Hébergement WordPress sécurisé : ce qu'il faut vérifier

Sommaire

• Introduction
• Pourquoi l'hébergement est crucial pour la sécurité
• Critères de sécurité à vérifier
• Types d'hébergement et sécurité
• Questions à poser à votre hébergeur
• Vérifications techniques
• Signes d'alarme
• Hébergeurs recommandés

Introduction

Votre hébergement WordPress est la fondation de votre sécurité en ligne. Un hébergement mal sécurisé, c'est comme construire une maison sans serrure : peu importe la qualité de vos alarmes, les intrus entreront facilement.

Selon une étude de WP Engine, 41% des piratages WordPress exploitent des vulnérabilités au niveau de l'hébergement. Le choix de votre hébergeur n'est pas qu'une question de performance ou de prix — c'est une décision de sécurité critique.

Dans cet article, nous allons voir quels critères de sécurité vérifier avant de choisir un hébergeur, et comment évaluer la sécurité de votre hébergement actuel.

Pourquoi l'hébergement est crucial pour la sécurité

Le premier rempart

Votre hébergeur est la première couche de protection de votre site. Il contrôle :

• L'accès réseau à votre site
• La configuration du serveur (PHP, Apache/Nginx)
• Les sauvegardes automatiques
• La protection contre les attaques DDoS
• L'isolation entre les sites partagés

Un hébergement faible compromet tout

Même avec un plugin de sécurité performant, un mot de passe complexe et des mises à jour régulières, un hébergement mal configuré peut compromettre l'ensemble de votre site. Les attaquants peuvent :

• Exploiter des failles au niveau du serveur
• Accéder à d'autres sites sur le même serveur (attaque laterale)
• Installer des backdoors au niveau système
• Intercepter les données en transit

Critères de sécurité à vérifier

1. Isolation des comptes

Sur un hébergement mutualisé, chaque compte doit être isolé des autres. Sans isolation, une compromission d'un site peut affecter tous les autres. Vérifiez que l'hébergeur utilise :

• cageFS ou équivalent pour l'isolation des fichiers
• CloudLinux pour la limitation des ressources
• Des comptes PHP séparés (non partagés)

2. Pare-feu applicatif (WAF)

Un WAF filtre le trafic malveillant avant qu'il n'atteigne votre site. Il bloque les attaques SQL injection, XSS, et autres tentatives d'intrusion. Vérifiez si l'hébergeur propose :

• Un WAF intégré (ModSecurity, NAXSI)
• Protection DDoS
• Détection d'intrusion (IDS/IPS)

3. SSL/TLS et HTTPS

Le certificat SSL est indispensable pour sécuriser les données en transit. Vérifiez :

• Certificat Let's Encrypt gratuit inclus
• Support TLS 1.2 minimum
• Configuration HTTPS correcte (HSTS)

4. Sauvegardes automatiques

Un bon hébergeur effectue des sauvegardes automatiques quotidiennes et permet la restauration en un clic. Vérifiez :

• Fréquence des sauvegardes (quotidien minimum)
• Durée de rétention (30 jours recommandé)
• Facilité de restauration
• Localisation des sauvegardes (hors site)

5. Mises à jour du serveur

L'hébergeur doit maintenir à jour :

• La version de PHP (8.1+ recommandé)
• Le serveur web (Apache ou Nginx)
• MySQL/MariaDB
• Les.correctifs de sécurité

Types d'hébergement et sécurité

Questions à poser à votre hébergeur

1. Quelle est la politique de sauvegarde ? Fréquence, rétention, restauration
2. Avez-vous un WAF intégré ? ModSecurity, Cloudflare, etc.
3. Comment gérez-vous les failles de sécurité ? Temps de réponse, communication
4. Quelle est la version de PHP ? Doit être 8.1 ou supérieure
5. Proposez-vous l'isolation des comptes ? CageFS, CloudLinux
6. Avez-vous une protection DDoS ? Quel niveau ?
7. Comment accède-t-on aux logs ? Accès aux logs d'erreur, d'accès

Vérifications techniques

Vérifier la version de PHP

Créez un fichier info.php avec <?php phpinfo(); ?> ou utilisez un plugin comme WP Server Health. La version doit être 8.1 ou supérieure.

