Scanner les failles WordPress : 6 outils pour vérifier la sécurité d’un site
Scanner les failles d’un site WordPress permet d’identifier des vulnérabilités connues, des composants obsolètes, du code suspect ou certains signes de compromission. Mais tous les outils ne recherchent pas la même chose : un scanner de vulnérabilités, un scanner de malware et un contrôle externe n’ont ni le même périmètre ni les mêmes limites.
Pour un site professionnel, le plus efficace est généralement de combiner plusieurs regards : la base de vulnérabilités WordPress, le scan externe, l’analyse des fichiers et la surveillance du serveur. Un seul voyant vert ne suffit pas à conclure qu’un site est sain.
À retenir
WPScan et Patchstack sont particulièrement utiles pour les vulnérabilités WordPress connues ; Sucuri SiteCheck et HackerTarget apportent un regard externe ; Wordfence et Jetpack Protect analysent le site depuis WordPress. Aucun de ces outils ne remplace l’analyse des logs, des fichiers, des comptes et de l’environnement serveur en cas de suspicion réelle de piratage.
Scanner une vulnérabilité, du malware ou un site compromis : quelle différence ?
| Type de contrôle | Ce qu’il cherche | Limite principale |
|---|---|---|
| Scan de vulnérabilités | Versions de WordPress, plugins ou thèmes avec failles connues | Ne prouve pas qu’un site est ou non compromis |
| Scan de malware | Code malveillant, backdoors, redirections, signatures connues | Peut manquer un malware inconnu ou dissimulé |
| Scan externe | Ce qu’un outil voit depuis Internet | Accès limité aux fichiers et à la base de données |
| Analyse serveur | Logs, fichiers modifiés, processus, comptes et accès | Nécessite un accès technique et de l’interprétation |
WPScan : la référence pour les vulnérabilités WordPress connues
WPScan est spécialisé dans la sécurité WordPress. Il maintient une base de vulnérabilités couvrant le cœur WordPress, les thèmes et les plugins et propose un scanner en ligne, une API ainsi qu’un outil en ligne de commande.
- Identifier des versions WordPress vulnérables.
- Repérer des plugins et thèmes concernés par des failles connues.
- Consulter les identifiants et niveaux de risque associés.
- Automatiser le contrôle via CLI ou API selon les usages.
C’est souvent notre premier choix lorsque la question est simplement : « Parmi les composants détectés sur ce WordPress, lesquels sont associés à une vulnérabilité connue ? ». Accéder à WPScan.
Patchstack : suivre et prioriser les vulnérabilités des extensions
Patchstack maintient une base de vulnérabilités WordPress très active. Elle permet de rechercher un plugin ou un thème précis, de consulter le niveau de risque et d’identifier les vulnérabilités déjà exploitées ou pour lesquelles une mitigation est disponible.
Patchstack devient particulièrement intéressant lorsqu’il faut surveiller un parc de sites ou prioriser les correctifs : toutes les vulnérabilités ne présentent pas le même niveau d’urgence. Consulter la base Patchstack.
Sucuri SiteCheck : un premier scan externe rapide
Sucuri SiteCheck analyse le site depuis l’extérieur, comme le ferait un visiteur. Le service recherche notamment du malware visible, des redirections malveillantes, du code suspect, l’état de certaines listes de blocage et des composants détectés comme obsolètes.
Son avantage : aucune installation n’est nécessaire. Sa limite est tout aussi importante : Sucuri précise qu’un scanner distant ne voit que ce qui est accessible au niveau du navigateur et ne peut pas garantir l’absence de malware côté serveur. Lancer Sucuri SiteCheck.
Wordfence : scanner les fichiers directement depuis WordPress
Wordfence fonctionne directement dans WordPress. Son scanner peut analyser les fichiers du cœur, des thèmes et des plugins, rechercher du code malveillant, des backdoors, des fichiers inconnus, des URL suspectes et des composants vulnérables ou abandonnés.
Cette profondeur est utile lorsqu’un scan externe ne suffit pas. En contrepartie, Wordfence est lui-même un plugin, consomme des ressources et ajoute une brique supplémentaire à maintenir. Nous ne l’installons donc pas automatiquement sur tous les projets. Voir le fonctionnement du scanner Wordfence.
Jetpack Protect : une surveillance simple des vulnérabilités
Jetpack Protect est une extension dédiée au scan de sécurité et de vulnérabilités. Elle s’appuie sur la base WPScan et effectue des scans automatisés des composants WordPress.
Cette solution peut convenir lorsque l’on cherche une surveillance simple et directement accessible dans le back-office. Là encore, il faut arbitrer entre la valeur du service et notre principe général : éviter d’ajouter une extension lorsqu’une protection équivalente est déjà fournie par l’hébergement, la supervision ou les outils d’agence. Voir Jetpack Protect.
