25 plugins de sécurité WordPress selon le risque à traiter

Bannière officielle de Wordfence, fournie par l’éditeur ; contenu promotionnel.

À envisager pourCentraliser filtrage, analyses et accès, avec une personne responsable des alertes

Wordfence peut servir de suite principale lorsque vous voulez réunir pare-feu, analyse des fichiers et protection de connexion. L’édition gratuite comprend notamment le second facteur et les limites de tentatives. Premium apporte les nouvelles règles et signatures sans le délai de trente jours du gratuit, une liste d’adresses malveillantes actualisée et un journal distant. Retenez-le si une personne suit les analyses et interprète les alertes. Une licence Premium n’est pas une prestation de nettoyage : gardez un processus distinct pour un incident confirmé.

Bannière officielle de Sucuri Security, fournie par l’éditeur ; contenu promotionnel.

À envisager pourDistinguer surveillance gratuite, pare-feu distant et intervention de nettoyage

Sucuri Security fournit gratuitement des journaux d’activité, un contrôle d’intégrité et des réglages de durcissement. Cette extension ne place pas à elle seule votre site derrière le pare-feu distant de Sucuri. Pour ce filtrage en amont, il faut souscrire le service et configurer le passage du trafic. Le plan Basic Platform ajoute notamment des interventions de nettoyage, tandis que le Firewall Basic est une offre différente. Choisissez donc selon le besoin réel : surveiller un site, filtrer avant l’hébergement ou faire traiter une infection.

Bannière officielle de All-In-One Security, fournie par l’éditeur ; contenu promotionnel.

À envisager pourDurcir progressivement un ou deux sites avec pare-feu et second facteur déjà disponibles gratuitement

All-In-One Security convient à un administrateur qui veut organiser le durcissement depuis une suite sans activer toutes les restrictions d’un coup. Le gratuit inclut déjà limites de connexion, second facteur, règles de pare-feu et journal d’événements. Premium ajoute entre autres une analyse hebdomadaire des logiciels malveillants, le blocage géographique et la surveillance de disponibilité. Son forfait d’entrée couvre deux sites. Commencez par le contrôle des accès ; un meilleur score interne ne justifie pas de bloquer une tâche ou un service légitime.

Bannière officielle de Defender Security, fournie par l’éditeur ; contenu promotionnel.

À envisager pourÉquipe utilisant WPMU DEV qui veut automatiser ses analyses et rapports

Defender propose gratuitement des analyses à la demande, des restrictions de connexion, le second facteur et plusieurs réglages de durcissement. Il devient particulièrement pertinent si vous gérez déjà vos sites dans WPMU DEV et souhaitez réunir les alertes et la configuration. Les analyses planifiées, rapports automatisés et journaux d’audit sont présentés avec Defender Pro. Le prix cité correspond à une formule comprenant plusieurs plugins WPMU DEV, pas à une licence isolée de Defender. Comparez ce coût à vos besoins avant de multiplier les modules.

Bannière officielle de MalCare, fournie par l’éditeur ; contenu promotionnel.

À envisager pourChoisir explicitement entre surveillance connectée et nettoyage inclus dans Repair ou Fortify

MalCare distingue désormais quatre niveaux qui ne rendent pas le même service. Free comprend une analyse hebdomadaire, un pare-feu de base et le second facteur pour deux administrateurs. Protect ajoute des analyses quotidiennes et des règles de protection avancées, mais ne nettoie pas les logiciels malveillants. Repair inclut le nettoyage ; Fortify augmente la fréquence et le périmètre d’intervention. Si le site est déjà infecté, acheter Protect ne répond donc pas au besoin de réparation. Examinez aussi les données envoyées au service extérieur.

Bannière officielle de Security Ninja, fournie par l’éditeur ; contenu promotionnel.

À envisager pourPasser de contrôles de configuration à des analyses et rapports planifiés

Security Ninja aide à examiner la configuration et les composants avant de choisir les corrections à appliquer. Le gratuit comporte des contrôles de sécurité, des vérifications de vulnérabilités, l’intégrité du cœur, des événements et un filtrage de base. Pro ajoute notamment les analyses de logiciels malveillants, leur planification et des protections de connexion avec second facteur. Il peut convenir à une personne qui veut passer d’un contrôle manuel à un suivi organisé. Un résultat de contrôle reste à interpréter : il ne démontre pas l’absence d’intrusion.

Bannière officielle de BBQ Firewall : illustration d’un barbecue, sans capture d’interface.