Vérifier les permissions

Les fichiers doivent être en 644 et les dossiers en 755. Le fichier wp-config.php doit être en 600.

Vérifier l'accès SSH

Si vous avez accès en SSH, vérifiez que :

• Les connexions sont chiffrées (clé SSH)
• Le root login est désactivé
• Un pare-feu est actif

Signes d'alarme

• PHP obsolète (7.x ou inférieur) — vulnérabilités connues
• Pas de sauvegardes automatiques — risque de perte totale
• Pas de WAF — protection insuffisante
• Serveur lent — possible surcharge ou malware
• Pas d'accès aux logs — impossibilité de diagnostiquer
• SUPPORT LENT — en cas d'urgence, chaque minute compte

Hébergeurs recommandés pour WordPress

• WP Engine — Managed WordPress, sécurité intégrée, sauvegardes automatiques
• SiteGround — Bon rapport qualité-prix, WAF intégré
• Kinsta — Infrastructure Google Cloud, performance et sécurité
• OVH — Hébergeur français, bon pour les sites FR
• o2switch — Hébergeur français, support réactif, bon pour le WordPress

Hébergement partagé vs VPS vs dédié : comparaison sécurité

Le type d'hébergement que vous choisissez a un impact direct sur la sécurité de votre site WordPress. Chaque solution présente des avantages et des inconvénients qu'il est essentiel de comprendre avant de faire votre choix.

Hébergement mutualisé : le choix économique mais risqué

L'hébergement mutualisé est le moins cher mais aussi le moins sécurisé. Plusieurs centaines de sites peuvent coexister sur le même serveur. Si l'un d'eux est piraté, les autres peuvent être compromis par attaque latérale. Les hébergeurs mutualisés sérieux utilisent des technologies d'isolation comme CageFS ou CloudLinux, mais cela ne garantit pas une protection absolue. Ce type d'hébergement est acceptable pour un blog personnel sans données sensibles, mais pas pour un site professionnel ou e-commerce.

VPS : le meilleur rapport sécurité/prix

Un VPS (Virtual Private Server) vous offre un environnement isolé avec des ressources dédiées. Vous êtes responsable de la configuration de sécurité, ce qui nécessite des compétences techniques. L'avantage est un contrôle total sur les paramètres de sécurité : pare-feu, versions de PHP, accès SSH, etc. Pour les sites professionnels, le VPS est souvent le meilleur compromis entre coût et sécurité. Choisissez un VPS non managé si vous avez les compétences, ou un VPS managé si vous préférez déléguer la maintenance.

Dédié et cloud managé : le haut de gamme de la sécurité

Les serveurs dédiés et les solutions cloud managées (WP Engine, Kinsta) offrent le plus haut niveau de sécurité. Aucun autre site ne partage votre serveur, et les hébergeurs managés appliquent des politiques de sécurité strictes : WAF enterprise, scan de malwares automatique, sauvegardes externalisées, mises à jour automatiques et support expert disponible 24/7. Ces solutions sont recommandées pour les sites e-commerce, les sites à fort trafic et les entreprises qui ne peuvent pas se permettre la moindre interruption de service.

Drapeaux rouges à éviter chez un hébergeur

Certains signes doivent vous alerter immédiatement lors du choix d'un hébergeur. Voici les drapeaux rouges à ne pas ignorer.

