Brute force WordPress : comment proteger votre site des attaques

Chaque jour, des millions de tentatives de connexion frauduleuses ciblent des sites WordPress a travers le monde. Un simple coup d'oeil aux logs de votre serveur suffit pour s'en convaincre : des dizaines, parfois des centaines de lignes affichent des tentatives de connexion echouees sur wp-login.php, provenant d'adresses IP reparties aux quatre coins du globe.

Ces tentatives portent un nom precis : attaque brute force. Le principe est aussi ancien que la cryptographie elle-meme. Un attaquant essaie systematiquement des combinaisons de noms d'utilisateur et de mots de passe jusqu'a trouver la bonne. Ce qui a change, c'est l'echelle. Les outils modernes permettent de tester des milliers de combinaisons par minute, et les botnets distribuent ces attaques sur des centaines d'adresses IP simultanement.

WordPress represente plus de 43 % des sites web dans le monde. Cette popularite en fait une cible privilegiee pour les attaquants, non pas a cause de failles inherentes au CMS, mais parce que le volume de sites vulnerables est immense. Un brute force WordPress reussi peut entrainer le vol de donnees, l'injection de malwares, la defiguration du site ou son utilisation comme relais de spam. Le cout d'un piratage WordPress pour une entreprise depasse souvent les 10 000 euros quand on additionne le nettoyage technique, la perte de chiffre d'affaires et les dommages a la reputation.

Ce guide adopte une approche de defense en profondeur. Nous allons couvrir chaque couche de protection, de l'hygiene des mots de passe jusqu'aux pare-feu applicatifs en peripherie, pour transformer votre WordPress en forteresse. Les memes principes s'appliquent d'ailleurs a d'autres types de menaces, comme les injections SQL ou les attaques XSS.

Qu'est-ce qu'une Attaque Brute Force et Comment Fonctionne-t-elle

Avant de deployer des contre-mesures, il est essentiel de comprendre le mecanisme exact d'une attaque brute force et les differentes formes qu'elle peut prendre. Cette comprehension permet de choisir les protections les plus adaptees a votre contexte.

Le principe : un assaut systematique et automatise

Une attaque par brute force repose sur un principe mathematique simple : si vous essayez toutes les combinaisons possibles, vous finirez par trouver la bonne. En pratique, les attaquants utilisent des scripts automatises qui soumettent des requetes POST a la page de connexion WordPress, en testant a grande vitesse des couples identifiant/mot de passe.

Les outils les plus courants dans l'arsenal des attaquants incluent Hydra, WPScan et des scripts Python personnalises. Ces outils peuvent tester entre 500 et 5 000 combinaisons par minute depuis une seule machine. Multipliez cela par un botnet de plusieurs milliers de machines compromises, et vous comprenez l'ampleur de la menace.

Un mot de passe de 6 caracteres minuscules peut etre craque en quelques minutes. Un mot de passe de 12 caracteres melangeant majuscules, minuscules, chiffres et caracteres speciaux necessite theoriquement des milliards d'annees de calcul. La longueur et la complexite du mot de passe sont donc la premiere ligne de defense.

Les differentes variantes de la brute force

Les attaquants ne se limitent pas a tester des combinaisons aleatoires. Plusieurs strategies optimisent considerablement leurs chances de succes.

L'attaque par dictionnaire utilise des listes de mots de passe courants. Ces listes, regulierement mises a jour, contiennent des millions d'entrees tirees de fuites de donnees precedentes. Les mots de passe comme "123456", "password", "admin2024" ou "qwerty" figurent en tete de ces dictionnaires. L'attaque par dictionnaire est bien plus rapide qu'une brute force pure car elle cible les mots de passe les plus probables en premier.

Le credential stuffing (bourrage d'identifiants) exploite le fait que de nombreux utilisateurs reutilisent le meme mot de passe sur plusieurs services. Lorsqu'une fuite de donnees expose des millions de couples email/mot de passe (LinkedIn, Dropbox, Adobe), les attaquants testent systematiquement ces identifiants sur d'autres sites, dont WordPress. Si votre mot de passe WordPress est le meme que celui de votre compte LinkedIn compromis en 2012, votre site est en danger.

