Checklist sécurité WordPress pour TPE et PME

Un site WordPress professionnel doit être vérifié régulièrement. Même s’il fonctionne correctement en apparence, il peut contenir des comptes inutiles, des extensions obsolètes, des sauvegardes non testées, des formulaires exposés, des accès prestataires oubliés ou des signaux faibles qui passent inaperçus.

Pour une TPE ou une PME, la sécurité WordPress n’est pas seulement un sujet technique. Un site compromis peut provoquer une perte de confiance, une baisse des demandes de contact, une suspension hébergeur, une alerte Google, des pages spam indexées, une perte de chiffre d’affaires ou une baisse de visibilité SEO.

Cette checklist sécurité WordPress vous aide à faire un premier état des lieux. Elle ne remplace pas un audit complet, mais elle permet de repérer les priorités : ce que vous pouvez vérifier seul, ce qui mérite une correction rapide et ce qui nécessite un audit sécurité WordPress plus approfondi. Pour une vision plus globale des bonnes pratiques préventives, vous pouvez aussi consulter le guide comment sécuriser un site WordPress.

L’objectif n’est pas de promettre une sécurité absolue. Aucun site WordPress ne peut être protégé à 100 %. L’objectif est de réduire les risques, de prioriser les vérifications utiles et d’éviter que des faiblesses simples ne deviennent un vrai incident.

Comment utiliser cette checklist

Une checklist est utile pour structurer un contrôle rapide. Mais elle peut donner une fausse impression de sécurité si elle est utilisée comme une simple liste de cases à cocher. Certains risques sont visibles facilement, d’autres demandent une analyse plus technique.

Lire les résultats par niveau de risque

Pour chaque point vérifié, vous pouvez raisonner avec quatre niveaux simples :

• OK : le point est maîtrisé, documenté et récent ;
• à surveiller : le point semble correct, mais manque de vérification ;
• à corriger : le point présente une faiblesse claire ;
• audit recommandé : le point est incertain, sensible ou lié à un symptôme préoccupant.

Cette lecture évite de traiter tous les points au même niveau. Un ancien thème inutilisé n’a pas la même urgence qu’un compte administrateur inconnu, une alerte hébergeur ou une redirection vers un autre domaine.

Ce que vous pouvez vérifier seul

Vous pouvez déjà contrôler plusieurs points sans compétence technique avancée :

• la liste des utilisateurs WordPress ;
• le nombre d’administrateurs ;
• la présence d’anciens comptes prestataires ;
• l’état général des mises à jour ;
• les extensions inutilisées ;
• la présence d’une sauvegarde récente ;
• les alertes visibles dans l’hébergement ;
• les messages Google Search Console ;
• les pages inconnues dans Google ;
• les redirections signalées par des visiteurs.

Ces vérifications donnent une première vision du niveau de risque. Elles permettent aussi de préparer une demande d’audit ou d’intervention si plusieurs signaux sont préoccupants.

Ce qui demande une analyse plus poussée

Certains points ne peuvent pas être vérifiés correctement sans méthode technique. C’est le cas des droits fichiers, de la configuration serveur, de la qualité réelle des sauvegardes, des traces d’infection, des redirections conditionnelles, de la base de données ou des composants vulnérables.

Un site peut sembler propre dans le back-office et présenter malgré tout des anomalies : pages spam indexées, redirections uniquement sur mobile, scripts injectés, comptes invisibles pour un non-technicien ou sauvegardes inutilisables.

Dans ces cas, une checklist permet d’identifier le doute, mais pas toujours de le résoudre.

Comment prioriser les résultats

Tous les points faibles n’ont pas le même niveau d’urgence. Un plugin légèrement en retard n’a pas le même niveau de risque qu’un compte administrateur inconnu ou une alerte hébergeur.

Les priorités doivent être traitées dans cet ordre :

• signes d’infection ou de compromission ;
• accès administrateurs non maîtrisés ;
• absence de sauvegarde fiable ;
• composants critiques obsolètes ;
• formulaires ou WooCommerce exposés ;
• absence de surveillance ;
• manque de maintenance dans le temps.

Si vous découvrez déjà une redirection suspecte, une alerte Google “site dangereux”, des pages spam ou un compte administrateur inconnu, la situation n’est plus seulement préventive. Il faut envisager une vérification de type site WordPress piraté ou un diagnostic plus complet.

Vérifier les accès et utilisateurs

Les accès sont l’un des premiers points à vérifier. Un site peut être vulnérable simplement parce que trop de personnes ont encore des droits administrateur ou parce que des comptes anciens n’ont jamais été retirés.