À envisager pourAjouter un filtre de requêtes ciblé lorsque scans et gestion des accès sont déjà couverts

BBQ Firewall répond à un besoin ciblé : filtrer des requêtes correspondant à des motifs suspects sans installer une suite complète. Le gratuit travaille sans écran de configuration ; Pro permet de modifier les règles, d’examiner leurs compteurs, de définir des exceptions d’adresses et de recevoir des alertes. Ce contrôle convient lorsque vous comprenez la règle à ajuster. Il ne recherche pas les fichiers déjà infectés et ne remplace pas le second facteur. Sur un formulaire refusé, identifiez le motif avant de désactiver tout le filtre.

Bannière officielle de WP fail2ban, fournie par l’éditeur ; contenu promotionnel.

À envisager pourAdministrateur ou hébergeur capable de relier les événements WordPress à fail2ban

WP fail2ban intéresse surtout les administrateurs dont l’hébergement dispose déjà de fail2ban. Le plugin transforme les échecs de connexion et d’autres comportements WordPress en événements que le service serveur peut exploiter pour bloquer une adresse au pare-feu. Sans cette intégration, le gratuit peut journaliser sans effectuer lui-même ces blocages. Premium apporte notamment une liste d’adresses plus complète et un historique structuré. Il possède aussi des contrôles dans WordPress : il serait donc inexact de dire que toutes ses fonctions dépendent du service serveur.

Bannière officielle de Limit Login Attempts Security, fournie par l’éditeur ; contenu promotionnel.

À envisager pourLimiter les tentatives de connexion et envisager un service cloud lorsque ce trafic devient important

Limit Login Attempts Security, issu de Limit Login Attempts Reloaded, se concentre sur les connexions. Le gratuit permet de régler les verrouillages, les listes d’adresses et les alertes ; la comparaison actuelle inclut aussi le second facteur. Personal ajoute un service cloud doté d’un quota de requêtes de connexion, tandis que Business apporte notamment des restrictions géographiques et une liste d’adresses partagée. C’est une option si les tentatives automatisées sont le problème principal. Elle ne remplace pas l’analyse de fichiers ni le suivi des composants vulnérables.

Bannière officielle de Loginizer, fournie par l’éditeur ; contenu promotionnel.

À envisager pourProtection ciblée des connexions, avec options Pro si elles remplacent réellement d’autres outils

Loginizer gratuit bloque une adresse après un nombre configurable d’échecs et conserve les tentatives. Ses listes d’adresses autorisées ou refusées peuvent suffire à compléter une installation dont les autres protections existent déjà. Pro ajoute le second facteur par courriel ou application, des défis antibots et des contrôles d’intégrité du cœur. Si votre seul objectif est le second facteur, comparez aussi les outils spécialisés gratuits de cette sélection. Déplacer l’écran de connexion ou multiplier les restrictions ne dispense pas de préparer la récupération du compte.

Bannière officielle de Two-Factor : motif de trou de serrure.

À envisager pourPetite équipe sur une version WordPress compatible, capable de configurer individuellement ses comptes

Two-Factor offre une solution gratuite lorsque chaque intervenant peut configurer son propre second facteur dans son profil. La version actuelle propose les codes d’application TOTP, les codes par courriel et les codes de secours. Elle ne doit pas être choisie en supposant qu’elle impose à elle seule une politique d’inscription à toute l’organisation. Autre point à vérifier avant installation : cette version requiert WordPress 7.0 minimum. Les anciennes clés FIDO U2F ont été retirées ; ne les confondez pas avec une intégration WebAuthn supplémentaire.

Bannière officielle de WP 2FA, fournie par l’éditeur ; contenu promotionnel.

À envisager pourÉquipe souhaitant imposer la 2FA et organiser l’inscription des utilisateurs

WP 2FA est adapté lorsque vous voulez demander un second facteur à plusieurs utilisateurs avec une politique organisée. Le gratuit comprend déjà une obligation de 2FA, les codes TOTP, le courriel et les codes de secours. Premium ajoute des politiques par rôle, des appareils de confiance, des méthodes supplémentaires et une intégration WooCommerce annoncée en un clic. Commencez avec un compte, vérifiez sa récupération puis préparez l’inscription de l’équipe. Le nombre de sous-sites d’un réseau compte pour la licence ; une seule installation multisite ne signifie pas forcément un seul site facturable.

Bannière officielle de miniOrange Two Factor Authentication, fournie par l’éditeur ; contenu promotionnel.

À envisager pourProjet ayant une méthode d’authentification ou un formulaire précis à raccorder

miniOrange 2FA peut répondre à des parcours d’authentification plus variés, à condition de choisir la méthode et le formulaire avant le forfait. L’offre gratuite actuelle annonce des utilisateurs illimités, des applications d’authentification, des codes par courriel et des moyens de récupération. Starter ajoute notamment des politiques par rôle et la prise en charge de fournisseurs SMS. Les restrictions de session appartiennent à Enterprise ; certaines intégrations avancées relèvent d’All Inclusive. N’achetez donc pas uniquement sur la liste globale de méthodes présentée en haut de la page.