La brute force inversee fixe un mot de passe courant (par exemple "password123") et teste ce meme mot de passe sur un grand nombre de noms d'utilisateur. Cette technique est particulierement efficace sur les sites WordPress car l'identifiant "admin" est encore utilise sur un nombre surprenant d'installations.

Les portes d'entree visees sur WordPress

Les attaquants ne se contentent pas de cibler la page de connexion classique. WordPress expose plusieurs points d'entree qui peuvent etre exploites pour une attaque brute force.

wp-login.php est la porte principale. C'est le formulaire de connexion standard de WordPress, accessible par defaut a l'adresse votresite.com/wp-login.php. La grande majorite des attaques brute force ciblent cette URL.

xmlrpc.php represente une menace encore plus serieuse. Ce fichier, herite de l'ere pre-API REST, permet d'interagir avec WordPress a distance. La methode system.multicall est particulierement dangereuse : elle autorise l'envoi de centaines, voire de milliers de tentatives de connexion en une seule requete HTTP. Un attaquant peut ainsi tester 500 mots de passe en une seule requete, contournant potentiellement les systemes de limitation par nombre de requetes.

L'API REST de WordPress peut aussi etre exploitee pour enumerer les noms d'utilisateur. Par defaut, une simple requete a /wp-json/wp/v2/users revele la liste des auteurs du site, fournissant aux attaquants la moitie de l'equation identifiant/mot de passe.

Selon les donnees agregees par Wordfence sur l'annee 2025, environ 78 % des attaques brute force WordPress ciblent wp-login.php, 18 % passent par xmlrpc.php et 4 % exploitent d'autres vecteurs comme l'API REST ou des formulaires de plugins tiers.

La Defense en 4 Couches : Votre Strategie de Protection Brute Force WordPress

La meilleure protection brute force WordPress n'est pas une action unique mais une superposition de barrieres. Cette approche, appelee "defense en profondeur", garantit que si une couche est compromise, les suivantes prennent le relais. Nous allons detailler chaque niveau, du plus simple au plus robuste.

Niveau 1 : L'hygiene des utilisateurs, la premiere ligne de defense

La premiere couche de defense ne necessite aucun outil technique. Elle repose entierement sur les bonnes pratiques des utilisateurs qui ont acces a l'administration du site.

Des mots de passe forts et uniques sont non negociables. Un mot de passe robuste comporte au minimum 16 caracteres et melange majuscules, minuscules, chiffres et caracteres speciaux. Mieux encore, utilisez des phrases de passe (passphrases) comme "MonChienAdore3PromenadesSousLaPluie!" qui sont a la fois longues et memorisables.

L'utilisation d'un gestionnaire de mots de passe comme Bitwarden, 1Password ou KeePass est indispensable. Ces outils generent des mots de passe complexes et uniques pour chaque service, eliminant le risque de credential stuffing. WordPress affiche un indicateur de force lors de la creation d'un mot de passe. Ne vous contentez jamais d'un mot de passe juge "Moyen" par cet indicateur.

L'authentification a deux facteurs (2FA) est le standard de reference en matiere de securite des comptes. Meme si un attaquant devine votre mot de passe, il ne pourra pas se connecter sans le second facteur. Les applications TOTP (Time-based One-Time Password) comme Google Authenticator, Authy ou Microsoft Authenticator generent un code a 6 chiffres qui change toutes les 30 secondes.

Plusieurs plugins WordPress implementent le 2FA de maniere fiable :

• Wordfence Login Security (gratuit) : 2FA via application TOTP
• Two Factor (plugin officiel WordPress) : supporte TOTP, email et cles de securite
• WP 2FA : interface utilisateur soignee, compatible avec les plugins de commerce en ligne

Les Passkeys (WebAuthn) representent l'avenir de l'authentification. Elles remplacent completement le mot de passe par une authentification biometrique (Face ID, Touch ID, Windows Hello) ou par une cle de securite physique. Plusieurs plugins WordPress supportent desormais les passkeys, offrant une protection contre le phishing en plus de la brute force.

