Pourquoi utiliser un plugin de sécurité sur WordPress ?
Les conséquences d’un piratage peuvent être lourdes : pages modifiées, redirections vers des sites frauduleux, envoi de spam depuis votre serveur, vol de données, voire mise sur liste noire par Google. Les plugins de sécurité ajoute une couche de protection pour bloquer ces attaques avant qu’elles n’aboutissent, et vous alerte si quelque chose d’anormal se produit.
WordPress équipe une très grande partie des sites web dans le monde, et cette popularité en fait une cible privilégiée. La plupart des attaques ne visent pas un site en particulier : des robots parcourent le web en permanence, testent des mots de passe, cherchent des extensions non mises à jour ou des failles connues. Un petit blog est donc exposé autant qu’un grand site.
Il existe plusieurs familles de plugins de sécurité, qui ne protègent pas contre les mêmes risques. Cette page vous aide à comprendre ce que fait chacune, puis présente notre sélection.
La sécurité complète : pare-feu et scan des logiciels malveillants
Les plugins de cette catégorie regroupent plusieurs protections en un seul outil. Le cœur en est le pare-feu : il analyse les requêtes adressées à votre site et bloque celles qui ressemblent à une attaque, comme une tentative d’exploiter une faille ou un robot malveillant connu. Certains pare-feu fonctionnent directement dans WordPress, d’autres en amont, sur les serveurs d’un prestataire, ce qui arrête les attaques avant même qu’elles n’atteignent votre hébergement.
Le second pilier est le scanner. Il compare les fichiers de votre site aux versions officielles de WordPress, de votre thème et de vos extensions, et signale tout fichier modifié ou code suspect. C’est souvent lui qui révèle un piratage passé inaperçu.
La plupart de ces plugins ajoutent aussi une protection de la page de connexion, des alertes par e-mail et un journal d’activité. Leurs versions gratuites couvrent l’essentiel ; les versions payantes ajoutent généralement des règles de pare-feu mises à jour plus rapidement, le nettoyage d’un site infecté ou une assistance.
La protection de la connexion : verrouiller la porte d’entrée
La page de connexion de WordPress est la cible d’attaques dites par force brute : des robots essaient des milliers de combinaisons d’identifiants et de mots de passe jusqu’à trouver la bonne. Les plugins de cette catégorie s’attaquent spécifiquement à ce problème.
Ils limitent le nombre de tentatives de connexion et bloquent temporairement les adresses qui échouent trop souvent. Ils peuvent aussi ajouter la double authentification : en plus du mot de passe, il faut saisir un code temporaire reçu sur son téléphone, ce qui rend un mot de passe volé inutile à lui seul. D’autres permettent de changer l’adresse de la page de connexion, ce qui réduit fortement les tentatives des robots. Cette dernière mesure est utile, mais elle ne remplace pas un vrai mot de passe solide : elle cache la porte sans la verrouiller.
Ces plugins sont légers et peuvent compléter un plugin de sécurité complet, à condition de ne pas activer deux fois la même fonction.
L’anti-spam : protéger commentaires et formulaires
Le spam est souvent la première nuisance que rencontre un site WordPress : commentaires publicitaires, liens douteux, faux messages envoyés par les formulaires de contact. Au-delà de l’agacement, il peut nuire à votre image et à votre référencement si des liens indésirables apparaissent sur vos pages.
Les plugins anti-spam filtrent automatiquement ces envois. Certains comparent chaque message à une base de données mondiale de spams connus, d’autres repèrent les robots à leur comportement, sans demander au visiteur de résoudre un captcha. Si votre site reçoit des commentaires ou dispose d’un formulaire de contact, c’est l’une des premières extensions à installer.
Ce qu’un plugin de sécurité ne fait pas
Aucun plugin ne rend un site invulnérable. La sécurité repose d’abord sur quelques réflexes simples : mettre à jour régulièrement WordPress, votre thème et vos extensions, utiliser des mots de passe solides et uniques, supprimer les extensions inutilisées et choisir un hébergeur sérieux, qui protège déjà son serveur.
Surtout, gardez toujours des sauvegardes récentes, stockées en dehors de votre hébergement. Si le pire arrive, c’est elle qui vous permettra de remettre votre site en ligne rapidement. Vous trouverez notre sélection dans la page consacrée aux plugins de sauvegarde.