Comptes administrateurs

À vérifier :

• connaissez-vous tous les administrateurs du site ?
• certains comptes appartiennent-ils à d’anciens prestataires ?
• certains comptes sont-ils liés à des emails obsolètes ?
• existe-t-il des comptes de test encore actifs ?
• chaque administrateur a-t-il réellement besoin de ce niveau de droit ?

Un compte administrateur inconnu ou inutile doit être pris au sérieux. Il peut être le résultat d’un oubli, mais aussi d’une compromission. Avant de supprimer un compte suspect, il peut être utile de noter son identifiant, son email et son rôle pour conserver une trace.

Mots de passe et comptes partagés

À vérifier :

• les mots de passe sont-ils uniques ?
• les mots de passe sont-ils suffisamment longs ?
• un même compte est-il partagé entre plusieurs personnes ?
• un ancien prestataire connaît-il encore un mot de passe ?
• les mots de passe critiques ont-ils été changés récemment ?

Les mots de passe faibles ou réutilisés sont des faiblesses courantes. Un mot de passe WordPress ne doit pas être identique à celui de l’hébergement, de l’email, du FTP, de la base de données ou d’un outil marketing.

Accès prestataires

À vérifier :

• quels prestataires ont eu accès au site ?
• disposent-ils encore d’un compte administrateur ?
• les accès sont-ils individuels ou partagés ?
• les accès ont-ils été retirés après la fin d’une mission ?
• les comptes sont-ils documentés ?

Un changement d’agence, de freelance ou de prestataire technique doit toujours s’accompagner d’un contrôle des accès. Beaucoup de sites conservent des comptes inutiles pendant des années.

Accès hors WordPress

À vérifier :

• accès hébergement ;
• accès nom de domaine ;
• accès FTP ou SFTP ;
• accès base de données ;
• accès emails liés au site ;
• accès outil de sauvegarde ;
• accès Google Search Console ;
• accès Google Analytics ;
• accès outils marketing ou CRM.

Un site WordPress peut être compromis par un accès externe. La checklist ne doit donc pas se limiter au back-office WordPress.

Contrôler extensions, thèmes et mises à jour

Les extensions et thèmes sont essentiels au fonctionnement d’un site WordPress, mais ils peuvent aussi devenir une source de risque lorsqu’ils sont trop nombreux, obsolètes ou non maintenus.

WordPress, thème et extensions à jour

À vérifier :

• la version de WordPress est-elle à jour ?
• les extensions sont-elles à jour ?
• le thème actif est-il à jour ?
• des mises à jour de sécurité sont-elles en attente ?
• les mises à jour sont-elles testées après installation ?

Les mises à jour corrigent souvent des bugs et des vulnérabilités. Mais sur un site professionnel, elles doivent être réalisées avec méthode : sauvegarde avant intervention, contrôle après mise à jour, vérification des formulaires, pages clés et fonctionnalités commerciales.

Extensions inutiles ou inactives

À vérifier :

• combien d’extensions sont installées ?
• combien sont réellement utilisées ?
• des extensions inactives restent-elles installées ?
• des extensions de test ont-elles été oubliées ?
• certaines fonctionnalités se chevauchent-elles ?

Une extension inutile augmente la surface d’exposition. Même inactive, elle peut représenter un risque selon le contexte. La bonne pratique consiste à supprimer ce qui n’est plus nécessaire.

Thèmes inutilisés

À vérifier :

• combien de thèmes sont installés ?
• le thème actif est-il bien identifié ?
• des anciens thèmes restent-ils présents ?
• le thème utilisé est-il maintenu ?
• le thème enfant est-il documenté si le site en utilise un ?

Un thème ancien, abandonné ou modifié sans suivi peut devenir une faiblesse. Il faut garder un environnement simple, lisible et maîtrisé.

Composants critiques

À vérifier avec attention :

• WooCommerce ;
• formulaires ;
• constructeur de page ;
• extension de sécurité ;
• extension de sauvegarde ;
• extension SEO ;
• cache ;
• espace membre ;
• outil de réservation ;
• connecteurs API ;
• passerelles de paiement.

Ces composants sont sensibles parce qu’ils touchent souvent aux données, aux formulaires, aux paiements, aux utilisateurs ou aux performances. Ils méritent un contrôle plus strict.

Vérifier les sauvegardes et l’hébergement

Une sauvegarde fiable ne prévient pas un piratage, mais elle peut limiter les conséquences d’un incident. L’hébergement, lui, conditionne une partie importante du niveau de sécurité et de résilience.

