Comment protéger son site WordPress contre les attaques SEO

WordPress, c’est un peu comme le scooter du web : pratique, populaire, facile à customiser… et très visible des attaquants.
Sa popularité et surtout son énorme écosystème de thèmes et d’extensions en font une cible fréquente des scans automatisés. Le problème n’est pas que WordPress soit open source. Le problème, c’est un WordPress mal maintenu, des extensions abandonnées, des comptes trop permissifs ou une infrastructure insuffisamment protégée.

Chez Airbus, WordPress était purement et simplement interdit. Blacklisté.
Trop vulnérable, trop exposé, trop souvent mal entretenu.

Et pourtant, dans le monde réel — celui des TPE, PME, artisans et indépendants — c’est le CMS le plus utilisé, parce qu’il est simple, pas cher, et qu’il fait (presque) tout.
Le problème ? Il attire aussi toutes les attaques SEO et les scripts automatisés de la planète.

Si vous gérez un site WordPress, ce guide est pour vous.
Vous allez apprendre comment éviter le sabotage SEO, les injections de liens douteux, et la dégradation silencieuse de votre réputation sur Google.

Par Laurent Lacoste – Architecte Web, TooNetCreation

Chez Airbus, le mot “WordPress” déclenchait un réflexe pavlovien : interdiction immédiate sur le réseau.
Mais dans le monde des agences, on doit faire avec. Alors, autant le blinder.

Les types d’attaques SEO les plus fréquentes

1️⃣ Injection de liens ou de mots-clés cachés

Le pirate injecte du contenu, des liens ou des pages qu’il contrôle : casino, pharmacie, crypto, faux comparateurs… Google peut alors détecter du contenu piraté dans Search Console et limiter l’affichage de certaines pages, voire afficher des avertissements de sécurité selon le type de compromission.

2️⃣ Cloaking ou redirection frauduleuse

Certaines compromissions servent un contenu différent selon le User-Agent, le référent ou le contexte. Googlebot peut voir du spam tandis que le propriétaire connecté voit encore son site normal. C’est l’une des raisons pour lesquelles l’Inspection d’URL et le rapport Problèmes de sécurité de Search Console sont utiles après un incident.

3️⃣ Altération du sitemap, de robots.txt ou des règles de redirection

Un attaquant peut ajouter des URLs parasites au sitemap, modifier des règles de crawl, injecter des redirections dans <code>.htaccess</code>, un plugin, la base de données ou la configuration serveur. Attention : <code>robots.txt</code> contrôle surtout le crawl ; il ne constitue pas à lui seul un mécanisme de désindexation.

4️⃣ Attaques brute-force sur le compte admin

Les attaques par essais de mots de passe restent très courantes, mais elles ne sont pas propres à WordPress. La combinaison utile aujourd’hui : mot de passe unique et robuste, 2FA ou passkey pour les comptes privilégiés, limitation des tentatives et protection WAF/CDN.

Les signaux qui doivent vous alerter

Un site WordPress attaqué ne plante pas forcément.
Souvent, il continue à tourner, mais il travaille contre vous.

Voici les signes avant-coureurs que j’observe le plus souvent en audit SEO technique :

• Une chute brutale de trafic sans raison apparente.
• Des pages qui s’indexent toutes seules, avec des mots-clés hors sujet (pharma, casino, etc.).
• Des liens étranges dans le code source, souvent cachés via des styles CSS ou des balises <div> invisibles.
• Des redirections imprévues depuis certaines pages vers des domaines externes.
• Un sitemap modifié contenant des URL que vous n’avez jamais créées.
• Et parfois… Google Search Console vous avertit d’une “attaque par contenu piraté”.

Les bonnes pratiques de protection SEO sur WordPress

1️⃣ Mettez à jour. Vraiment.

Les mises à jour WordPress ne sont pas décoratives. Le cœur, les thèmes et les extensions doivent rester sur des versions maintenues. Une extension abandonnée ou très en retard mérite d’être remplacée, pas simplement “surveillée”.

Les mises à jour automatiques peuvent être utiles pour certains composants de confiance, mais sur un site critique je préfère les encadrer avec sauvegarde, recette et procédure de retour arrière. WordPress permet d’activer ou désactiver les auto-updates extension par extension.