Niveau 2 : Verrouiller WordPress au niveau applicatif

La deuxieme couche agit directement dans WordPress pour limiter et bloquer les tentatives de connexion suspectes.

Limiter les tentatives de connexion est la mesure la plus directe contre les attaques brute force WordPress. Le principe est simple : apres un certain nombre d'echecs (generalement 3 a 5 tentatives), l'adresse IP est temporairement bloquee. La duree du blocage augmente progressivement a chaque serie d'echecs.

Les plugins les plus efficaces pour cette tache :

• Limit Login Attempts Reloaded : leger, simple a configurer, compatible avec la plupart des configurations
• Wordfence : solution complete incluant la limitation des tentatives, le 2FA, le pare-feu applicatif et le scan de malwares
• SecuPress : plugin francais offrant une interface intuitive et des fonctionnalites de blocage avancees
• Solid Security (ex-iThemes Security) : propose egalement le masquage de l'URL de connexion

L'ajout d'un CAPTCHA sur le formulaire de connexion ajoute une barriere supplementaire contre les bots. Cloudflare Turnstile est une alternative moderne et respectueuse de la vie privee a Google reCAPTCHA. Ces systemes verifient que la tentative de connexion provient d'un humain et non d'un script automatise.

Modifier l'URL de connexion remplace /wp-login.php par une URL personnalisee (par exemple /mon-acces-secret). Cette technique releve de la securite par obscurite : elle ne protege pas contre un attaquant determine mais reduit considerablement le bruit des attaques automatisees. Le plugin WPS Hide Login est le plus populaire pour cette fonctionnalite. Gardez a l'esprit que cette mesure seule est insuffisante et doit toujours etre combinee avec d'autres protections.

Pour une vue plus complete des protections applicatives, consultez notre guide de securite WordPress qui couvre l'ensemble des aspects de la securisation d'un site.

Niveau 3 : Le blindage au niveau du serveur

Les protections au niveau du serveur sont plus efficaces que les plugins car elles interviennent avant meme que PHP et WordPress ne soient charges. Elles consomment donc moins de ressources et resistent mieux aux attaques volumetriques.

Fail2Ban est un outil de prevention d'intrusion qui fonctionne au niveau du systeme d'exploitation. Il surveille les fichiers de logs (Apache, Nginx, auth.log) et bannit automatiquement les adresses IP qui generent trop d'echecs de connexion. Contrairement a un plugin WordPress qui doit charger PHP a chaque requete, Fail2Ban agit au niveau du pare-feu systeme (iptables/nftables), bloquant les paquets avant qu'ils n'atteignent le serveur web.

La configuration typique de Fail2Ban pour WordPress surveille le log d'acces du serveur web et detecte les requetes POST repetees vers wp-login.php qui retournent un code HTTP 200 (echec de connexion, car WordPress retourne 200 meme en cas d'erreur d'authentification, contrairement aux bonnes pratiques).

Protection via Apache (.htaccess) : si votre site tourne sur Apache, vous pouvez ajouter une couche de protection directement dans le fichier .htaccess. Voici deux approches complementaires.

Restriction d'acces par IP (si vous avez une IP fixe) :

<Files "wp-login.php">
    Require ip 203.0.113.15
    Require ip 203.0.113.16
</Files>

Ajout d'une authentification HTTP supplementaire :

<Files "wp-login.php">
    AuthType Basic
    AuthName "Zone Restreinte"
    AuthUserFile /chemin/vers/.htpasswd
    Require valid-user
</Files>

Cette double authentification signifie qu'un attaquant doit d'abord forcer le mot de passe HTTP basique avant meme d'atteindre le formulaire WordPress.