Sauvegardes récentes et complètes

À vérifier :

• existe-t-il une sauvegarde récente ?
• la sauvegarde inclut-elle les fichiers ?
• la sauvegarde inclut-elle la base de données ?
• la fréquence est-elle adaptée à l’activité du site ?
• combien de versions sont conservées ?
• les sauvegardes sont-elles automatiques ?
• une sauvegarde manuelle est-elle possible avant une opération sensible ?

Un site vitrine peu modifié et un WooCommerce actif n’ont pas les mêmes besoins. Plus le site évolue, plus les sauvegardes doivent être fréquentes. Pour approfondir ce point, consultez aussi le guide sur la sauvegarde WordPress et les bonnes pratiques.

Sauvegardes restaurables

À vérifier :

• savez-vous restaurer une sauvegarde ?
• l’outil de sauvegarde fonctionne-t-il réellement ?
• une restauration a-t-elle déjà été testée ?
• la sauvegarde est-elle exploitable si le site est inaccessible ?
• la sauvegarde est-elle saine ou potentiellement infectée ?

Une sauvegarde non testée reste une hypothèse. Elle ne doit pas être considérée comme fiable tant que sa restauration n’a jamais été vérifiée.

Stockage des sauvegardes

À vérifier :

• les sauvegardes sont-elles stockées uniquement sur le même hébergement ?
• existe-t-il une copie externe ?
• l’accès aux sauvegardes est-il protégé ?
• les sauvegardes peuvent-elles être supprimées si le site est compromis ?
• les anciennes sauvegardes sont-elles conservées suffisamment longtemps ?

Stocker toutes les sauvegardes au même endroit que le site limite fortement leur intérêt en cas de compromission, de suppression ou de suspension hébergeur.

Hébergement et accès techniques

À vérifier :

• l’hébergement est-il adapté à l’importance du site ?
• les accès sont-ils connus et documentés ?
• les anciens accès FTP ou SFTP sont-ils supprimés ?
• les versions techniques sont-elles maintenues ?
• l’hébergeur envoie-t-il des alertes de sécurité ?
• existe-t-il un support en cas d’incident ?

Un hébergement mal maîtrisé peut compliquer la résolution d’un incident, même si WordPress est bien configuré.

Contrôler formulaires, contenus et SEO

Les formulaires, les contenus et l’indexation Google sont souvent les premiers endroits où apparaissent des signaux faibles.

Formulaires de contact et de devis

À vérifier :

• les formulaires fonctionnent-ils correctement ?
• recevez-vous bien les notifications ?
• des messages suspects arrivent-ils en masse ?
• les formulaires sont-ils protégés contre les abus ?
• les champs ne permettent-ils pas des détournements évidents ?
• les formulaires sont-ils connectés à un CRM ou un outil emailing ?

Un formulaire mal configuré peut être utilisé pour du spam, nuire à la réputation email ou bloquer des demandes commerciales.

Pages stratégiques

À vérifier :

• page d’accueil ;
• page contact ;
• pages services ;
• pages WooCommerce ;
• pages de réservation ;
• pages de tunnel de conversion ;
• pages SEO les plus visitées.

Ces pages doivent être contrôlées régulièrement. Une modification discrète, un lien ajouté ou une redirection peut avoir un impact important sur les conversions.

Pages inconnues dans Google

À vérifier :

• Google affiche-t-il des pages inconnues ?
• les résultats contiennent-ils des titres étranges ?
• des contenus de casino, médicaments, contrefaçons ou contenus adultes apparaissent-ils ?
• des pages en langue étrangère sont-elles associées au domaine ?
• le trafic SEO montre-t-il des requêtes anormales ?

Des pages inconnues dans Google peuvent indiquer du spam SEO ou une infection. Dans ce cas, il faut éviter les conclusions rapides et vérifier si le site est encore compromis.

Alertes Search Console

À vérifier :

• le site est-il bien connecté à Google Search Console ?
• existe-t-il des problèmes de sécurité ?
• des actions manuelles sont-elles signalées ?
• des erreurs d’indexation anormales apparaissent-elles ?
• des pages inconnues reçoivent-elles des impressions ?
• le trafic organique a-t-il chuté brutalement ?

Search Console est un outil important pour repérer certains signaux liés à la sécurité, à l’indexation et au SEO. Si vous constatez une chute liée à une infection, la page dédiée au SEO après piratage WordPress peut compléter l’analyse, ainsi que la ressource sur le piratage WordPress et ses impacts SEO.

Repérer les signaux d’alerte

Certains signaux doivent déclencher une vérification plus poussée. Même si le site semble fonctionner, ils peuvent indiquer une compromission ou un risque élevé.