2️⃣ Supprimez les plugins inutiles

Chaque extension ajoute du code, des dépendances et une surface de maintenance. Supprimez celles qui ne servent plus et privilégiez des extensions activement maintenues, téléchargées depuis des sources de confiance.

Une extension freemium n’est pas dangereuse par définition. En revanche, les versions “nulled”, piratées ou récupérées sur des sites douteux sont à proscrire.

3️⃣ Changez les identifiants par défaut

Évitez les identifiants prévisibles comme “admin”. Utilisez un mot de passe long, unique et généré par un gestionnaire de mots de passe. Pour les comptes administrateurs et privilégiés, ajoutez une 2FA ou, lorsque votre solution le permet, une passkey. Le rate limiting au niveau du WAF/CDN est également très efficace contre les tentatives automatisées.

4️⃣ Sécurisez vos fichiers SEO sensibles

Surveillez les fichiers et réglages sensibles : <code>wp-config.php</code>, <code>.htaccess</code> lorsque Apache est utilisé, sitemaps, règles de redirection et configuration de crawl. Appliquez des permissions adaptées et contrôlez les modifications inattendues. Une modification de <code>robots.txt</code> peut empêcher le crawl de zones importantes, mais elle ne “désindexe pas tout le site en 10 secondes”.

5️⃣ Surveillez vos backlinks

Surveillez vos liens entrants pour détecter une anomalie ou comprendre votre profil de liens, mais ne confondez pas automatiquement backlink douteux et attaque efficace. Google indique que, dans la plupart des cas, son système sait évaluer les liens sans intervention.

Note de Laurent :
Un backlink russe vers votre page “Nos valeurs” n’est pas un signe de succès international.
Mais ne le désavouez pas automatiquement. L’outil de désaveu est une fonction avancée à utiliser avec prudence, surtout en présence d’un volume important de liens artificiels et d’un risque réel d’action manuelle.

6️⃣ Activez une authentification double (2FA)

Priorité aux administrateurs, développeurs et autres comptes privilégiés. WordPress cœur n’intègre toujours pas nativement la 2FA : elle passe par une extension maintenue, un SSO/IdP ou une solution d’authentification adaptée. Les passkeys peuvent également renforcer la résistance au phishing.

7️⃣ Sécurisez les formulaires et les entrées utilisateur

Un formulaire n’est pas une faille par nature. Le risque vient d’un traitement insuffisamment validé ou filtré côté serveur, d’une extension vulnérable ou d’un endpoint exposé. Gardez les composants à jour et utilisez, si nécessaire, un WAF, du rate limiting et une protection anti-bot.

8️⃣ Faites des sauvegardes automatisées

Sauvegardez fichiers et base de données avec une fréquence adaptée au rythme de modification du site. Conservez au moins une copie hors de l’hébergement principal, protégez l’accès aux sauvegardes et testez régulièrement la restauration. Une sauvegarde saine ne sert que si vous savez réellement la restaurer.

Références : WordPress — Hardening WordPress, WordPress — Brute Force Attacks et WordPress — auto-updates plugins et thèmes.

Outils et extensions de sécurité recommandés

Plan d’audit et maintenance préventive

Un site WordPress, ça se surveille comme une usine en production.
La différence, c’est qu’ici, la panne ne fait pas de bruit : elle se voit dans Google Analytics.

1. Audit initial

Avant tout, faites un état des lieux complet :

• Versions du cœur, des plugins et du thème.
• Contrôle des permissions (fichiers et répertoires).
• Analyse du code source pour détecter les iframes ou scripts inconnus.
• Vérification des redirections et du sitemap.

2. Audit SEO post-attaque

Si vous avez déjà subi un piratage :

• Contrôlez le rapport Problèmes de sécurité de Search Console et les exemples d’URLs signalés.
• Identifiez toutes les URLs, redirections et contenus parasites, pas seulement les exemples fournis par Google.
• Nettoyez la cause de la compromission puis faites retourner les anciennes URLs parasites en 404/410 ou dans l’état approprié ; l’outil de suppression d’URL ne remplace pas ce nettoyage.
• Une fois le site entièrement nettoyé, demandez une révision depuis le rapport Problèmes de sécurité si Google y a signalé une compromission.
• N’utilisez le désaveu de backlinks que si les conditions recommandées par Google sont réellement réunies ; un piratage WordPress ne justifie pas à lui seul un fichier de désaveu.

