WordPress piraté : Pourquoi les entreprises d’Ille-et-Vilaine sont-elles visées et comment se protéger ?

Par Kevin Cadoret : Freelance WordPress et Consultant SEO à Rennes depuis 2016

Ce matin-là, un client m’a appelé en panique

C’était un mardi matin, pas très tôt. Un client rennais, artisan dans le bâtiment, que j’avais accompagné pour la création de son site vitrine WordPress environ deux ans plus tôt. Plutôt à l’aise avec l’informatique, du genre à gérer ses mises à jour lui-même, sans contrat de maintenance.

Sa voix était tendue. Son site affichait depuis la veille au soir une page en arabe avec un fond noir et un message politique. Un cas classique de défiguration, ce que les anglophones appellent un « defacement » : un groupe de hackers qui utilise votre site comme tableau d’affichage.

La bonne nouvelle, c’est que ça s’est réglé relativement vite. Comme je lui avais mis en place des sauvegardes régulières lors de la création du site, on a pu restaurer une version propre en quelques heures, reconfigurer les accès, identifier la faille d’entrée et la corriger. Quelques heures de stress, mais pas de dégâts durables.

Ce qui m’a frappé dans cet échange, c’est sa question une fois le site remis en ligne : « Mais comment ils ont fait ? Et pourquoi mon site à moi ? » C’est exactement la question que beaucoup de propriétaires de sites WordPress se posent, souvent trop tard.

Ce cas n’est pas isolé. Depuis que je suis freelance WordPress à Rennes, j’en ai vu défiler. Des sites vitrines d’artisans, des boutiques e-commerce bretonnes, des cabinets de professionnels libéraux, des associations. Et depuis l’explosion des outils d’intelligence artificielle accessibles à grande échelle, les attaques sont devenues plus fréquentes, plus sophistiquées, et surtout beaucoup plus automatisées.

Cet article, c’est tout ce que j’aurais voulu que mes clients lisent avant de m’appeler en panique.

Pourquoi WordPress est autant ciblé par les hackers en 2026

La première chose que les gens se disent après un piratage, c’est souvent : « Mais pourquoi moi ? Mon site ne vaut rien pour eux. »

C’est une mauvaise façon de poser la question. Les hackers ne ciblent pas votre site en particulier. Ils ciblent WordPress.

WordPress propulse aujourd’hui plus de 43% des sites web mondiaux. C’est colossal. Cette popularité en fait la cible la plus rentable pour qui veut automatiser des attaques à grande échelle. Un outil malveillant développé pour exploiter une faille WordPress peut potentiellement toucher des dizaines de millions de sites dans le monde en quelques heures.

Et depuis 2023-2024, l’IA a changé la donne de façon significative. Des outils comme des LLM spécialisés permettent désormais à des individus avec des compétences techniques limitées de générer des scripts d’attaque sophistiqués, d’identifier automatiquement les versions vulnérables de plugins ou de thèmes, de personnaliser des emails de phishing à grande échelle pour piéger les administrateurs de sites.

Ce n’est plus le hacker solitaire dans sa chambre qui essaie des mots de passe à la main. Ce sont des botnets automatisés, des scripts qui testent en permanence des millions de sites, des outils capables de détecter une version de plugin obsolète en quelques secondes et d’en exploiter la faille immédiatement.

Votre site WordPress, même s’il est « petit », fait partie de ce vivier. Et s’il n’est pas correctement protégé, il est une cible exactement comme les autres.

Ce que veulent vraiment les hackers : l’objectif derrière l’attaque

Autre idée reçue à déconstruire : « Les hackers cherchent à voler mes données ou mon argent. » Parfois, oui. Mais dans la majorité des cas que j’ai rencontrés sur des sites WordPress de TPE et PME bretonnes, les objectifs sont différents, et parfois moins évidents.

Transformer votre site en machine à spam

C’est le cas le plus fréquent. Votre site est infecté par un script qui envoie des milliers d’emails de spam à des listes d’adresses, en utilisant votre serveur d’hébergement comme relais. Vous ne vous en rendez pas compte immédiatement, jusqu’au jour où votre domaine est blacklisté par les serveurs email. Résultat : vos propres emails professionnels n’arrivent plus à destination.

Utiliser votre serveur pour miner de la cryptomonnaie

Votre hébergement WordPress tourne sur un serveur qui a de la puissance de calcul. Des scripts malveillants peuvent exploiter cette puissance pour miner des cryptomonnaies au profit d’acteurs extérieurs, en faisant exploser la charge de votre hébergement et en ralentissant drastiquement votre site.