Signes visibles côté visiteurs

À surveiller :

• redirection vers un autre domaine ;
• page publicitaire inattendue ;
• faux antivirus ;
• site adulte ou casino ;
• message “site dangereux” ;
• affichage différent sur mobile ;
• page qui change selon le navigateur ;
• formulaire qui ne fonctionne plus.

Une redirection ou une alerte signalée par un visiteur ne doit pas être ignorée. Le problème peut ne pas apparaître depuis votre propre ordinateur.

Signes visibles côté administration

À surveiller :

• compte administrateur inconnu ;
• rôle utilisateur modifié ;
• extension installée sans explication ;
• thème modifié ;
• page modifiée sans intervention connue ;
• back-office lent ou instable ;
• erreurs inhabituelles ;
• impossibilité de se connecter.

Ces signaux peuvent venir d’un bug, mais ils peuvent aussi indiquer un accès compromis.

Signes visibles côté hébergeur

À surveiller :

• alerte fichier suspect ;
• consommation excessive de ressources ;
• envois d’emails inhabituels ;
• suspension temporaire ;
• avertissement malware ;
• logs ou messages d’activité anormale.

Un message de l’hébergeur doit être conservé. Il peut contenir des informations utiles pour un diagnostic.

Signes visibles côté SEO

À surveiller :

• chute brutale du trafic organique ;
• pages inconnues indexées ;
• requêtes étranges dans Search Console ;
• baisse forte du taux de clic ;
• résultats Google altérés ;
• alerte de sécurité dans les résultats ;
• pages stratégiques qui ne performent plus.

Ces signaux peuvent nécessiter une analyse croisée entre sécurité et référencement.

Ce que vous pouvez corriger seul

Une checklist doit aussi aider à distinguer les actions simples des actions qui méritent un audit. Certaines corrections peuvent être réalisées en interne si vous êtes à l’aise avec WordPress.

Actions simples et peu risquées

Vous pouvez généralement :

• supprimer un compte utilisateur clairement inutile ;
• changer les mots de passe ;
• retirer un ancien prestataire ;
• supprimer une extension inactive connue ;
• vérifier les sauvegardes disponibles ;
• documenter les accès ;
• vérifier Search Console ;
• tester les formulaires ;
• noter les anomalies observées.

Ces actions réduisent déjà certains risques et préparent un audit éventuel.

Actions à faire avec prudence

Certaines actions doivent être menées avec plus de précaution :

• mettre à jour plusieurs extensions sensibles ;
• supprimer une extension active ;
• changer un thème ;
• modifier des réglages serveur ;
• restaurer une sauvegarde ;
• nettoyer des fichiers suspects ;
• supprimer des pages inconnues ;
• modifier des règles de redirection.

Ces actions peuvent être utiles, mais elles peuvent aussi casser le site ou masquer un problème si elles sont faites sans méthode. Si vous hésitez entre simple anomalie et compromission, le guide comment savoir si un site WordPress est piraté peut vous aider à qualifier les symptômes.

Informations à préparer pour un audit

Avant de demander un audit, préparez :

• URL du site ;
• accès WordPress disponibles ou non ;
• accès hébergement disponibles ou non ;
• liste des symptômes éventuels ;
• message de l’hébergeur si existant ;
• état des sauvegardes ;
• liste des comptes administrateurs ;
• date approximative des dernières mises à jour ;
• importance commerciale du site ;
• présence éventuelle de WooCommerce, espace client ou formulaires sensibles.

Ces informations permettent de qualifier plus rapidement le niveau de risque.

Quand demander un audit sécurité ?

La checklist permet de faire un premier état des lieux. Mais un audit devient pertinent lorsque le risque n’est pas clair, que le site est stratégique ou que plusieurs points faibles apparaissent.

C’est le cas si :

• vous ne connaissez pas tous les administrateurs ;
• plusieurs extensions sont obsolètes ;
• vous ne savez pas si les sauvegardes sont restaurables ;
• vous avez reçu une alerte hébergeur ;
• Google affiche des pages inconnues ;
• le site a déjà été piraté ;
• le site utilise WooCommerce ;
• le site contient un espace client ;
• les formulaires sont essentiels à votre activité ;
• plusieurs prestataires ont eu accès au site ;
• vous n’avez pas de maintenance régulière ;
• vous ne savez pas quelles corrections prioriser.

Un audit sécurité WordPress permet de passer d’une checklist générale à une analyse contextualisée. Il aide à hiérarchiser les risques, identifier les actions prioritaires et éviter les corrections inutiles.

Après la checklist : organiser les actions

Une checklist n’a de valeur que si elle débouche sur des actions. L’objectif est de prioriser, corriger, puis organiser un suivi régulier.