Avant de vous lancer
N’installez qu’un seul plugin de sécurité complet : deux pare-feu actifs en même temps se gênent, ralentissent le site et peuvent bloquer vos propres accès. Vérifiez aussi ce que fait déjà votre hébergeur ou votre plugin de cache, certains incluant une partie de ces protections.
Enfin, après l’installation, testez la connexion à votre administration et notez la procédure de déblocage : un réglage trop strict peut vous bloquer vous-même. Gardez un accès à votre hébergement (FTP ou gestionnaire de fichiers) pour pouvoir désactiver le plugin si nécessaire.
-
Wordfence
Mark Maunder
Avec plus de 5 millions d’installations, Wordfence est le plugin de sécurité le plus répandu de WordPress. Sa version gratuite réunit un pare-feu, un scanner de logiciels malveillants, la limitation des tentatives de connexion et la double authentification. La version payante reçoit notamment les nouvelles règles du pare-feu plus rapidement. Très complet, il demande un peu d’attention à la configuration et peut peser sur les petits hébergements.
- Modèle
- Freemium
- Prix
- GRATUIT / Licence Pro à partir de 149€
- Installations actives
- 5 000 000+
- Niveau
- Débutant
-
All-In-One Security
David Anderson / Team Updraft
Repris par l’équipe d’UpdraftPlus, AIOS équipe plus d’un million de sites. Sa version gratuite est particulièrement généreuse : pare-feu, limitation des connexions, double authentification, détection des modifications de fichiers, anti-spam des commentaires et journal d’activité. Ses réglages sont classés par niveau (basique, intermédiaire, avancé), ce qui facilite la prise en main. Le scan des logiciels malveillants et le blocage par pays sont réservés à la version Premium, à partir d’environ 70 $ par an.
- Modèle
- Freemium
- Installations actives
- 1 000 000+
- Niveau
- Débutant
-
Sucuri Security
Sucuri
Proposé par Sucuri, spécialiste du nettoyage de sites piratés, ce plugin gratuit se concentre sur la surveillance : contrôle de l’intégrité des fichiers, analyse à distance des logiciels malveillants, vérification des listes noires (Google, Norton…), journal d’activité et outils à utiliser après un piratage. Utilisé par plus de 600 000 sites, il ne comprend pas de pare-feu : le vrai pare-feu de Sucuri, qui filtre le trafic en amont sur ses serveurs, est un service payant.
- Modèle
- Freemium
- Installations actives
- 600 000+
- Niveau
- Débutant
-
·MalCare
malcare
L’analyse de MalCare se fait sur ses propres serveurs, ce qui ne ralentit pas votre site. La version gratuite comprend un scanner, un pare-feu et une protection de la connexion par captcha, mais nécessite la création d’un compte. Sa limite : en version gratuite, il signale une infection sans montrer précisément les fichiers touchés ; leur affichage et le nettoyage en un clic sont payants. Plus de 100 000 sites l’utilisent.
- Modèle
- Freemium
- Installations actives
- 100 000+
- Niveau
- Débutant
-
Patchstack
Patchstack
Patchstack ne cherche pas les infections : il compare vos extensions, votre thème et la version de WordPress à sa base de failles connues, et vous alerte par e-mail dès qu’une vulnérabilité vous concerne, parfois avant sa publication. La version gratuite (jusqu’à 3 sites) ne comprend pas de pare-feu ; la protection automatique des failles, appelée « patch virtuel », est payante (5 $ par site et par mois). Il complète bien un plugin de sécurité complet, sur plus de 60 000 sites.
- Modèle
- Freemium
- Installations actives
- 60 000+
- Niveau
- Débutant
-
Kadence Security
Nexcess
Longtemps connu sous le nom d’iThemes Security, ce plugin propose une configuration guidée par type de site (blog, boutique, vitrine…), la double authentification, la protection contre la force brute et un scanner de failles. Il compte plus de 700 000 installations. Après plusieurs changements de nom et de propriétaire, de nombreux avis récents signalent des problèmes d’installation et d’enregistrement des réglages chez certains hébergeurs : à surveiller avant de l’adopter.
- Modèle
- Freemium
- Installations actives
- 700 000+
- Niveau
- Débutant
-
Limit Login Attempts Security
WPChef
La référence pour bloquer les attaques par force brute, sur plus d’un million de sites. Il limite les tentatives de connexion par adresse IP et par identifiant, bloque les adresses suspectes et protège aussi XML-RPC et la connexion WooCommerce. Sa version gratuite inclut désormais la double authentification. La version payante, avec un essai de 14 jours, déporte la protection dans le cloud pour soulager votre serveur pendant les attaques.
