Votre WordPress tourne depuis des mois sans accroc. Pourtant, cette nuit encore, des robots ont testé votre page de connexion, listé vos auteurs via l’API REST et vérifié si un fichier de sauvegarde traînait à la racine. Ce n’est pas un scénario catastrophe, c’est le bruit de fond ordinaire du web. Un scanner WordPress vous montre exactement ce que ces robots voient de votre site, avant qu’un attaquant humain ne s’en serve. Concrètement, l’outil analyse votre site depuis l’extérieur, comme le ferait un visiteur malveillant : certificat SSL, en-têtes de sécurité, fichiers sensibles, énumération des comptes, versions visibles, puis la vitesse, le SEO technique et même la configuration e-mail de votre domaine. Le nôtre fait ce contrôle en 15 secondes, gratuitement, sans compte ni installation, et vous rend un score sur 100 avec les corrections prioritaires.
Qu’est-ce qu’un scanner WordPress, au juste
Un scanner WordPress est un outil qui interroge votre site depuis l’extérieur et confronte ce qu’il trouve aux bonnes pratiques connues. Il ne se connecte pas à votre administration, n’installe rien sur votre serveur et ne modifie aucun fichier. Il regarde ce que n’importe quel visiteur peut voir : les en-têtes HTTP renvoyés par votre serveur, le contenu de votre robots.txt, la présence ou l’absence de fichiers sensibles, la façon dont votre API REST répond, la version de PHP ou de WordPress que vos pages laissent deviner.
Cette approche a une conséquence importante : tout ce qu’un scanner trouve, un robot malveillant peut le trouver aussi. La différence, c’est que le scanner vous le montre en premier, avec une explication en français clair et un guide de correction pour chaque point.
Pourquoi votre site est sondé tous les jours, même le vôtre
WordPress propulse plus de 40 % des sites web selon W3Techs. Cette popularité en fait la cible la plus rentable pour les attaquants : un même exploit automatisé fonctionne sur des millions de sites. Les botnets ne choisissent pas leurs victimes, ils balayent des plages d’adresses IP entières et testent méthodiquement les mêmes portes d’entrée : wp-login.php, xmlrpc.php, l’API REST, les extensions connues pour une faille publiée.
La taille de votre site ne vous protège pas. Un petit blog personnel vaut autant qu’une boutique pour un botnet : il peut servir de relais de spam, de nœud dans une attaque par déni de service, ou d’hébergement discret pour une page de phishing. La plupart des piratages que nous voyons passer ne sont pas des attaques ciblées, ce sont des opportunités saisies par des machines. La question n’est donc pas « qui voudrait m’attaquer », mais « que voit-on de chez moi quand on regarde ».
Les quatre familles de contrôles d’un scan sérieux
Un scanner qui se contente de vérifier votre certificat SSL ne fait que le quart du travail. Un audit utile couvre quatre familles complémentaires, parce qu’un site WordPress en bonne santé doit être sûr, rapide, lisible par Google et joignable de façon fiable.
- Sécurité : HTTPS et version TLS, en-têtes de protection, énumération des utilisateurs, API REST, xmlrpc, fichiers sensibles exposés, version de WordPress affichée.
- Performance : temps de réponse du serveur, HTTP/2, compression, poids total de la page, nombre de requêtes, optimisation des images, ressources bloquantes, cache navigateur.
- SEO technique : balise title, meta description, sitemap XML, robots.txt, canonical, attributs alt, structure des titres.
- E-mail : enregistrements DNS, SPF et DMARC, qui décident si vos e-mails arrivent en boîte de réception ou en spam.
Chaque famille pèse sur un aspect différent de votre site : la sécurité protège vos visiteurs et votre réputation, la performance conditionne l’expérience et le référencement, le SEO technique rend votre contenu éligible aux bonnes positions, et la configuration e-mail garantit que vos formulaires de contact et vos notifications arrivent réellement.
Sécurité : ce qu’un attaquant regarde en premier
Quand un robot examine un WordPress, il commence par des vérifications simples et bon marché. Vous pouvez d’ailleurs en rejouer trois vous-même depuis un terminal, sur votre propre site.