Yoast, Rank Math ou une autre extension SEO peuvent aider à reprendre les métadonnées, sitemaps et règles SEO après nettoyage, mais ce ne sont pas des outils de désinfection.

Références : Google Search Console — Security Issues report et Google — Disavow links.

3. Maintenance continue

Le vrai secret de la sécurité WordPress, c’est la régularité :

• appliquer rapidement les mises à jour de sécurité, avec sauvegarde et recette adaptées au niveau de criticité ;
• surveiller les échecs de connexion, changements de fichiers, alertes WAF et comportements anormaux ;
• sauvegarder selon le rythme de modification du site et tester les restaurations ;
• revoir régulièrement les comptes administrateurs, extensions installées, droits et composants abandonnés.

Chez TooNetCreation, on met en place ce type de maintenance pour nos clients :
pas de blabla, pas de stress, un WordPress qui tourne, point.

Si vous préférez confier cette surveillance, notre page maintenance de sites web détaille notre approche des mises à jour, sauvegardes, sécurité et évolutions techniques.

En résumé

WordPress est un formidable outil — à condition de traiter sa maintenance, ses extensions, ses comptes et son hébergement comme des composants de production.

Une compromission SEO peut injecter des pages, des liens, des redirections ou du code sans forcément mettre le site hors ligne. C’est justement ce qui la rend parfois difficile à détecter.

Webographie

• Les erreurs SEO techniques qui nuisent à votre référencement
  Les failles techniques mal gérées ouvrent la porte aux manipulations SEO malveillantes.
• Comment savoir si votre site a été pénalisé par Google ?
  Indispensable pour identifier si la chute provient d’une attaque SEO ou d’une pénalité algorithmique.
• Faut-il désavouer ses backlinks ? Ce que Google ne dit pas
  Les attaques via backlinks toxiques sont l’un des vecteurs les plus fréquents sur WordPress.
• Qu’est-ce que le Negative SEO et pourquoi vous devriez vous en méfier ?
  Comprendre les méthodes des attaquants pour mieux sécuriser son site.
• Sécuriser son site contre les pirates : méthodes clés
  Même si l’exemple utilise Joomla, les bonnes pratiques (WAF, durcissement admin, monitoring) sont applicables à WordPress.

FAQ – Questions fréquentes sur la sécurité WordPress

❓ Pourquoi WordPress est-il autant ciblé ?
Surtout parce qu’il est très répandu et dispose d’un vaste écosystème. Le risque augmente avec les versions obsolètes, extensions abandonnées, mots de passe réutilisés, permissions excessives ou composants téléchargés depuis des sources non fiables.

❓ Une extension de sécurité suffit-elle ?
Non. Une extension renforce, mais elle ne remplace pas une maintenance humaine.
Les pirates exploitent souvent la négligence plus que la technologie.

❓ Comment savoir si mon site est piraté ?
Cherchez des anomalies : redirections suspectes, baisses de trafic, avertissements Search Console, fichiers nouveaux dans /wp-content/.
Des outils comme Wordfence ou VirusTotal peuvent aider.

❓ Que faire si Google signale mon site comme compromis ?
Commencez par le rapport Problèmes de sécurité de Search Console. Nettoyez toute la compromission, corrigez la faille d’origine, testez les pages concernées puis demandez une révision de sécurité lorsque tout est réellement corrigé.

❓ Un hébergement mutualisé est-il dangereux pour WordPress ?
Pas par principe. Un hébergement mutualisé correctement isolé, maintenu et supervisé peut être adapté à beaucoup de sites. Un VPS vous donne davantage de contrôle, mais aussi davantage de responsabilités de sécurité. Le bon choix dépend du niveau d’isolation, des sauvegardes, du WAF, de la maintenance et des compétences d’administration.
Voir notre approche de l’hébergement web.