Bannière officielle de WPS Hide Login, fournie par l’éditeur ; contenu promotionnel.

À envisager pourRéduire les tentatives sur l’adresse de connexion habituelle en complément de vrais contrôles d’accès

WPS Hide Login change l’adresse d’accès à la connexion WordPress sans modifier les fichiers du cœur. Il peut réduire le bruit des robots qui visent uniquement l’adresse habituelle. Son intérêt reste limité à ce rôle : il ne renforce pas un mot de passe, ne remplace pas la 2FA et ne répare pas une extension vulnérable. Notez l’adresse choisie et préparez un accès indépendant à l’hébergement avant activation. Si vous utilisez un cache, assurez-vous que la nouvelle page de connexion en est exclue.

Bannière officielle de WP Activity Log, fournie par l’éditeur ; contenu promotionnel.

À envisager pourÉquipe éditoriale ou prestataire ayant besoin d’attribuer les changements et d’organiser les alertes

WP Activity Log sert à comprendre qui a modifié un contenu, une extension ou un réglage. Le gratuit enregistre les événements ; Premium ajoute les recherches avancées, les rapports planifiés, les notifications et la gestion des sessions. Enterprise vise davantage la centralisation avec archivage, base externe et transmission des journaux. C’est un choix utile pour une équipe ou un prestataire qui doit expliquer un changement. Le journal ne bloque pas l’action qu’il enregistre : déterminez qui le lit, combien de temps il est conservé et quels événements déclenchent une réaction.

Bannière officielle de Simple History, fournie par l’éditeur ; contenu promotionnel.

À envisager pourJournal local lisible, avec alertes et conservation prolongée seulement si nécessaires

Simple History permet de consulter les actions courantes dans WordPress sans commencer par un service distant. Le gratuit enregistre les événements avec recherche et filtres ; la conservation annoncée est de trente jours. Premium ajoute notamment des alertes, l’export des résultats, une durée configurable et la transmission vers d’autres outils. Il convient à une petite équipe qui cherche d’abord à comprendre une modification. Ne confondez pas la reprise d’informations historiques existantes avec une reconstitution complète des actions antérieures à l’installation : les preuves non enregistrées ne sont pas recréées.

Bannière officielle de Password Protected, fournie par l’éditeur ; contenu promotionnel.

À envisager pourÉcran d’accès simple à un contenu sans exigence forte de confidentialité des fichiers

Password Protected répond à un besoin d’accès au contenu, distinct de la sécurité générale du site. Le gratuit place un mot de passe partagé devant WordPress. Basic ajoute notamment la protection par type de contenu et des limites de tentatives sur cet écran ; Professional permet de cibler des articles ou pages, et Business ajoute catégories et mots de passe multiples. Ce n’est pas une solution suffisante pour garantir la confidentialité de fichiers accessibles par leur adresse directe. Choisissez-le pour un accès simple, après avoir vérifié les fichiers, les flux et les caches.

Bannière officielle de Really Simple Security, fournie par l’éditeur ; contenu promotionnel.

À envisager pourAdministrateur déjà équipé de Really Simple qui veut regrouper HTTPS et durcissement

Really Simple Security a élargi le périmètre de Really Simple SSL au durcissement et aux accès. Le gratuit peut aider à mettre en place HTTPS, les réglages de base et des contrôles de vulnérabilités. Pro ajoute notamment des mesures automatisées, le pare-feu et des protections de connexion plus étendues. C’est une piste si vous utilisez déjà cette famille et souhaitez éviter plusieurs outils qui se recouvrent. Un assistant HTTPS ne démontre toutefois ni la validité du certificat pour chaque domaine ni la réparation d’un site déjà compromis.

Bannière officielle de Patchstack, fournie par l’éditeur ; contenu promotionnel.

À envisager pourAgence qui suit les composants de plusieurs sites et organise leur correction

Patchstack est surtout destiné au suivi des composants et de leurs vulnérabilités. Les alertes gratuites et les règles de protection payantes répondent à deux étapes différentes : savoir qu’une faille existe, puis limiter son exploitation en attendant une correction. Le forfait Developer vise désormais les professionnels qui gèrent plusieurs sites ; pour un seul site, l’éditeur renvoie aussi à ses partenaires. Examinez donc les protections déjà fournies par votre hébergeur. Une règle de protection ne corrige pas le code vulnérable et ne remplace pas le nettoyage d’un site infecté.