Injecter du contenu SEO frauduleux

C’est une attaque que j’appelle « hack invisible » parce qu’elle ne défigure pas votre site. Des centaines ou des milliers de pages sont créées dans votre WordPress à votre insu, avec des contenus en langues étrangères, des liens vers des sites de jeux d’argent, de pharmacie illégale ou de contrefaçon. Ces pages sont invisibles pour vous mais visibles de Google. Résultat : votre référencement s’effondre, votre domaine est associé à des contenus problématiques, et le nettoyage est long et complexe.

Voler les données de vos clients

Pour les sites e-commerce ou ceux qui collectent des données personnelles, c’est l’objectif le plus grave. Numéros de carte bancaire, adresses, emails, informations de compte : ces données se revendent sur le dark web. Et vous êtes potentiellement responsable de cette fuite vis-à-vis du RGPD.

Défigurer le site pour un message politique ou idéologique

C’est le cas le plus visible, celui de mon client artisan du bâtiment. Des groupes de hackers, souvent liés à des mouvements politiques ou idéologiques, défigurent des milliers de sites pour diffuser un message. Votre site est un tableau blanc accessible. C’est le cas le plus spectaculaire, mais pas forcément le plus dangereux sur le long terme.

Pourquoi les entreprises d’Ille-et-Vilaine ne sont pas épargnées

J’entends parfois : « Nous sommes à Rennes, pas à Paris ou dans une grande métropole, pourquoi des hackers s’intéresseraient à nos sites ? »

La réponse est simple et un peu dérangeante : la géographie ne compte pas. Les attaques automatisées ne savent pas que votre site est hébergé pour une entreprise d’Ille-et-Vilaine. Elles scannent des plages d’adresses IP, des listes de domaines, des versions de plugins exposées. Un bot situé en Russie, en Chine, au Brésil ou en Roumanie attaque exactement avec la même facilité un site rennais qu’un site parisien ou new-yorkais.

Ce qui rend les entreprises bretonnes potentiellement plus vulnérables, c’est ailleurs : c’est le niveau de maturité sur la sécurité numérique.

Dans les grandes entreprises parisiennes, il y a souvent un service IT, un DSI, une politique de sécurité informatique formalisée. Dans une TPE ou une PME de Rennes Métropole ou d’Ille-et-Vilaine, le site WordPress a souvent été créé par un prestataire, livré, et jamais vraiment maintenu depuis. Les mises à jour ne sont pas faites régulièrement. Le mot de passe administrateur n’a pas changé depuis 3 ans. Il n’y a pas de sauvegarde récente. Il n’y a pas de monitoring de sécurité.

C’est ça, la vraie vulnérabilité. Pas la géographie, mais le manque d’entretien et de vigilance.

Et c’est quelque chose que je vois concrètement dans mon activité de webmaster WordPress à Rennes : une majorité des sites que je reprends en maintenance après un piratage étaient des sites livrés il y a 2 ou 3 ans, sans aucune mise à jour depuis la livraison.

Les 6 portes d’entrée les plus exploitées sur un site WordPress

Comprendre comment on entre dans un site WordPress, c’est la première étape pour se protéger efficacement. Voici les six vecteurs d’attaque que je rencontre le plus fréquemment.

1. Les plugins et thèmes non mis à jour

C’est de loin la cause numéro un. Les plugins WordPress sont des logiciels développés par des tiers. Quand une faille de sécurité est découverte dans un plugin populaire (et ça arrive régulièrement), les développeurs publient une mise à jour corrective. Entre la publication de la faille et la mise à jour de votre plugin, votre site est vulnérable. Et les bots sont souvent plus rapides que vous.

J’ai vu des sites piratés via des failles dans des plugins très répandus, des extensions de formulaires de contact, des plugins de cache, des extensions de galerie photo. Aucun type de plugin n’est à l’abri.

2. Les mots de passe faibles ou réutilisés

« admin » comme identifiant et « monsite2021 » comme mot de passe. Je caricature à peine. Les attaques par force brute testent automatiquement des millions de combinaisons identifiant/mot de passe en quelques minutes. Si vos credentials sont faibles ou réutilisés depuis un autre service qui a été compromis, c’est une porte ouverte.

3. L’identifiant « admin » par défaut

WordPress crée par défaut un compte administrateur avec l’identifiant « admin ». Des millions de sites n’ont jamais changé cet identifiant. Pour un bot qui fait une attaque par force brute, c’est moitié du travail déjà fait : il sait que l’identifiant est « admin », il lui reste juste à trouver le mot de passe.

