Sécuriser ton site WordPress, sans être développeur
Sommaire
Sur un site WordPress, la faille vient rarement de WordPress lui-même. Elle vient d'une extension pas à jour, d'un réglage resté ouvert ou d'un fichier oublié. Voici les sept points à regarder, comment le faire toi-même, et ce que Rustine vérifie pour toi.
En bref
| Risque | Où Rustine le vérifie |
|---|---|
| Des extensions et thèmes en retard | Scan gratuit |
| Une version de WordPress en retard | Scan gratuit |
| xmlrpc.php ouvert pour rien | Pas encore vérifié |
| La liste de tes utilisateurs | Pas encore vérifié |
| Des fichiers sensibles en ligne | Scan gratuitAudit complet · Solo, Pro |
| Une connexion trop simple | Audit complet · Solo, Pro |
| Ton thème ou ton extension sur mesure | Code GitHub · Solo, Pro |
1. Des extensions et thèmes en retard
Des failles sont publiées en continu pour les extensions et les thèmes, et la base Wordfence Intelligence les recense. Une extension en retard, c'est une faille connue de tous sur ton site.
Vérifie toi-même
Dans ton tableau de bord, ouvre Mises à jour et applique-les. Supprime les extensions désactivées : le guide de sécurité de WordPress le conseille.
Ce que Rustine vérifie
Dès le scan gratuit, Rustine reconnaît les extensions et thèmes chargés par ta page d'accueil, estime leur version et la compare aux failles connues de Wordfence. Une extension qui ne charge rien sur cette page lui reste invisible. Avec Solo et Pro, un e-mail quand une nouvelle faille touche une version que tu utilises.
Scan gratuit
2. Une version de WordPress en retard
Le cœur de WordPress reçoit lui aussi des correctifs de sécurité. Une version ancienne, affichée dans le code de ta page, dit exactement quelles failles essayer.
Vérifie toi-même
Tableau de bord, Mises à jour : WordPress doit être à la dernière version. Active les mises à jour automatiques de sécurité si ton hébergeur ne le fait pas.
Ce que Rustine vérifie
Dès le scan gratuit, Rustine lit la version annoncée par ton site et la compare aux failles connues.
Scan gratuit
Sources : [2]
3. xmlrpc.php ouvert pour rien
xmlrpc.php sert à d'anciennes applis et à certaines extensions, comme Jetpack. Laissé ouvert sans usage, il accepte plusieurs essais de mot de passe dans une seule requête, ce qui passe sous le radar des protections de la page de connexion.
Vérifie toi-même
Si tu n'utilises ni l'appli mobile WordPress ni Jetpack, demande à ton hébergeur ou à une extension de sécurité de bloquer xmlrpc.php.
Ce que Rustine vérifie
Pas encore vérifié par Rustine.
Pas encore vérifié
Sources : [3]
4. La liste de tes utilisateurs
L'API de WordPress et les pages d'auteur peuvent donner les identifiants de connexion de tes comptes. Avec l'identifiant en main, il ne reste que le mot de passe à deviner.
Vérifie toi-même
Dans une fenêtre privée, ouvre ton-site.fr/wp-json/wp/v2/users. Si tu y lis tes identifiants, une extension de sécurité peut masquer cette liste. Évite les identifiants admin ou webmaster.
Ce que Rustine vérifie
Pas encore vérifié par Rustine.
Pas encore vérifié
5. Des fichiers sensibles en ligne
Une copie wp-config.php.bak contient le mot de passe de ta base. Un dossier wp-content listable montre tout ce que tu as envoyé.
Vérifie toi-même
Ouvre ton-site.fr/wp-content/uploads/ : tu dois voir une page vide ou une erreur, pas une liste de fichiers. Supprime les copies de wp-config.php laissées par une édition.
Ce que Rustine vérifie
Dès le scan gratuit, Rustine repère les dossiers listables, wp-content compris. Après preuve, l'audit complet cherche les copies de wp-config.php. Le fichier debug.log n'est pas encore vérifié.
Scan gratuitAudit complet · Solo, Pro
Sources : [2]
6. Une connexion trop simple
La page /wp-admin/ est la même sur tous les sites WordPress. Un mot de passe faible et pas de double authentification, et ton compte administrateur est à portée.
Vérifie toi-même
Un mot de passe long et unique pour chaque administrateur, une double authentification par extension, et le moins d'administrateurs possible.
Ce que Rustine vérifie
Après preuve, l'audit complet repère la page d'administration, sans jamais essayer de s'y connecter.
Audit complet · Solo, Pro
Sources : [2]
7. Ton thème ou ton extension sur mesure
Le code écrit pour toi, ou par ton agent, n'a pas de mises à jour de sécurité. Une requête SQL mal construite ou une route sans contrôle de droits y reste tant que personne ne la relit.
Vérifie toi-même
Fais relire le code avant chaque mise en ligne, et garde-le sur GitHub plutôt que dans le seul FTP.
Ce que Rustine vérifie
Sur GitHub, avec Solo et Pro : routes sans contrôle de droits, requêtes SQL sans préparation, affichage sans échappement, et dépendances.
Code GitHub · Solo, Pro
Scanne ton site, c'est gratuit
Colle ton adresse : le scan rapide lit ce que voit un visiteur, rien de plus. Le détail s'affiche une fois que tu as prouvé que le site est à toi.
Outils gratuitsTest des en-têtes de sécurité
Questions
Rustine remplace-t-il une extension de sécurité comme Wordfence ?
Non. Une extension protège ton site de l'intérieur. Rustine le regarde de l'extérieur, comme un visiteur, et te dit ce qui dépasse. Les deux vont bien ensemble.
Rustine voit-il toutes mes extensions ?
Il voit celles qui chargent un fichier sur ta page d'accueil, et leur version est une estimation. Une extension invisible depuis la page reste à suivre dans ton tableau de bord.
Sources
- Wordfence, Wordfence Intelligence, vulnerability database, consulté le 15/10/2026
- WordPress, Hardening WordPress, consulté le 15/10/2026
- Sucuri, Brute Force Amplification Attacks Against WordPress XMLRPC (2015), consulté le 15/10/2026
- WordPress, REST API Handbook, Users, consulté le 15/10/2026
- OWASP, WSTG, Testing for Account Enumeration and Guessable User Account, consulté le 15/10/2026