PDF : je te le structure directement dans l’article, prêt à être recyclé.

1. À faire chaque semaine

• Vérifier l’apparition de nouvelles mises à jour (cœur, thèmes, plugins).

• Contrôler que les backups automatiques se sont bien déroulés.

• Visiter au moins :

  • la page d’accueil,

  • une page de contenu,

  • la page de contact / panier si e-commerce.

2. À faire chaque mois

• Appliquer les mises à jour validées (en respectant la procédure sauvegarde → mise à jour → test).

• Lancer un nettoyage WP Optimize de la base de données.

• Vérifier l’espace disque disponible chez l’hébergeur.

• Contrôler que les certificats SSL sont valides.

3. À faire chaque trimestre

• Tester une restauration à partir d’un backup sur un clone ou un environnement de test (si possible).

• Faire un tour des extensions installées :

  • désactiver celles qui ne servent plus,

  • envisager de les supprimer après vérification.

• Vérifier les comptes utilisateurs et les rôles.

4. À faire avant toute grosse évolution

• Lancer une sauvegarde complète (base + fichiers).

• Noter la version de WordPress, les thèmes et les extensions.

• Documenter les changements effectués (utile si tu passes la main à un prestataire).

Et la suite ?

Pour aller plus loin sur la performance, pense aussi à :

• la configuration du cache (voir l’article dédié sur le cache WordPress) ;

• le choix de l’hébergement adapté à ton trafic et à ton type de site.

Téléchargez le programme de la formation WordPress en PDF

Programme formation WordPress

+ de 2500 téléchargements