Protection via Nginx : Nginx offre un mecanisme de rate-limiting natif extremement performant. La configuration suivante limite les requetes vers wp-login.php a 10 par minute par adresse IP :

# Zone partagee pour le rate limiting
limit_req_zone $binary_remote_addr zone=logins:10m rate=10r/m;
 
server {
    location = /wp-login.php {
        limit_req zone=logins burst=3 nodelay;
        include fastcgi_params;
        fastcgi_pass unix:/run/php/php-fpm.sock;
    }
 
    location = /xmlrpc.php {
        limit_req zone=logins burst=3 nodelay;
        include fastcgi_params;
        fastcgi_pass unix:/run/php/php-fpm.sock;
    }
}

Le parametre burst=3 autorise un court depassement de 3 requetes, tandis que nodelay renvoie immediatement une erreur 503 au lieu de mettre les requetes en file d'attente.

Le choix d'un hebergeur WordPress de qualite joue un role crucial dans la securite de votre site. Les hebergeurs specialises WordPress comme Kinsta, WP Engine ou Cloudways integrent nativement des protections contre la brute force au niveau du serveur. Pour comparer les options, consultez notre comparatif des hebergements WordPress.

Niveau 4 : Le WAF, votre bouclier en peripherie

Le Web Application Firewall (WAF) represente la couche de protection la plus efficace contre les attaques brute force WordPress. Son avantage decisif : il bloque le trafic malveillant avant meme qu'il n'atteigne votre serveur.

Un WAF fonctionne comme un intermediaire entre les visiteurs et votre serveur. Chaque requete passe d'abord par le WAF, qui l'analyse en temps reel selon un ensemble de regles. Les requetes identifiees comme malveillantes sont bloquees immediatement, sans consommer la moindre ressource sur votre serveur.

Les principaux avantages d'un WAF pour la protection brute force WordPress :

• Zero charge sur le serveur : les attaques sont bloquees en peripherie, votre serveur ne voit meme pas les requetes malveillantes
• Protection contre les attaques distribuees : meme si l'attaque provient de milliers d'adresses IP differentes, le WAF peut correler les comportements et bloquer la campagne dans son ensemble
• Regles mises a jour en continu : les equipes de securite du fournisseur de WAF analysent les nouvelles menaces et deploient des regles de protection en temps reel
• Fonctionnalites supplementaires : CDN, cache, optimisation des performances, protection DDoS

Les solutions de WAF les plus utilisees avec WordPress :

• Cloudflare : offre un plan gratuit incluant la protection de base contre la brute force, avec des plans payants pour des regles avancees. Cloudflare Turnstile peut etre ajoute comme challenge sur la page de connexion
• Sucuri WAF : specialise dans la securite WordPress, propose un nettoyage en cas de compromission et une protection proactive
• Akamai / AWS WAF : solutions enterprise pour les sites a fort trafic

Pour approfondir le sujet des pare-feu applicatifs, notre guide complet sur les WAF detaille les criteres de choix et les configurations recommandees.

La difference fondamentale entre un plugin de securite et un WAF est comparable a la difference entre une alarme dans une maison et un garde a la grille d'entree. Le plugin reagit apres que WordPress a deja traite la requete (chargement de PHP, connexion a la base de donnees, execution du code). Le WAF intercepte la requete avant qu'elle n'atteigne le serveur. Lors d'une attaque volumetrique avec des milliers de requetes par seconde, un plugin peut faire tomber votre serveur sous la charge, tandis que le WAF absorbe l'attaque sans broncher.

Prevenir Plutot que Guerir : Le Hardening de Votre WordPress

Au-dela des mesures de protection directe contre la brute force, le durcissement (hardening) de votre installation WordPress reduit la surface d'attaque globale. Ces mesures preventives sont simples a mettre en place et eliminant des vecteurs d'attaque entiers.

N'utilisez jamais le pseudo "admin"

Le nom d'utilisateur "admin" est la premiere valeur testee par chaque bot de brute force. Si votre compte administrateur utilise encore cet identifiant, vous offrez la moitie de l'equation aux attaquants. Ils n'ont plus qu'a deviner le mot de passe.

