Wordfence, Solid Security ou Sucuri : quelle sécurité choisir
Installer une extension de sécurité rassure, et c’est souvent utile. Mais toutes ne protègent pas au même endroit, et aucune ne compense un site jamais mis à jour. Trois noms reviennent sans cesse : Wordfence, Solid Security (l’ancien iThemes Security) et Sucuri. Pour bien choisir, il faut d’abord comprendre où se place le pare-feu.
Pare-feu applicatif ou pare-feu en amont
Un pare-feu filtre les requêtes malveillantes avant qu’elles n’atteignent ton site. Il peut se trouver à deux endroits.
Le pare-feu applicatif tourne sur ton serveur, dans PHP, juste avant WordPress. C’est le cas de Wordfence. Il connaît bien WordPress et peut bloquer des attaques très précises, mais chaque requête, même bloquée, consomme les ressources de ton hébergement.
Le pare-feu en amont se place avant ton serveur. Pour un service comme Sucuri ou Cloudflare, tu modifies les DNS de ton domaine pour que tout le trafic passe d’abord par leurs serveurs ; d’autres hébergeurs filtrent directement au niveau du serveur. Les attaques sont arrêtées avant d’arriver chez toi, ce qui protège aussi contre les pics de trafic malveillant. En contrepartie, tu dépends d’un service tiers, et il faut empêcher les attaquants de contourner le filtre en visant directement l’adresse IP de ton serveur.
Les deux approches peuvent se combiner, à condition de ne pas multiplier les extensions qui font la même chose.
Le tableau comparatif
| Critère | Wordfence | Solid Security | Sucuri |
|---|---|---|---|
| Type de pare-feu | Applicatif, sur ton serveur | Pas de pare-feu complet : durcissement et blocage d’adresses | En amont (DNS), dans l’offre payante |
| Scan des fichiers | Oui, compare les fichiers aux originaux | Détection des fichiers modifiés | Scan distant, et suivi des fichiers dans l’extension |
| Protection de la connexion | Limitation des tentatives, 2FA | Limitation des tentatives, 2FA, renforcement des mots de passe | Limitation via le pare-feu payant |
| Version gratuite | Complète, règles du pare-feu mises à jour avec un délai | Durcissement et protections de base | Journal d’activité, scan, durcissement |
| Point fort | Visibilité très fine sur les attaques | Réglages de durcissement guidés | Filtrage avant le serveur, aide au nettoyage dans l’offre payante |
| Pour qui | Sites sur un hébergement correct, qui veulent tout voir | Débutants qui veulent appliquer les bonnes pratiques | Sites exposés, attaqués souvent, ou après un piratage |
Les détails des offres changent régulièrement : vérifie les fonctions actuelles sur la page officielle de chaque extension avant de te décider.
Wordfence : le plus complet côté serveur
Wordfence réunit un pare-feu applicatif, un scanner qui compare les fichiers de WordPress, des thèmes et des extensions aux versions officielles, la double authentification et la limitation des tentatives de connexion. Dans sa version gratuite, les nouvelles règles du pare-feu arrivent avec un décalage par rapport à la version payante, qui les reçoit en temps réel.
Pense à activer la protection étendue proposée à l’installation : le pare-feu se charge alors avant WordPress, ce qui le rend plus efficace. Sur un petit hébergement mutualisé, surveille l’effet des scans sur les performances et planifie-les la nuit.
Solid Security : le durcissement guidé
Solid Security, longtemps appelé iThemes Security, mise sur le durcissement : interdiction de l’édition des fichiers depuis l’admin, protection contre les attaques par force brute, double authentification, détection des changements de fichiers, bannissement d’adresses. Ses assistants appliquent des réglages raisonnables en quelques clics. Ce n’est pas un pare-feu au sens strict, mais une bonne boîte à outils pour les gestes de base, qu’on détaille dans notre article pour durcir la sécurité de WordPress.
Sucuri : l’arrêt des attaques avant ton serveur
L’extension gratuite de Sucuri sert surtout à auditer : journal des actions dans l’admin, scan distant, recommandations de durcissement. Le vrai atout de Sucuri est son pare-feu en amont, inclus dans l’offre payante, avec un service de nettoyage en cas d’infection. C’est une option intéressante pour un site déjà ciblé ou qui vient d’être piraté ; dans ce dernier cas, suis d’abord notre guide site WordPress piraté : que faire.
Une seule extension de sécurité à la fois
Cumuler Wordfence et Solid Security, par exemple, crée des conflits : doubles blocages, utilisateurs légitimes refusés, scans qui se gênent. Choisis une extension principale. Si tu ajoutes un pare-feu en amont, désactive les fonctions redondantes de l’extension.
Ce qu’une extension ne remplace pas
Une extension réduit les risques, elle ne fait pas le ménage à ta place. Les causes de piratage les plus courantes restent les mêmes :
- les mises à jour : une extension ou un thème vulnérable non mis à jour est la porte d’entrée classique. Mets à jour régulièrement, en suivant nos précautions avant de mettre à jour WordPress ;
- les mots de passe : uniques, longs, gérés dans un gestionnaire de mots de passe, avec la double authentification pour les comptes administrateurs ;
- les sauvegardes : automatiques, stockées hors du serveur, et testées. Sans elles, un piratage peut coûter tout le site ;
- le ménage : supprime les extensions et thèmes inutilisés, et les comptes qui n’ont plus de raison d’exister ;
- l’hébergement : une version de PHP maintenue et un hébergeur qui isole bien les comptes.
Ces gestes protègent davantage qu’une extension isolée. L’extension arrive en complément, pour bloquer, alerter et te donner de la visibilité.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.