4. Les thèmes et plugins piratés (nulled)

C’est un sujet que je dois aborder même si ça peut gêner certains lecteurs. Des sites proposent des versions gratuites de thèmes et plugins WordPress payants, qu’on appelle des « nulled plugins ». C’est tentant économiquement, c’est illégal, et surtout c’est extrêmement dangereux : ces fichiers contiennent très souvent des backdoors, des portes dérobées qui permettent à leurs créateurs d’accéder à votre site à distance. Vous installez vous-même le piratage.

5. La page de connexion exposée et non protégée

L’URL de connexion WordPress par défaut est toujours la même : votre-site.fr/wp-admin ou votre-site.fr/wp-login.php. Tout le monde le sait, y compris les bots. Si cette page n’est pas protégée, elle reçoit des milliers de tentatives de connexion automatiques par jour sur un site exposé.

6. L’hébergement mutualisé mal configuré ou de mauvaise qualité

Sur un hébergement mutualisé low cost, votre site partage des ressources serveur avec des centaines ou des milliers d’autres sites. Si l’un de ces sites est compromis et que l’hébergeur n’a pas correctement isolé les comptes, l’infection peut se propager à votre site. C’est une des raisons pour lesquelles je recommande systématiquement à mes clients rennais des hébergeurs sérieux avec isolation des comptes.

Comment construire une vraie protection en plusieurs couches

La sécurité WordPress ne fonctionne pas avec une seule mesure miracle. Ce qui fonctionne, c’est la superposition de plusieurs couches de protection qui, ensemble, rendent l’accès à votre site suffisamment difficile pour que les bots passent à un site moins bien protégé.

C’est exactement la logique que j’applique sur tous les projets que je livre et sur tous les sites que je reprends en maintenance.

Couche 1 : Les mises à jour, la base absolue

WordPress core, thèmes, plugins : tout doit être maintenu à jour. C’est simple à dire, mais en pratique les mises à jour se font sous surveillance : une mise à jour de plugin peut parfois créer des incompatibilités avec d’autres extensions ou avec le thème. C’est pour ça qu’une bonne pratique consiste à toujours avoir une sauvegarde récente avant de lancer les mises à jour, et à les tester si possible dans un environnement de staging avant de les déployer en production.

Couche 2 : Des credentials forts et uniques

Supprimer le compte administrateur « admin » et le remplacer par un identifiant non devinable. Utiliser un mot de passe long et complexe généré aléatoirement (un gestionnaire de mots de passe comme Bitwarden ou 1Password est indispensable). Activer l’authentification à deux facteurs (2FA) sur le compte administrateur WordPress : même si quelqu’un obtient votre mot de passe, il ne peut pas se connecter sans le second facteur.

Couche 3 : Protéger et masquer la page de connexion

Changer l’URL de connexion par défaut (/wp-admin) pour une URL personnalisée que seul vous connaissez. Limiter le nombre de tentatives de connexion échouées avant blocage temporaire de l’IP. Restreindre l’accès à la page de connexion à certaines adresses IP si votre configuration le permet.

Couche 4 : Un plugin de sécurité dédié

J’en parle en détail dans la section suivante, mais c’est une couche indispensable. Un bon plugin de sécurité surveille votre site en temps réel, scanne régulièrement les fichiers à la recherche de malwares, vous alerte en cas d’activité suspecte et bloque les tentatives d’attaque automatiquement.

Couche 5 : Des sauvegardes automatiques et externalisées

Une sauvegarde qui est stockée sur le même serveur que votre site, ça ne sert presque à rien si le serveur est compromis. Les sauvegardes doivent être automatiques (au minimum quotidiennes pour un site actif), externalisées (stockées sur un service distinct : Google Drive, Dropbox, Amazon S3) et testées régulièrement pour vérifier qu’elles sont bien restaurables.

Couche 6 : Un hébergement de qualité avec isolation des comptes

Choisir un hébergeur qui isole correctement les comptes entre eux, qui maintient son infrastructure à jour, qui propose un certificat SSL valide et qui a un support technique réactif en cas de problème. Ce n’est pas le poste sur lequel économiser quelques euros par mois a du sens.

Couche 7 : Le monitoring continu

Savoir que votre site est compromis avant vos clients, c’est possible avec des outils de monitoring qui vérifient la disponibilité et l’intégrité de votre site en permanence. Une alerte à 3h du matin vaut mieux qu’un appel de client paniqué à 9h.