D’abord, les en-têtes HTTP, qui révèlent souvent le serveur, la version de PHP et l’absence de protections :
curl -sI https://votre-site.frSi vous voyez une ligne X-Powered-By: PHP/8.1.12, vous donnez gratuitement aux attaquants la version exacte de votre interpréteur. S’il manque X-Frame-Options ou Content-Security-Policy, votre site est plus facile à détourner dans des attaques de type clickjacking ou injection de script.
Ensuite, l’énumération des utilisateurs via l’API REST :
curl -s "https://votre-site.fr/wp-json/wp/v2/users"Si cette requête renvoie les noms publics de vos comptes, un attaquant connaît déjà la moitié du couple identifiant + mot de passe qu’il lui faut. Il ne reste plus qu’à tester des mots de passe sur la page de connexion. Notre guide pour sécuriser l’API REST WordPress détaille la fermeture propre de cette porte.
Troisième test, la redirection d’auteur :
curl -s "https://votre-site.fr/?author=1" -o /dev/null -w "%{redirect_url}"Si cette URL redirige vers /author/votre-identifiant, elle confirme un identifiant de connexion valide. Ces trois vérifications prennent quelques secondes à un robot. Votre scanner les fait pour vous, plus trente-cinq autres, et vous dit lesquelles ont échoué.
Performance et SEO : ce que Google sanctionne sans vous prévenir
Google a intégré les Core Web Vitals à ses critères de classement : temps de chargement, stabilité visuelle, réactivité. Un WordPress lent ne reçoit pas d’avertissement, il perd simplement des positions face à des concurrents plus rapides. Le scanner mesure le temps de réponse du serveur, le poids de la page, la compression et les ressources qui bloquent l’affichage, autant de points que vous pouvez corriger sans toucher au contenu.
Côté SEO technique, les oublis classiques sont une meta description absente, un sitemap XML introuvable ou un robots.txt mal configuré. Ils ne cassent rien de visible, mais ils privent Google d’informations essentielles. Si votre sitemap vous pose problème, notre article sur le sitemap WordPress en erreur 404 couvre le diagnostic complet.
E-mail : le contrôle que tout le monde oublie
Votre WordPress envoie des e-mails en permanence : confirmations de formulaire, notifications de commentaire, réinitialisations de mot de passe. Sans enregistrements SPF et DMARC corrects sur votre domaine, ces messages finissent en spam, ou pire, permettent à un tiers d’envoyer des e-mails en usurpant votre nom de domaine. C’est le seul contrôle de la liste qui ne concerne pas le site lui-même, et c’est pourtant l’un des plus utiles. Le scanner vérifie les enregistrements DNS de votre domaine et vous dit si SPF et DMARC sont présents et cohérents.
Comment scanner votre site en 15 secondes
Rendez-vous sur notre scanner WordPress gratuit, collez l’adresse de votre site et lancez l’analyse. Aucun compte, aucune installation, aucune donnée conservée. Quinze secondes plus tard, vous obtenez :
- un score de santé global sur 100, calculé sur 38 contrôles ;
- le détail de chaque contrôle, réussi ou échoué, expliqué en français clair ;
- les priorités, c’est-à-dire les corrections qui rapportent le plus de points et de sécurité ;
- pour chaque problème, un lien vers le guide de correction pas à pas.
Le rapport se lit en cinq minutes. Les corrections prioritaires se font en général dans l’heure, souvent en quelques clics chez votre hébergeur ou dans votre administration.
Lire votre score : ce que dit vraiment une note sur 100
Le score n’est pas une note d’école, c’est un outil de priorisation. Au-dessus de 90, votre site est bien configuré, gardez le rythme. Entre 70 et 90, quelques points méritent votre attention, souvent des en-têtes manquants ou un cache mal réglé. En dessous de 70, au moins un problème sérieux demande une correction rapide, typiquement un certificat expiré, une énumération d’utilisateurs ouverte ou des fichiers sensibles accessibles.
Un détail compte : le score est relatif à ce qu’un visiteur externe peut voir. Un 98 ne signifie pas que votre site est imprenable, il signifie que sa surface exposée est propre. C’est déjà beaucoup, et c’est exactement ce que les bots évaluent avant de décider d’insister ou de passer au site suivant.
Les cinq problèmes les plus fréquents, et leurs corrections
Sur les sites que nous analysons, cinq problèmes reviennent sans cesse. Les voici, avec leur remède.