Pour changer le nom d'utilisateur administrateur :

1. Connectez-vous a l'administration WordPress
2. Creez un nouveau compte avec le role Administrateur et un nom d'utilisateur unique (evitez aussi "administrator", "webmaster" ou le nom de domaine du site)
3. Deconnectez-vous et reconnectez-vous avec le nouveau compte
4. Supprimez l'ancien compte "admin" en attribuant son contenu au nouveau compte

Si vous preferez modifier directement la base de donnees :

UPDATE wp_users SET user_login = 'nouveau_identifiant' WHERE user_login = 'admin';

Pensez egalement a desactiver l'enumeration des utilisateurs via l'API REST. Ajoutez ce code dans le fichier functions.php de votre theme enfant :

add_filter('rest_endpoints', function($endpoints) {
    if (isset($endpoints['/wp/v2/users'])) {
        unset($endpoints['/wp/v2/users']);
    }
    if (isset($endpoints['/wp/v2/users/(?P<id>[\d]+)'])) {
        unset($endpoints['/wp/v2/users/(?P<id>[\d]+)']);
    }
    return $endpoints;
});

Auditez les comptes utilisateurs et appliquez le principe du moindre privilege

Chaque compte utilisateur WordPress represente un point d'entree potentiel pour une attaque brute force. Reduire le nombre de comptes et limiter leurs privileges minimise les risques.

Les bonnes pratiques a suivre :

• Limitez le nombre d'administrateurs a un ou deux comptes maximum. Les redacteurs, editeurs et contributeurs n'ont pas besoin du role Administrateur
• Supprimez les comptes inutilises : anciens employes, freelances dont la mission est terminee, comptes de test
• Auditez regulierement la liste des utilisateurs dans Utilisateurs > Tous les utilisateurs. Verifiez aussi directement dans la base de donnees (table wp_users) car des comptes malveillants peuvent etre masques de l'interface
• Utilisez des roles personnalises si les roles natifs de WordPress ne correspondent pas a vos besoins. Le plugin Members permet de creer des roles sur mesure

Desactivez XML-RPC si vous ne l'utilisez pas

Le protocole XML-RPC est l'un des vecteurs les plus exploites pour les attaques brute force WordPress. Si vous n'utilisez pas Jetpack, l'application mobile WordPress ou un outil qui necessite XML-RPC, desactivez-le.

La methode la plus simple consiste a ajouter cette ligne dans le fichier functions.php de votre theme enfant :

add_filter('xmlrpc_enabled', '__return_false');

Pour une protection plus radicale au niveau du serveur, bloquez completement l'acces au fichier. Dans .htaccess (Apache) :

<Files "xmlrpc.php">
    Require all denied
</Files>

Dans la configuration Nginx :

location = /xmlrpc.php {
    deny all;
    return 403;
}

Si vous utilisez Jetpack ou l'application mobile WordPress, ne desactivez pas XML-RPC completement. Configurez plutot votre WAF pour limiter le rate des requetes vers ce fichier et bloquer les appels system.multicall.

L'importance cruciale des mises a jour

Un WordPress, un theme ou un plugin non a jour peut contenir des vulnerabilites connues qui facilitent non seulement les attaques brute force, mais aussi les injections de code, les escalades de privileges et les installations de malwares.

Les mises a jour de securite corrigent des failles activement exploitees. Reporter une mise a jour, meme de quelques jours, expose votre site a des attaques automatisees qui ciblent specifiquement les versions vulnerables.

Adoptez une routine de mise a jour stricte :

• WordPress Core : activez les mises a jour automatiques mineures (activees par defaut depuis WordPress 3.7)
• Plugins et themes : verifiez les mises a jour au minimum une fois par semaine
• PHP : assurez-vous que votre serveur utilise une version de PHP encore supportee

Pour une checklist complete de maintenance, consultez notre guide de maintenance mensuelle WordPress et notre guide detaille des mises a jour WordPress.

Comment Detecter une Attaque Brute Force en Cours

Savoir identifier une attaque brute force en cours est tout aussi important que de s'en proteger. Plus vous detectez l'attaque rapidement, plus vite vous pouvez renforcer vos defenses.