- Modèle
- Freemium
- Prix
- GRATUIT / Licence Pro à partir de 1,25€ le mois
- Installations actives
- 1 000 000+
- Niveau
- Débutant
-
Loginizer
Softaculous
Édité par Softaculous et installé sur plus d’un million de sites, Loginizer bloque les adresses IP après plusieurs tentatives échouées, avec un journal des tentatives et des listes d’adresses autorisées ou interdites. Il est léger et efficace pour cette tâche. En revanche, la plupart des options avancées (double authentification, captcha, changement de l’adresse de connexion) sont réservées à la version Pro.
- Modèle
- Freemium
- Prix
- GRATUIT / Licence Pro à partir de 24€/ans
- Installations actives
- 1 000 000+
- Niveau
- Débutant
-
WPS Hide Login
Remy Perona
Proposé par l’hébergeur français WPServeur, WPS Hide Login fait une seule chose : remplacer l’adresse de connexion /wp-login.php par celle de votre choix. Ultra-léger, il est installé sur plus de 2 millions de sites et réduit nettement les tentatives des robots. Mais il cache la porte sans la verrouiller : il ne remplace ni un mot de passe solide ni une limitation des connexions. Il est aujourd’hui maintenu sans support garanti.
- Modèle
- Gratuit
- Installations actives
- 2 000 000+
- Niveau
- Débutant
-
Two Factor
WordPress
Développé par des contributeurs de WordPress, Two Factor ajoute la double authentification par application (Google Authenticator, Authy…), par code envoyé par e-mail, avec des codes de secours. Simple, fiable et sans publicité, il est utilisé par plus de 100 000 sites. Chaque utilisateur l’active lui-même dans son profil : il ne permet pas d’imposer la double authentification à tous ou à un rôle précis. Il demande WordPress 7.0 minimum.
- Modèle
- Gratuit
- Installations actives
- 1 000 000+
- Niveau
- Débutant
-
WP 2FA
Melapress
Édité par Melapress, WP 2FA se distingue par ses assistants de configuration et surtout par la possibilité d’imposer la double authentification à tous les utilisateurs ou à certains rôles, avec un délai de grâce. La version gratuite gère l’application d’authentification, le code par e-mail, les codes de secours et même les clés d’accès (passkeys). Idéal pour un site avec plusieurs auteurs, sur plus de 100 000 sites.
- Modèle
- Freemium
- Prix
- GRATUIT / Licence Pro à partir de 79€/ans
- Installations actives
- 100 000+
-
Akismet
Automattic
Développé par Automattic, Akismet est installé sur plus de 5 millions de sites. Il compare chaque commentaire et chaque message de formulaire à une base mondiale de spams et écarte automatiquement les indésirables. La clé d’activation est gratuite pour les blogs personnels, mais un abonnement est demandé pour les sites professionnels et commerciaux. Les données des commentaires sont analysées sur ses serveurs, un point à mentionner dans votre politique de confidentialité.
- Modèle
- Gratuit
- Installations actives
- 5 000 000+
- Niveau
- Débutant
-
Antispam Bee
pluginkollektiv
Conçu en Allemagne avec le RGPD en tête, Antispam Bee bloque les commentaires indésirables sans captcha et sans envoyer de données à un service extérieur. Il est gratuit, y compris pour les sites commerciaux, et utilisé par plus de 700 000 sites. Sa limite : il protège uniquement les commentaires WordPress, pas les formulaires de contact ni les inscriptions.
- Modèle
- Gratuit
- Installations actives
- 700 000+
- Niveau
- Débutant
-
Spam Protection for Forms & Comments. Anti-Spam by CleanTalk
CleanTalk Inc
CleanTalk protège tout le site : commentaires, formulaires de contact (Contact Form 7, WPForms, Elementor, Gravity Forms…), inscriptions et fausses commandes WooCommerce, sans captcha. Il s’appuie sur un service en ligne et fonctionne par abonnement, environ 12 $ par an après un essai gratuit. Utilisé par plus de 200 000 sites, il est reconnu pour son support réactif.
- Modèle
- Payant
- Prix
- Essaie Gratuit puis 12€ par ans
- Installations actives
- 200 000+
- Niveau
- Débutant
Aucun résultat ne correspond à ces critères.