- Énumération des utilisateurs ouverte : fermez
/wp-json/wp/v2/usersaux visiteurs anonymes et bloquez la redirection?author=1. - En-têtes de sécurité absents : ajoutez
X-Frame-Options,X-Content-Type-OptionsetReferrer-Policydans la configuration du serveur ou via votre extension de sécurité. - Fichiers sensibles accessibles : supprimez
readme.html, vérifiez qu’aucune sauvegarde.zipou.sqlne traîne à la racine, interdisez le listing des répertoires. - Page trop lourde : compressez les images, activez la compression côté serveur et un cache de pages. Notre comparatif WP Rocket contre LiteSpeed Cache vous aide à choisir.
- SPF ou DMARC manquant : ajoutez les enregistrements DNS correspondants chez votre registrar, cinq minutes suffisent en général.
Pour aller plus loin sur le volet sécurité, notre guide de durcissement WordPress couvre la configuration complète, et la sauvegarde avant mise à jour vous met à l’abri avant toute correction importante.
Ce qu’un scanner ne voit pas, et pourquoi c’est honnête de le dire
Une analyse externe a des limites qu’il faut connaître. Elle ne voit pas l’intérieur de votre serveur : une extension obsolète mais discrète, un mot de passe faible, une base de données mal sauvegardée lui échappent. Elle ne détecte pas non plus un malware déjà en place qui se cacherait des visiteurs. Pour ce volet interne, il faut un audit depuis l’administration, comme le fait notre plugin Ausculte présenté dans l’audit WordPress complet, qui contrôle 15 points de l’intérieur : extensions, permissions, base de données, configuration.
Les deux approches sont complémentaires. Le scanner en ligne vous donne la vision de l’attaquant, gratuitement et en quelques secondes. L’audit interne vous donne la vision de l’administrateur. Utiliser les deux, c’est couvrir l’essentiel de ce qu’un contrôle sérieux doit regarder.
À quelle fréquence scanner votre WordPress
Trois moments justifient un scan : après chaque mise à jour majeure de WordPress ou d’une extension critique, après tout changement d’hébergeur ou de configuration serveur, et à intervalle régulier, une fois par mois étant un bon rythme. Le scan est gratuit et rapide, le réflexe coûte donc moins cher que l’incident qu’il évite. Gardez une trace de vos scores : une note qui chute entre deux contrôles est souvent le premier signe visible d’un changement non voulu.
FAQ sur les scanners WordPress
Un scanner WordPress est-il sans danger pour mon site
Oui. Un scanner externe se contente de lire les pages et les en-têtes publics de votre site, comme le ferait n’importe quel navigateur. Il n’écrit rien, ne teste pas de mot de passe et ne lance aucune charge anormale. Notre outil réalise une quinzaine de requêtes ordinaires, ce qui reste bien en dessous du trafic d’une visite humaine normale.
Faut-il installer quelque chose pour utiliser le scanner
Non. Le scan en ligne fonctionne depuis le navigateur, sans compte, sans extension et sans accès à votre administration. Seul l’audit interne complémentaire, réalisé par un plugin, demande une installation, et il reste facultatif.
Que faire si mon score est mauvais
Commencez par les priorités indiquées dans le rapport, qui sont classées par impact. La plupart des corrections sont simples : supprimer un fichier exposé, ajouter des en-têtes chez votre hébergeur, activer un cache. Rescannez ensuite votre site pour vérifier que chaque point est passé au vert.
Un bon score garantit-il que mon site est inviolable
Non. Un bon score signifie que votre surface exposée est propre, ce qui écarte la grande majorité des attaques automatisées. La sécurité complète repose aussi sur des mots de passe robustes, des mises à jour régulières et des sauvegardes testées. Le scan est la première ligne de contrôle, pas la seule.
Le scanner fonctionne-t-il sur un site qui n’est pas sous WordPress
L’outil détecte d’abord si le site tourne sous WordPress. Sur un autre CMS, les contrôles génériques comme le SSL, les en-têtes, la performance et le SEO restent pertinents, mais les vérifications spécifiques à WordPress ne s’appliquent pas et sont simplement indiquées comme non applicables.
Commentaires (0)
Laisser un commentaire
Les commentaires sont modérés. Questions WordPress, cybersécurité ou dev web bienvenues.