Les indicateurs dans les logs du serveur

Les logs d'acces de votre serveur web sont la source d'information la plus fiable. Recherchez les motifs suivants :

• Requetes POST repetees vers /wp-login.php ou /xmlrpc.php depuis une meme IP ou un meme bloc d'adresses
• Codes de reponse HTTP : des series de reponses 200 sur wp-login.php (WordPress retourne 200 meme en cas d'echec d'authentification) suivies d'une redirection 302 (connexion reussie)
• Volume anormal : plus de 10 requetes par minute vers la page de connexion est suspect, plus de 100 par minute indique clairement une attaque automatisee
• User-agents suspects : des requetes sans User-Agent ou avec des User-Agents generiques comme "Python-requests" ou "curl"

Les signes visibles d'une attaque

Certains symptomes sont directement observables sans analyser les logs :

• Ralentissement brutal du site : une attaque brute force volumetrique peut saturer les ressources du serveur (CPU, memoire, connexions PHP)
• Emails de notification : si vous avez configure un plugin de securite, vous recevrez des alertes pour les tentatives de connexion echouees
• Blocage de votre propre IP : si les mesures de limitation sont trop agressives, une attaque peut entrainer le blocage de plages IP entieres, vous empechant vous-meme d'acceder au site
• Consommation de bande passante anormale : visible dans le tableau de bord de votre hebergeur

Mise en place d'un systeme d'alerte

La detection proactive repose sur un systeme d'alerte configure en amont :

1. Plugin de securite avec notifications : Wordfence, Sucuri ou SecuPress envoient des emails ou des notifications Slack lorsque des tentatives de brute force sont detectees
2. Monitoring serveur : des outils comme Uptime Robot, Pingdom ou Better Uptime detectent les ralentissements et les indisponibilites
3. Fail2Ban avec notifications : configurez Fail2Ban pour envoyer un email a chaque bannissement d'IP
4. Google Search Console : configurez les alertes de securite pour etre prevenu si Google detecte un probleme sur votre site

Si vous observez des signes indiquant que votre site WordPress a ete pirate, agissez immediatement. Le temps est un facteur critique.

Que Faire Apres une Attaque Brute Force Reussie

Si malgre toutes vos precautions un attaquant a reussi a penetrer votre site, la rapidite de reaction est determinante. Chaque minute qui passe permet a l'attaquant de consolider sa position, d'installer des portes derobees dans les fichiers WordPress et de compromettre davantage votre installation.

Les premiers reflexes d'urgence

Suivez cette procedure dans l'ordre :

1. Passez le site en maintenance immediatement pour proteger vos visiteurs. Le mode maintenance WordPress peut etre active via un plugin ou en creant un fichier .maintenance a la racine du site

2. Changez tous les mots de passe sans exception :

   • Mot de passe administrateur WordPress
   • Mot de passe de la base de donnees (dans wp-config.php)
   • Mot de passe FTP/SFTP
   • Mot de passe du panneau d'hebergement (cPanel, Plesk)
   • Cles de securite WordPress (SALT keys dans wp-config.php)

3. Verifiez les comptes utilisateurs : recherchez tout compte administrateur que vous n'avez pas cree. Verifiez dans la base de donnees directement (SELECT * FROM wp_users WHERE user_login NOT IN ('vos_comptes_legitimes'))

4. Scannez les fichiers du site a la recherche de code malveillant. Comparez les fichiers du core WordPress avec les originaux en utilisant wp core verify-checksums si vous avez acces a WP-CLI

5. Analysez les logs pour determiner l'heure et la methode de compromission. Cette information est cruciale pour evaluer l'etendue des degats

Le nettoyage complet

Un nettoyage superficiel est insuffisant. Les attaquants installent systematiquement des backdoors pour maintenir leur acces meme apres un changement de mot de passe. Notre guide de nettoyage WordPress apres piratage detaille la procedure complete.

Si vous preferez une approche manuelle, consultez notre guide pour supprimer les malwares WordPress manuellement. Dans les cas graves, faire appel a un professionnel de la securisation WordPress apres piratage reste la solution la plus sure.