Bannière officielle de Anti-Malware Security, fournie par l’éditeur ; contenu promotionnel.

À envisager pourAnalyse et correction encadrées par une personne capable de reconnaître le code légitime

Anti-Malware Security convient à un intervenant capable d’interpréter une analyse de fichiers et de contrôler les corrections proposées. L’enregistrement permet de recevoir les définitions récentes ; le gratuit conserve des analyses manuelles et des fonctions de nettoyage. Une contribution débloque les fonctions premium actuelles, notamment les mises à jour automatiques de définitions et la protection de connexion décrite par l’auteur. Ne transformez pas un fichier signalé en suppression automatique : conservez la sauvegarde et examinez la quarantaine. Le produit ne remplace pas la recherche de la cause initiale.

Bannière officielle de CAPTCHA4WP, fournie par l’éditeur ; contenu promotionnel.

À envisager pourFormulaire ayant besoin d’un contrôle antibot compatible avec son outil de création

CAPTCHA4WP ajoute un contrôle antibot aux formulaires plutôt qu’une sécurité générale à WordPress. Le gratuit raccorde Google reCAPTCHA aux formulaires natifs de connexion, inscription, commentaires et récupération. Premium ajoute notamment hCaptcha, Turnstile et les intégrations WooCommerce ou constructeurs de formulaires ; Enterprise apporte des déclenchements et exclusions plus fins. Vérifiez le formulaire précis avant de choisir. Une clé ou un domaine mal configuré peut empêcher un visiteur légitime d’envoyer sa demande ; prévoyez donc une solution de récupération et contrôlez l’accessibilité du parcours.

Bannière officielle de NinjaFirewall, fournie par l’éditeur ; contenu promotionnel.

À envisager pourFiltrer avant WordPress sur un hébergement Unix dont la configuration PHP est maîtrisée

NinjaFirewall vise un filtrage avant le chargement de WordPress, au niveau de l’exécution PHP. Le gratuit fournit déjà cette architecture, des règles de pare-feu et des contrôles de fichiers ; WP+ ajoute des contrôles par adresse, pays ou rôle, ainsi que des possibilités de journalisation étendues. Il convient à un hébergement compatible dont le responsable peut vérifier la configuration PHP et son retour arrière. Un accès administrateur WordPress ne suffit pas toujours. Le produit nécessite un système de type Unix : ne suivez pas cette piste pour un serveur Windows.

Tableau de bord promotionnel de WP Cerber Security, fourni par l’éditeur ; données d’exemple datées, aucun test réalisé.Ouvrir la capture en grand ↗

À envisager pourSuite avec scans locaux, à condition de suivre le canal officiel de mises à jour

WP Cerber réunit des restrictions de connexion, une protection antispam et des analyses. Le gratuit propose des contrôles et scans à la demande ; Pro ajoute la couche cloud, la planification et des règles géographiques plus étendues. L’installation et les mises à jour passent par le canal officiel documenté par l’éditeur. La version 9.10 corrige notamment des problèmes de sécurité et est annoncée comme seule branche maintenue. Retenez cette suite seulement si vous pouvez assurer ce suivi, vérifier les parcours légitimes et interpréter les résultats des analyses.

Bannière officielle de Security by CleanTalk, fournie par l’éditeur ; contenu promotionnel.

À envisager pourPetit site acceptant un abonnement cloud et une vérification des fonctions conservées après essai

Security by CleanTalk associe un plugin à un service cloud payant après essai. L’abonnement regroupe pare-feu, analyses planifiées, alertes et journaux distants ; le nettoyage par un expert reste une prestation séparée. La FAQ de l’annuaire décrit aussi une protection locale contre les tentatives de connexion et un journal limité après expiration, mais son vocabulaire n’est pas uniforme avec la présentation commerciale. Ne choisissez donc pas ce produit comme une suite cloud gratuite permanente. Confirmez les fonctions restantes et les données envoyées au service avant raccordement.

Bannière officielle de WP Armour, fournie par l’éditeur ; contenu promotionnel.

À envisager pourRéduire le spam d’un formulaire compatible sans ajouter de défi visible

WP Armour lutte contre le spam automatisé grâce à un piège à robots reposant sur JavaScript. Il peut convenir lorsque vous souhaitez éviter un défi visible et que votre formulaire figure dans les intégrations prises en charge. Le gratuit couvre notamment commentaires et plusieurs constructeurs de formulaires ; Extended ajoute des intégrations, dont WooCommerce, ainsi que des journaux et blocages d’adresses. Ce n’est pas un pare-feu général ni un scanner de fichiers. Vérifiez une soumission légitime complète après activation et après modification du cache ou de l’optimisation JavaScript.