Prioriser les corrections

Toutes les anomalies ne sont pas urgentes. Il faut distinguer :

• les signes d’infection ;
• les accès non maîtrisés ;
• l’absence de sauvegarde fiable ;
• les composants critiques obsolètes ;
• les formulaires exposés ;
• l’absence de surveillance ;
• les optimisations secondaires.

Les signes d’infection, les accès inconnus et l’absence de sauvegarde fiable sont prioritaires.

Mettre en place une maintenance

Une maintenance WordPress régulière permet de vérifier les mises à jour, sauvegardes, comptes utilisateurs, anomalies et alertes. Elle limite les risques liés à l’oubli et aux composants qui vieillissent.

La maintenance ne remplace pas un audit initial, mais elle permet de maintenir le niveau de sécurité dans le temps. Pour structurer ces vérifications récurrentes, consultez aussi le guide sur les contrôles de maintenance sécurité WordPress.

Renforcer la sécurisation

Après un audit ou une checklist, certaines corrections peuvent relever de la sécurisation WordPress : accès, durcissement, configuration, sauvegardes, surveillance, formulaires, comptes utilisateurs et composants sensibles.

L’objectif n’est pas de tout faire d’un coup, mais d’agir par priorité.

Ce qu’il ne faut pas faire

Certaines erreurs sont fréquentes après une checklist sécurité WordPress. Elles peuvent donner l’impression d’agir, sans vraiment réduire le risque.

Cocher sans corriger

Identifier un problème ne suffit pas. Si vous repérez des comptes inutiles, des sauvegardes non vérifiées ou des extensions obsolètes, il faut décider quoi faire ensuite.

Une checklist utile doit déboucher sur un plan d’action.

Installer plusieurs plugins de sécurité

Ajouter plusieurs plugins de sécurité peut créer des conflits, ralentir le site ou générer des alertes difficiles à interpréter.

Un plugin peut aider, mais il ne remplace pas l’audit, les sauvegardes, la maintenance et la gestion des accès.

Supprimer sans comprendre

Supprimer une extension, un fichier ou une page sans comprendre son rôle peut casser le site. C’est particulièrement vrai pour les sites anciens, WooCommerce, multilingues ou construits avec un thème complexe.

Avant toute suppression sensible, il faut sauvegarder et vérifier.

Ignorer les signaux faibles

Une page inconnue dans Google, un compte administrateur suspect ou une alerte hébergeur ne doivent pas être mis de côté sous prétexte que le site semble fonctionner.

Ces signaux peuvent annoncer une compromission déjà active.

Questions fréquentes

À quoi sert une checklist sécurité WordPress ?

Une checklist sécurité WordPress sert à vérifier les principaux points de risque : accès, administrateurs, mises à jour, extensions, sauvegardes, hébergement, formulaires, alertes et signaux visibles dans Google. Elle aide à faire un premier état des lieux.

Est-ce qu’une checklist remplace un audit sécurité WordPress ?

Non. Une checklist permet d’identifier les points visibles ou faciles à vérifier. Un audit sécurité WordPress va plus loin : analyse technique, contexte du site, priorisation des risques, vérification de la configuration et recommandations adaptées.

Quels sont les points les plus importants à vérifier ?

Les priorités sont les comptes administrateurs, les mots de passe, les extensions obsolètes, les sauvegardes, les accès hébergement, les formulaires et les alertes éventuelles. Si un site a déjà été piraté, il faut aussi vérifier les traces résiduelles.

À quelle fréquence utiliser une checklist WordPress ?

Pour un site professionnel, une vérification régulière est recommandée, notamment après une mise à jour importante, un changement de prestataire, l’ajout d’une extension, une alerte hébergeur ou une baisse de trafic inhabituelle.

Que faire si je trouve un compte administrateur inconnu ?

Il faut le prendre au sérieux. Notez son identifiant, son email et son rôle, puis vérifiez les autres accès. Un compte inconnu peut être un oubli, mais aussi un signal de compromission. En cas de doute, demandez un audit.

Que faire si la checklist révèle plusieurs problèmes ?

Il faut prioriser. Les signes d’infection, les accès inconnus, les sauvegardes absentes et les composants critiques obsolètes doivent passer en premier. Un audit peut aider à hiérarchiser les corrections.

Quand faut-il demander un audit sécurité WordPress ?

Il est préférable de demander un audit si vous ne savez pas interpréter les résultats, si le site est stratégique, si plusieurs points sont incertains, si vous avez déjà subi une infection ou si votre site génère des ventes, réservations ou leads.