Comment protéger votre site WordPress contre une attaque brute de force ?
La première fois que j’ai croisé ce problème chez un client, il n’y avait aucun signe évident : juste un site qui devenait de plus en plus lent, sans raison apparente. En ouvrant les logs, le coupable sautait aux yeux : une avalanche de tentatives de connexion qui tournaient en boucle. Une attaque brute de force.
C’est l’une des menaces les plus courantes sur WordPress : des robots testent des milliers de combinaisons d’identifiants jusqu’à tomber sur la bonne. Dans ce guide, je vous montre comment les repérer et comment je protège concrètement les sites que je gère.
C’est quoi une attaque brute de force, concrètement ?
Une attaque brute de force, c’est une méthode d’essais systématiques : des scripts automatisés testent des milliers de combinaisons de noms d’utilisateur et de mots de passe pour deviner vos identifiants et accéder à l’administration de votre site. Les robots vont très vite, plusieurs milliers de tentatives en quelques minutes.
Sur WordPress, leur cible favorite, c’est la page de connexion (/wp-login.php) et le fichier xmlrpc.php, présents sur quasiment tous les sites. Tant que ces portes restent ouvertes et non protégées, elles attirent les robots comme un aimant.
💡 Premier réflexe que je recommande toujours : masquer ou sécuriser l’accès à l’administration WordPress (wp-admin). Ça empêche déjà les robots d’atteindre la page de connexion la plus ciblée.
Comment reconnaître une attaque brute de force ?
Le signe qui m’a alerté la première fois, c’est la lenteur. Un site qui devient poussif sans explication, c’est très souvent ça : les tentatives de connexion en masse saturent les ressources du serveur, et tout ralentit, y compris pour vos vrais visiteurs.
Les signes à surveiller :
- un ralentissement soudain et inhabituel du site ;
- un pic d’utilisation des ressources serveur (CPU, mémoire) ;
- une multiplication de tentatives de connexion échouées dans vos logs ;
- des e-mails de notification d’échecs de connexion si vous avez un plugin de sécurité.
Pour confirmer, deux endroits où regarder : les journaux de connexion de votre hébergeur, et le « trafic en direct » d’un plugin comme Wordfence, qui liste en temps réel les IP suspectes et les tentatives bloquées.
Un exemple concret : sur un site client, Wordfence a bloqué une même adresse IP 740 fois en un mois, et plus de 1 500 tentatives rien que pour les dix IP les plus actives. Ça donne une idée du bruit de fond permanent que subit n’importe quel site WordPress.
Pourquoi WordPress attire autant les attaques brute de force ?
WordPress propulse plus de 40 % des sites web dans le monde. Cette domination en fait une cible de choix : les robots se concentrent sur la plateforme la plus répandue pour maximiser leurs chances.
Plusieurs faiblesses se combinent. Beaucoup d’utilisateurs gardent des identifiants trop simples (les fameux « admin / admin » ou « admin / 123456 », qui figurent en tête des tentatives des robots). Par défaut, l’URL de connexion /wp-login.php est connue de tous. Et WordPress ne limite pas nativement le nombre de tentatives : sans plugin, un robot peut essayer autant de fois qu’il veut. Ajoutez à ça des extensions mal codées ou non mises à jour, et vous avez autant de portes d’entrée potentielles.
Ce qui arrive quand on laisse traîner
J’ai vu plusieurs sites clients touchés par ce type d’attaque. Dans les cas les moins graves, ça se limitait à un site lent et à des ressources serveur gaspillées. Mais sur certains, l’attaque a fini par réussir : les pirates ont pris la main sur le site et l’ont redirigé vers des pages frauduleuses.
À ce stade, ce n’est plus une gêne, c’est un site à reconstruire, une réputation à récupérer, et parfois l’hébergeur qui suspend le compte pour activité malveillante. Si vous en êtes déjà là, je détaille la marche à suivre dans mon article sur que faire quand votre site WordPress a été piraté. Mais le mieux reste d’agir avant.
Comment protéger son site WordPress : ma méthode
Il n’y a pas de solution miracle, mais une combinaison de mesures. Voici celles que je mets en place, à peu près dans l’ordre où je les applique sur les sites que je gère.
1. Un mot de passe vraiment fort
Long (12 caractères minimum), aléatoire, mélangeant lettres, chiffres et symboles. Évitez les mots courants, même « déguisés » avec des chiffres.
2. Limiter les tentatives de connexion
C’est par là que je commence sur la plupart des sites : j’installe Wordfence (ou Limit Login Attempts) et j’active le blocage des IP après quelques échecs. Ça coupe déjà l’essentiel des attaques automatisées.
3. Activer la double authentification (2FA)
Via une application ou par SMS. Même si un robot devine votre mot de passe, il reste bloqué à la deuxième étape.
4. Changer l’URL de connexion
Un réflexe systématique chez moi : déplacer la page de connexion /wp-login.php avec un plugin comme WPS Hide Login. Simple, et ça rend la majorité des robots aveugles.
5. Filtrer en amont avec Cloudflare
Sur les sites les plus visés, je passe par Cloudflare : ça répartit le trafic, limite les requêtes abusives et filtre le spam avant qu’il atteigne le serveur. C’est ce qui a sauvé plusieurs sites clients qui ramaient à cause des attaques.
6. Protéger l’accès avec .htpasswd
Un second niveau de mot de passe (HTTP Auth) sur la page de connexion, via le fichier .htaccess. Il stoppe les robots avant même WordPress :
<Files wp-login.php> AuthType Basic AuthName "Accès protégé" AuthUserFile /chemin/.htpasswd Require valid-user </Files>
7. Désactiver XML-RPC
Ce fichier permet des attaques par amplification. Si vous ne l’utilisez pas, désactivez-le via .htaccess :
<Files xmlrpc.php> Deny from all </Files>
8. Activer un pare-feu applicatif (WAF)
Un pare-feu applicatif filtre le trafic malveillant avant qu’il n’atteigne WordPress. Wordfence en intègre un, et Cloudflare propose aussi son pare-feu en amont. Chez WordPress.com, Jetpack protège automatiquement la page de connexion.
Sur le long terme, déléguer cette surveillance à une offre de maintenance WordPress vous évite d’avoir à y penser.
Questions fréquentes sur les attaques brute de force WP
En résumé
Une attaque brute de force n’est pas une fatalité. Quelques mesures simples (un bon mot de passe, la limitation des tentatives, le changement de l’URL de connexion et la double authentification) bloquent déjà l’immense majorité des robots. Pour les sites les plus exposés, on ajoute un pare-feu et un service comme Cloudflare.
Le vrai piège, c’est d’attendre le premier ralentissement (ou pire) pour s’en occuper. Autant mettre ces protections en place dès maintenant. Et pour aller plus loin sur la sécurité, jetez un œil à mon article sur la protection contre la faille XSS sur WordPress.