HackerTarget : voir WordPress comme un scanner extérieur
HackerTarget propose un scanner WordPress externe avec plusieurs niveaux d’analyse. Le contrôle passif examine principalement les pages et le HTML visibles ; les scans plus avancés peuvent rechercher des plugins, thèmes et configurations en testant davantage de chemins accessibles publiquement.
Il est utile pour compléter l’analyse interne avec le point de vue d’un outil situé à l’extérieur de l’infrastructure. Voir le WordPress Security Scan de HackerTarget.
Quel outil choisir ?
| Outil | Idéal pour | Installation WordPress | Limite |
|---|---|---|---|
| WPScan | Vulnérabilités WordPress, plugins et thèmes | Non nécessaire | Ne prouve pas l’absence de compromission |
| Patchstack | Surveillance et priorisation des vulnérabilités | Selon l’usage | Principalement centré sur les vulnérabilités connues |
| Sucuri SiteCheck | Premier contrôle externe, malware visible, réputation | Non | Ne voit pas tout côté serveur |
| Wordfence | Analyse des fichiers et protection dans WordPress | Oui | Ajoute une extension et consomme des ressources |
| Jetpack Protect | Surveillance simple des vulnérabilités | Oui | Moins pertinent si le contrôle existe déjà ailleurs |
| HackerTarget | Contrôle externe complémentaire | Non | Visibilité limitée aux éléments exposés |
Notre combinaison recommandée pour un site WordPress professionnel
01 — Contrôler les vulnérabilités connues avec WPScan ou Patchstack.
02 — Faire un scan externe avec Sucuri SiteCheck ou HackerTarget.
03 — Vérifier les versions réelles de WordPress, des plugins, du thème, de PHP et de la base de données.
04 — En cas de doute, analyser les fichiers, logs, comptes administrateurs et modifications récentes.
05 — Corriger ou désactiver les composants vulnérables avant de considérer le scan comme terminé.
06 — Refaire le contrôle après correction.
Un scan de sécurité est une photographie à un instant donné, pas un certificat de bonne santé définitif. Entre deux scans, une nouvelle vulnérabilité peut être publiée, un compte peut être compromis ou une extension peut devenir obsolète.
Pourquoi nous évitons d’empiler les plugins de sécurité
Une extension de sécurité peut être utile, mais elle reste une extension supplémentaire : elle doit être mise à jour, surveillée et compatible avec le reste du site. Installer Wordfence, un second scanner, un plugin de blocage et plusieurs outils de monitoring directement dans WordPress peut finir par ajouter plus de complexité qu’il n’en supprime.
Chez ImagesCréations, nous privilégions d’abord les protections disponibles au niveau de l’hébergement, la maintenance du socle, la réduction du nombre de plugins et les contrôles externes. Nous ajoutons un plugin de sécurité lorsqu’il répond à un besoin identifié. Cette doctrine est détaillée dans nos articles sur la sécurité WordPress et les plugins WordPress essentiels.
Un scan peut-il confirmer qu’un site n’a pas été piraté ?
Non. Même un scan propre ne garantit pas l’absence de compromission. Un attaquant peut masquer une porte dérobée, utiliser un compte légitime volé ou modifier un composant que le scanner ne sait pas identifier.
- Comparer les fichiers récemment modifiés.
- Analyser les logs serveur et les connexions administrateurs.
- Vérifier les comptes WordPress et clés API.
- Contrôler les tâches planifiées et processus inhabituels.
- Examiner les redirections, contenus injectés et anomalies de base de données.
Si le site présente déjà des signes de compromission, notre guide Piratage d’un site web : comment l’éviter et que faire en cas de faille ? détaille la procédure à suivre.
FAQ sur les scanners de sécurité WordPress
Quel est le meilleur scanner WordPress gratuit ?
WPScan est très pertinent pour les vulnérabilités connues ; Sucuri SiteCheck apporte un bon contrôle externe. Les deux répondent à des besoins différents et peuvent être complémentaires.
Puis-je scanner un site sans installer de plugin ?
Oui. WPScan, Sucuri SiteCheck, Patchstack et HackerTarget peuvent fournir des informations sans ajouter nécessairement une extension au WordPress concerné.
Un scanner peut-il supprimer un malware ?
Certains produits proposent aussi du nettoyage, mais le scan et la remédiation sont deux opérations différentes. Il faut surtout identifier le point d’entrée avant de considérer l’incident comme résolu.
À quelle fréquence scanner WordPress ?
Le contrôle des vulnérabilités devrait être continu ou très régulier sur un site professionnel. Un scan ponctuel est surtout utile avant une reprise de maintenance, après une alerte ou lorsqu’une compromission est suspectée.
Un scan vous signale une faille ou vous avez un doute sur votre WordPress ?
ImagesCréations peut auditer les composants, les accès, les fichiers et l’environnement d’hébergement avant de définir les corrections et le niveau de maintenance nécessaire.
Article publié et révisé le 4 octobre 2026 par Olivier Robé, ImagesCréations.