Verifiez egalement si votre domaine a ete ajoute a la liste noire de Google. Un site signale comme dangereux perd immediatement son trafic organique et la confiance de ses visiteurs.

Prevention post-incident

Apres le nettoyage, mettez en place toutes les couches de protection decrites dans ce guide si elles n'etaient pas deja actives. Un site qui a ete compromis une fois est particulierement susceptible d'etre attaque a nouveau, car les attaquants partagent souvent leurs listes de cibles reussies.

Les actions prioritaires apres un incident :

• Deployez un WAF si ce n'est pas deja fait
• Activez le 2FA sur tous les comptes administrateurs
• Mettez a jour l'integralite de votre stack (WordPress, plugins, themes, PHP)
• Mettez en place un systeme de backup automatise et teste
• Planifiez un audit de securite mensuel

Checklist Complete : Securiser WordPress Contre la Brute Force

Pour faciliter la mise en oeuvre de toutes les mesures decrites dans ce guide, voici une checklist recapitulative organisee par priorite. Commencez par les actions a impact immediat, puis progressez vers les mesures avancees.

Actions immediates (moins de 30 minutes)

• Changer le nom d'utilisateur "admin" pour un identifiant unique
• Activer le 2FA sur tous les comptes administrateurs
• Installer un plugin de limitation des tentatives de connexion (Limit Login Attempts Reloaded ou equivalent)
• Mettre a jour WordPress, les plugins et les themes vers les dernieres versions
• Verifier et supprimer les comptes utilisateurs inutilises

Actions intermediaires (1 a 2 heures)

• Configurer un CAPTCHA (Cloudflare Turnstile ou reCAPTCHA) sur le formulaire de connexion
• Desactiver XML-RPC ou limiter son acces via le serveur web
• Modifier l'URL de connexion avec WPS Hide Login ou equivalent
• Desactiver l'enumeration des utilisateurs via l'API REST
• Installer un plugin de securite complet (Wordfence, SecuPress ou Sucuri)
• Configurer les notifications d'alerte pour les tentatives suspectes

Actions avancees (necessite un acces serveur)

• Deployer un WAF (Cloudflare, Sucuri WAF)
• Configurer Fail2Ban pour surveiller les logs WordPress
• Mettre en place le rate-limiting au niveau du serveur web (Apache ou Nginx)
• Ajouter une authentification HTTP supplementaire sur wp-login.php
• Configurer des backups automatises quotidiens
• Mettre en place un monitoring de disponibilite (Uptime Robot, Pingdom)

Conclusion : Une Protection Efficace est une Protection Stratifiee

La protection brute force WordPress ne repose pas sur une solution unique mais sur la combinaison intelligente de plusieurs couches de defense. Chaque couche compense les faiblesses potentielles des autres.

La combinaison minimale recommandee pour tout site WordPress est :

• Mots de passe forts et uniques generes par un gestionnaire de mots de passe
• Authentification a deux facteurs sur tous les comptes administrateurs
• Un WAF en peripherie (meme le plan gratuit de Cloudflare offre une protection significative)

Ces trois mesures suffisent a bloquer plus de 99 % des attaques brute force automatisees. Les mesures supplementaires (Fail2Ban, rate-limiting serveur, modification de l'URL de connexion) ajoutent des couches de protection pour les sites a haute valeur ou a fort trafic.

N'attendez pas de constater des centaines de tentatives de connexion echouees dans vos logs pour agir. Chaque jour sans protection est un jour ou votre site est expose. Prenez 30 minutes aujourd'hui pour appliquer les actions immediates de la checklist ci-dessus. Si votre site a deja ete compromis, nos guides de nettoyage et de securisation post-piratage vous guideront dans la remise en etat.

La securite WordPress est un processus continu, pas une destination. Les menaces evoluent, les outils s'ameliorent, et votre strategie de defense doit suivre le rythme. Une maintenance WordPress mensuelle rigoureuse est la meilleure garantie de tranquillite a long terme.