WordPress fait tourner une part considérable des sites web dans le monde, entreprises comprises. Cette popularité en fait une cible de choix : pas parce que WordPress serait intrinsèquement peu sûr, mais parce que l'écosystème qui gravite autour, extensions, thèmes, configurations serveur, offre une surface d'attaque immense et rarement surveillée. En 2026, un audit de sécurité WordPress reste l'un des moyens les plus rapides de réduire drastiquement le risque d'un site vitrine ou d'une boutique en ligne.

Pourquoi WordPress reste une cible de choix

Le cœur de WordPress lui-même est audité en continu par une large communauté et corrigé rapidement en cas de faille critique. Le problème vient rarement de là. C'est la popularité de la plateforme qui pose problème indirectement : elle justifie, pour un attaquant, d'automatiser des scans à très grande échelle à la recherche d'une version de plugin vulnérable connue, sans avoir à cibler une entreprise en particulier. Un site laissé à l'abandon quelques mois peut se retrouver compromis sans qu'aucune attaque n'ait jamais visé spécifiquement son propriétaire.

Les failles les plus fréquentes qu'on retrouve en audit

  • Extensions et thèmes obsolètes, avec des vulnérabilités publiquement documentées (CVE)
  • Comptes administrateurs sans authentification à deux facteurs, avec des mots de passe faibles ou réutilisés
  • Fichier wp-config.php mal protégé, exposant potentiellement les identifiants de base de données
  • xmlrpc.php laissé actif, souvent exploité pour des attaques par force brute amplifiées
  • Sauvegardes du site accessibles publiquement via une URL prévisible
  • Permissions de fichiers trop permissives sur le serveur d'hébergement

Dans l'immense majorité des audits que nous menons sur des sites WordPress, la faille critique ne vient jamais du cœur de WordPress, mais d'une extension tierce laissée à l'abandon depuis plusieurs versions.

Ce que couvre un audit de sécurité WordPress chez INTRUZION

  • Cartographie complète des extensions et thèmes installés, confrontée aux bases de vulnérabilités connues
  • Test d'intrusion applicatif ciblé sur le CMS, selon la méthodologie OWASP
  • Revue de la configuration serveur et durcissement (permissions, en-têtes de sécurité, accès sensibles)
  • Analyse accélérée par notre IA, pour aller plus loin sans faire grimper la facture
  • Rapport de recommandations priorisées par criticité, avec accompagnement à la remédiation

Bonnes pratiques à appliquer dès maintenant

  • Mettre à jour WordPress, les thèmes et toutes les extensions dès qu'un correctif est disponible
  • Désinstaller les extensions et thèmes inutilisés plutôt que de les laisser inactifs
  • Activer la double authentification pour tous les comptes administrateurs
  • Désactiver xmlrpc.php s'il n'est pas utilisé, et limiter les tentatives de connexion sur wp-login.php
  • Vérifier que les sauvegardes ne sont jamais accessibles publiquement

Ces bonnes pratiques réduisent significativement la surface d'attaque, mais elles ne remplacent pas un audit complet lorsque le site traite des données sensibles ou génère un chiffre d'affaires direct.