1. Promesses de « hébergement illimité »

Un hébergement « illimité » en espace disque et bande passante est techniquement impossible. Ces offres sont souvent synonymes de serveurs surchargés, de ressources partagées à l'extrême et de performances médiocres. Les hébergeurs sérieux proposent des limites claires et des ressources garanties. Méfiez-vous des offres trop alléchantes : si c'est trop beau pour être vrai, c'est que ça l'est probablement.

2. Absence de certificat SSL gratuit

En 2026, tout hébergeur digne de ce nom doit proposer un certificat SSL Let's Encrypt gratuit avec installation en un clic. Si votre hébergeur facture le SSL ou ne le propose pas, c'est un signe que ses standards de sécurité sont dépassés. Le HTTPS n'est plus une option : c'est une exigence pour le SEO, la confiance des visiteurs et la sécurité des données.

3. Version de PHP obsolète

Si votre hébergeur propose encore du PHP 7.4 ou inférieur par défaut, fuyez. Ces versions ne reçoivent plus de mises à jour de sécurité et sont des cibles faciles pour les attaquants. Un bon hébergeur doit proposer PHP 8.1, 8.2 ou 8.3 avec la possibilité de changer facilement de version. Vérifiez également que l'hébergeur applique rapidement les correctifs de sécurité majeurs.

4. Support client lent ou inexistant

En cas d'urgence de sécurité, chaque minute compte. Si votre hébergeur met plusieurs heures ou jours à répondre à un ticket de support, c'est un risque majeur. Testez le support avant de souscrire : posez une question technique via le chat ou le ticket et mesurez le temps de réponse. Un bon hébergeur répond en moins de 30 minutes pour les demandes urgentes.

5. Absence de sauvegardes automatiques

Un hébergeur qui ne propose pas de sauvegardes automatiques quotidiennes avec restauration en un clic est à éviter. En cas de piratage ou de panne, vous perdrez toutes vos données. Vérifiez la fréquence des sauvegardes, la durée de rétention (30 jours minimum) et si les sauvegardes sont stockées sur un serveur différent (hors site).

Questions à poser à votre hébergeur avant de signer

Avant de choisir un hébergeur, posez ces questions essentielles pour évaluer son niveau de sécurité. Les réponses obtenues vous permettront de comparer objectivement les différentes offres.

Sécurité du serveur

Demandez : « Quelle est votre politique de durcissement du serveur ? » Un hébergeur sérieux doit pouvoir vous décrire les mesures prises : désactivation des services inutiles, configuration sécurisée de PHP (disable_functions), protection contre les inclusions de fichiers distants, pare-feu applicatif (ModSecurity), et détection d'intrusion. Vérifiez également s'ils utilisent une solution de supervision 24/7 pour détecter les activités anormales sur leurs serveurs.

Gestion des incidents

Demandez : « Comment réagissez-vous en cas d'incident de sécurité sur un serveur partagé ? » Un bon hébergeur doit avoir un plan de réponse aux incidents documenté : isolement immédiat du site compromis, analyse forensique, notification aux clients concernés, et nettoyage du serveur. La transparence est essentielle — si l'hébergeur refuse de communiquer sur sa procédure, considérez cela comme un drapeau rouge.

Conformité et certifications

Demandez : « Quelles certifications de sécurité possédez-vous ? » Les hébergeurs sérieux affichent leurs certifications : ISO 27001 (sécurité de l'information), SOC 2 (contrôles internes), PCI-DSS (pour les données de paiement). Ces certifications sont une garantie indépendante du niveau de sécurité de l'hébergeur. Pour un site e-commerce, un hébergeur certifié PCI-DSS est indispensable.

Conditions contractuelles

Demandez : « Que se passe-t-il en cas de panne ou de perte de données ? » Vérifiez les SLA (Service Level Agreements) : temps de disponibilité garanti (99,9% minimum), pénalités en cas de non-respect, procédure de remboursement. Assurez-vous que le contrat précise clairement les responsabilités de l'hébergeur en matière de sécurité et de sauvegardes, ainsi que les vôtres.