Vous avez un site WordPress pour votre entreprise, il a coûté du temps et de l’argent… et vous n’y touchez plus depuis des mois ? Vous n’êtes pas seul. Chez beaucoup d’artisans et de petites entreprises du Tarn (et autres départements), le site tourne « tout seul », jusqu’au jour où il affiche une page de publicité douteuse, redirige vers un faux site ou disparaît purement et simplement.

Bonne nouvelle : la plupart des piratages visent des sites laissés sans surveillance, et on peut s’en protéger avec des outils entièrement gratuits. Voici 7 gestes concrets, dans l’ordre, que vous pouvez faire vous-même en une petite heure.

Pourquoi un petit site d’artisan intéresse les pirates

On pense souvent : « Mon site de plombier à Castres, qui voudrait le pirater ? » En réalité, personne ne vous vise personnellement. Des robots parcourent Internet jour et nuit à la recherche de sites WordPress mal protégés : une extension pas mise à jour, un mot de passe trop simple, un compte « admin » oublié. Dès qu’ils trouvent une faille, ils s’en servent pour envoyer des spams, afficher de la publicité ou héberger de fausses pages.

Les conséquences pour vous sont bien réelles : Google peut afficher un avertissement « Ce site peut être dangereux », vos clients n’osent plus cliquer, et votre site peut perdre sa place dans les résultats de recherche. Autrement dit, tout le travail fait pour être visible s’envole.

Les 7 gestes gratuits pour protéger votre site

1. Mettre en place une sauvegarde automatique (UpdraftPlus)

C’est le geste le plus important, car c’est votre assurance : si quelque chose tourne mal, vous remettez le site en état en quelques clics. Installez l’extension gratuite UpdraftPlus (menu Extensions > Ajouter, puis recherchez son nom).

  1. Dans ses réglages, programmez une sauvegarde des fichiers chaque semaine et de la base de données (le contenu de vos pages) chaque semaine aussi, ou chaque jour si vous publiez souvent.
  2. Choisissez un stockage extérieur : Google Drive ou Dropbox. Une sauvegarde gardée uniquement sur le site disparaît avec lui en cas de problème.
  3. Lancez une première sauvegarde et vérifiez qu’elle apparaît bien dans votre Drive.

2. Faire les mises à jour… après la sauvegarde

Une mise à jour, c’est souvent une porte qu’on referme : les créateurs d’extensions corrigent régulièrement des failles. Dans votre tableau de bord, le menu Tableau de bord > Mises à jour liste tout ce qui attend. Mettez à jour WordPress, votre thème et vos extensions, une chose à la fois, et regardez votre site entre chaque étape. Si quelque chose casse, votre sauvegarde de l’étape 1 est là.

3. Supprimer ce qui ne sert plus

Une extension désactivée reste présente sur le serveur, et donc attaquable. Faites le tri : supprimez les extensions et les thèmes que vous n’utilisez pas (gardez seulement un thème par défaut de secours, comme « Twenty Twenty-Five »). Vérifiez aussi le menu Comptes : un ancien stagiaire ou le compte de la personne qui a créé le site n’a peut-être plus rien à y faire.

4. Un vrai mot de passe, et plus de compte « admin »

Les robots essaient en boucle l’identifiant « admin » avec des mots de passe courants. Si votre identifiant est « admin », créez un nouveau compte administrateur avec un autre nom, connectez-vous avec, puis supprimez l’ancien en attribuant ses contenus au nouveau compte.

Pour le mot de passe, une phrase de quatre ou cinq mots sans rapport entre eux est à la fois solide et facile à retenir. Encore mieux : un gestionnaire de mots de passe gratuit comme Bitwarden les crée et les retient pour vous.

5. Activer la double vérification

La double vérification (on parle aussi de « double authentification ») ajoute une deuxième serrure : en plus du mot de passe, WordPress vous demande un code à six chiffres généré par une application sur votre téléphone, comme Google Authenticator. Même si quelqu’un devine votre mot de passe, il reste bloqué. L’extension Wordfence, présentée juste après, propose cette option gratuitement dans son menu « Login Security ».

6. Installer un pare-feu gratuit (Wordfence)

Un pare-feu, c’est un vigile à l’entrée de votre site : il repère et bloque les visiteurs suspects avant qu’ils n’atteignent vos pages. La version gratuite de Wordfence inclut ce pare-feu, un scan qui recherche les fichiers infectés, et une protection qui bloque les robots après plusieurs mauvais mots de passe. Après l’installation, laissez-vous guider par l’assistant, puis lancez un premier scan.

7. Être prévenu en cas de problème

Dernier réflexe : faire en sorte d’être alerté plutôt que de découvrir le problème par un client. Wordfence peut vous envoyer un e-mail en cas d’alerte importante. Et si ce n’est pas déjà fait, inscrivez votre site dans Google Search Console (gratuit) : Google vous écrit s’il détecte un problème de sécurité, et vous en profitez pour suivre comment les gens vous trouvent.

Combien de temps ça prend, vraiment ?

Soyons honnêtes : la première mise en place demande environ une heure, un peu plus si vous découvrez ces menus. Ensuite, la sécurité, c’est surtout de la régularité : un quart d’heure par mois pour faire les mises à jour, jeter un œil au scan Wordfence et vérifier qu’une sauvegarde récente existe bien dans votre Drive. Notez-le dans votre agenda, par exemple le premier lundi du mois, comme vous le feriez pour l’entretien d’un véhicule.

Ce qui fragilise un site, ce n’est presque jamais un manque de compétences : c’est l’oubli pendant six mois, quand la saison est chargée et que le site passe logiquement après les chantiers.

Et si votre site est déjà piraté ?

Pas de panique, et pas de précipitation. Commencez par prévenir votre hébergeur (OVH, o2switch, Hostinger…) : il peut souvent vous aider ou restaurer une version saine. Si vous avez une sauvegarde d’avant le problème, restaurez-la, puis changez tous les mots de passe (WordPress, hébergeur, e-mail). Enfin, lancez un scan Wordfence et, si Google affichait un avertissement, demandez un nouvel examen dans Search Console.

Si le site est très ancien ou trop abîmé, repartir sur un site WordPress sur mesure, propre et à jour, est parfois plus simple et moins coûteux que de réparer.

En résumé

  • Sauvegarde automatique hors du site avec UpdraftPlus.
  • Mises à jour régulières, toujours après une sauvegarde.
  • Tri des extensions, thèmes et comptes inutiles.
  • Mot de passe solide, fin du compte « admin », double vérification.
  • Pare-feu et scan avec Wordfence, alertes avec Google Search Console.

Vous pouvez tout à fait gérer cela vous-même : ce guide est fait pour ça. Et si vous préférez garder vos soirées pour autre chose, c’est précisément ce que je fais chaque mois pour mes clients avec la maintenance WordPress, à partir de 59 € par mois : mises à jour, sauvegardes et surveillance de la sécurité, sans que vous ayez à y penser.

Une question sur votre site, ou un doute sur l’une de ces étapes ? Vous pouvez me contacter, je vous réponds avec plaisir, sans engagement.