SecuPress : le plugin français que j’installe sur tous mes projets

Je vais vous parler d’un outil que j’utilise systématiquement sur tous les sites WordPress que je livre ou que je reprends en maintenance : SecuPress.

SecuPress est un plugin de sécurité WordPress développé par une équipe française, basée à Lyon. C’est important à préciser parce que ça veut dire plusieurs choses concrètes : une équipe qui maîtrise le contexte réglementaire européen et le RGPD, un support disponible en français, et une philosophie produit qui met l’accessibilité au premier plan.

Pourquoi je le préfère à des alternatives comme Wordfence (américain, très verbeux, parfois difficile à configurer pour un non-technicien) ou iThemes Security ?

Premièrement, l’interface est claire et compréhensible même pour un propriétaire de site qui n’est pas développeur. Les alertes sont formulées en français, les recommandations sont actionnables. Quand je forme un client à la gestion de son site après livraison, je peux lui montrer SecuPress sans qu’il se perde dans des réglages techniques obscurs.

Deuxièmement, la version gratuite est déjà très solide. Elle couvre les points essentiels : scan de malwares, protection de la page de connexion, détection des comptes administrateurs suspects, vérification des permissions de fichiers, blocage des IPs malveillantes. Pour une TPE ou un indépendant breton, c’est déjà une protection sérieuse sans débourser un euro.

La version Pro, que je recommande pour les sites e-commerce ou les sites à fort trafic, ajoute des fonctionnalités avancées : planification automatique des scans, alertes en temps réel, protection contre les attaques par force brute plus poussée, et des rapports de sécurité détaillés.

Ce que fait SecuPress concrètement :

Il audite votre installation WordPress sur une quarantaine de points de sécurité et vous donne un score global avec les actions prioritaires à mener. Il détecte les fichiers modifiés anormalement, les plugins abandonnés depuis trop longtemps par leurs développeurs (un signal de risque fort), les fichiers de configuration exposés, les versions obsolètes.

Il protège la page de connexion en limitant les tentatives d’authentification et en proposant de déplacer l’URL de connexion vers une adresse personnalisée.

Il surveille l’intégrité des fichiers WordPress core et vous alerte si des fichiers officiels ont été modifiés, ce qui est souvent le premier signe d’une infection.

Ce n’est pas un outil magique qui garantit une protection à 100%. Aucun plugin ne le peut. Mais combiné aux autres couches de protection que j’ai décrites dans la section précédente, c’est un maillon essentiel de la chaîne de sécurité.

Mon checklist de sécurité WordPress pour les entreprises bretonnes

Voici la liste des points que je vérifie systématiquement quand je prends en charge la sécurisation d’un site WordPress existant. Vous pouvez l’utiliser comme base d’auto-diagnostic pour votre propre site.

Accès et authentification

• Identifiant administrateur différent de « admin »
• Mot de passe complexe et unique (jamais réutilisé ailleurs)
• Authentification à deux facteurs (2FA) activée sur le compte admin
• Comptes utilisateurs WordPress audités (suppression des comptes inutilisés ou suspects)
• Rôles utilisateurs correctement attribués (éviter de donner des droits admin à tout le monde)

Mises à jour

• Version de WordPress core à jour
• Tous les plugins à jour
• Thème actif à jour
• Thèmes inactifs supprimés (ils restent une surface d’attaque même inactifs)
• Plugins inactifs supprimés pour la même raison

Page de connexion

• URL de connexion personnalisée (différente de /wp-admin)
• Limitation des tentatives de connexion activée
• Blocage des IPs après X tentatives échouées

Plugin de sécurité

• SecuPress installé et configuré
• Scan initial réalisé et rapport analysé
• Alertes email actives

Sauvegardes

• Sauvegardes automatiques configurées (au minimum hebdomadaire, idéalement quotidienne)
• Sauvegardes externalisées sur un stockage distinct du serveur
• Dernière restauration testée

Hébergement et configuration serveur

• Certificat SSL valide et actif (HTTPS)
• PHP en version maintenue à jour
• Fichier wp-config.php correctement protégé
• Accès au répertoire wp-admin restreint si possible

Monitoring

• Outil de monitoring de disponibilité configuré
• Alertes en cas de mise hors ligne du site

Si vous passez cette checklist et que vous cochez moins de la moitié des points, votre site présente des vulnérabilités sérieuses. N’attendez pas d’être piraté pour agir.

Votre site WordPress a été piraté : que faire dans les premières heures ?

Malgré toutes les précautions, ça peut arriver. Un piratage ne signifie pas la fin du monde, mais ça demande une réaction rapide et méthodique. Voici les étapes à suivre dans les premières heures.

Étape 1 : Ne pas paniquer, mais agir vite

La première chose à faire, c’est de garder la tête froide. Chaque heure qui passe avec un site compromis, c’est du contenu malveillant potentiellement indexé par Google, des emails de spam envoyés depuis votre serveur, ou des données exposées. La rapidité compte.

Étape 2 : Passer le site en mode maintenance ou le mettre hors ligne

L’objectif immédiat est d’empêcher vos visiteurs d’être exposés au contenu malveillant. Selon le niveau d’accès que vous avez encore à votre WordPress, vous pouvez activer un mode maintenance ou demander à votre hébergeur de suspendre temporairement le site.

Étape 3 : Changer tous les mots de passe immédiatement

Mot de passe WordPress, mot de passe FTP/SFTP, mot de passe de la base de données, mot de passe du panneau d’hébergement. Tout. Si les hackers ont vos credentials, ils y ont accès tant que vous ne les changez pas.

Étape 4 : Contacter votre hébergeur

Votre hébergeur a des outils de détection d’activité malveillante côté serveur que vous n’avez pas. Contactez leur support en expliquant la situation. Ils peuvent identifier les fichiers infectés, bloquer des activités suspectes côté serveur, et vous aider à restaurer une sauvegarde propre.

Étape 5 : Restaurer depuis une sauvegarde propre si possible

Si vous avez une sauvegarde récente qui précède le piratage, c’est souvent la solution la plus rapide et la plus sûre. Restaurer proprement depuis un état sain, puis immédiatement sécuriser le site pour combler la faille qui a permis l’intrusion.

Étape 6 : Scanner et nettoyer si vous n’avez pas de sauvegarde propre

C’est le scénario difficile. Sans sauvegarde exploitable, il faut scanner l’intégralité des fichiers WordPress à la recherche de code malveillant, identifier et supprimer les backdoors injectés, vérifier l’intégrité des fichiers WordPress core par rapport à la version officielle, analyser la base de données pour détecter des injections de contenu ou de liens.

C’est un travail qui demande de l’expérience technique. Si vous n’êtes pas à l’aise avec cette étape, c’est exactement le moment de faire appel à un professionnel.

Étape 7 : Identifier et corriger la faille d’entrée

Nettoyer un site piraté sans comprendre et corriger comment les hackers sont entrés, c’est nettoyer la maison sans changer la serrure. La faille doit être identifiée : plugin vulnérable, credentials compromis, fichier PHP malveillant uploadé. Et elle doit être corrigée avant la remise en ligne.

Étape 8 : Informer si nécessaire

Si votre site collectait des données personnelles et que ces données ont pu être compromises, vous avez une obligation légale de signalement à la CNIL dans les 72 heures suivant la découverte de la violation. C’est une obligation RGPD. Renseignez-vous et ne la négligez pas.

Je peux vous aider : audit, sécurisation et restauration de WordPress à Rennes

Que vous souhaitiez sécuriser un site WordPress existant avant qu’il ne soit trop tard, ou que vous ayez déjà subi un piratage et que vous cherchiez de l’aide pour restaurer et sécuriser votre site, je peux intervenir.

Ce que je propose concrètement pour les entreprises d’Ille-et-Vilaine et de Bretagne :

Audit de sécurité WordPress : une analyse complète de votre installation WordPress sur l’ensemble des points de vulnérabilité, avec un rapport priorisé des actions à mener. C’est la première étape pour les sites qui n’ont jamais fait l’objet d’une révision de sécurité. Mon activité d’audit SEO à Rennes intègre d’ailleurs souvent une dimension technique qui recense également les problèmes de sécurité.

Sécurisation complète de votre WordPress : mise en place de l’ensemble des couches de protection décrites dans cet article, configuration de SecuPress, sauvegardes automatiques externalisées, monitoring de disponibilité.

Restauration après piratage : diagnostic de l’infection, nettoyage des fichiers malveillants, restauration depuis sauvegarde si disponible, correction de la faille d’entrée, remise en ligne sécurisée.

Maintenance WordPress mensuelle : pour les entreprises qui ne veulent plus avoir à se préoccuper de ces sujets, ma prestation de webmaster WordPress à Rennes inclut les mises à jour surveillées, les sauvegardes automatiques, le monitoring et un accès prioritaire en cas d’urgence.

FAQ : sécurité WordPress pour les entreprises et indépendants en Bretagne