Wordfence : configuration complète pour protéger votre WordPress en 2026 

et article a été rédigé par l’équipe de l’agence web à Montréal Agence Chocolat pour aider les propriétaires de sites WordPress à configurer Wordfence correctement — pas juste l’installer et l’oublier.

Wordfence est le plugin de sécurité WordPress le plus populaire au monde avec plus de 5 millions d’installations actives (WordPress.org, 2026). Et pour cause : il combine un pare-feu applicatif, un scanner de malware, une protection de connexion et un système d’alertes dans une seule interface. Mais installé avec les paramètres par défaut, il ne protège qu’à moitié. Ce guide vous montre comment le configurer de A à Z pour une protection optimale.

Qu’est-ce que Wordfence ?

Wordfence est un plugin de sécurité WordPress développé par Defiant Inc., une entreprise américaine spécialisée dans la cybersécurité. Contrairement à certains services de sécurité qui fonctionnent comme des proxies cloud (ex : Sucuri CDN), Wordfence s’installe directement sur votre serveur et agit de l’intérieur.

Ses trois piliers principaux sont :

Le pare-feu d’application web (WAF) — Il analyse chaque requête entrante avant qu’elle atteigne WordPress et bloque les attaques connues : injections SQL, tentatives d’exploitation de failles de plugins, attaques XSS, et plus encore. La base de règles est mise à jour en temps réel pour les abonnés Premium, et avec un délai de 30 jours pour la version gratuite.

Le scanner de malware— Il analyse les fichiers de votre installation WordPress (core, plugins, thèmes) et les compare aux versions officielles du dépôt WordPress.org. Si un fichier a été modifié ou si du code malveillant est détecté, Wordfence vous alerte immédiatement.

La sécurité de connexion (Login Security) — Il protège la page de connexion WordPress contre les attaques par force brute, limite le nombre de tentatives de connexion, ajoute une authentification à deux facteurs (2FA) et peut bloquer des pays entiers si nécessaire.

En complément, Wordfence offre une surveillance du trafic en temps réel, un système de blocage d’IP, et des alertes par courriel configurable selon votre niveau de tolérance.

Wordfence Free vs Premium : quelles différences ?

La version gratuite de Wordfence est déjà très solide pour un site de petite ou moyenne taille. Voici ce qui change avec la version Premium (99 USD/an par site au moment de la rédaction) :

Ce que la version gratuite inclut

• Pare-feu WAF (règles mises à jour avec 30 jours de délai)
• Scanner de malware (signatures mises à jour avec 30 jours de délai)
• Blocage des IP après tentatives de connexion échouées
• Authentification à deux facteurs (2FA)
• Blocage par pays (basique)
• Monitoring du trafic en temps réel
• Alertes courriel

Ce que Premium ajoute

• Mises à jour des règles de pare-feu en temps réel (au lieu de 30 jours)
• Mises à jour des signatures de malware en temps réel
• Liste de blocage des IP malveillantes connues (en temps réel)
• Vérification de réputation des IP
• Support prioritaire
• Scan des URL dans les commentaires et profils (vérification Spamhaus)

Notre recommandation : Pour la grande majorité des sites WordPress d’entreprises québécoises, la version gratuite suffit si elle est bien configurée. La version Premium vaut l’investissement pour les sites e-commerce, les sites à fort trafic ou les sites qui ont déjà été compromis. Le délai de 30 jours sur les règles gratuites signifie que vous êtes protégé contre les attaques connues, mais pas contre les toutes nouvelles vulnérabilités dès le premier jour.

Installation de Wordfence

L’installation est simple et prend moins de 5 minutes :

1. Dans votre tableau de bord WordPress, allez dans Extensions > Ajouter
2. Recherchez « Wordfence Security »
3. Cliquez sur Installer puis Activer
4. Un assistant de configuration s’affiche — entrez votre adresse courriel pour recevoir les alertes
5. Choisissez si vous voulez démarrer un essai Premium (optionnel — vous pouvez ignorer)

Une fois activé, Wordfence lance automatiquement un premier scan et ajoute un bloc de code dans votre fichier `wp-config.php` pour activer le pare-feu au niveau PHP. C’est ce qu’on appelle le mode « Extended Protection » — vous pouvez l’activer manuellement si Wordfence vous le propose lors de l’installation.

Important : Après l’installation, ne vous arrêtez pas là. Les paramètres par défaut sont conservateurs et ne maximisent pas la protection. La section suivante vous explique comment configurer chaque module.

Configuration recommandée de Wordfence

Le menu Wordfence dans votre tableau de bord WordPress contient plusieurs sections. Voici comment configurer chacune pour une protection optimale.

Firewall — le pare-feu

Allez dans Wordfence > Firewall.

Web Application Firewall Status : Assurez-vous que le statut est « Enabled and Protecting ». Si vous voyez « Learning Mode », c’est que Wordfence est en période d’apprentissage (7 jours par défaut). Une fois la période terminée, changez manuellement en mode « Enabled ».

Optimize the Wordfence Firewall : Cliquez sur ce bouton si disponible. Wordfence va détecter votre configuration serveur (Apache, Nginx, LiteSpeed) et modifier le fichier `.htaccess` ou générer un fichier de configuration adapté pour que le pare-feu se charge avant WordPress — c’est l’Extended Protection mentionnée plus haut. C’est la configuration la plus sécuritaire.

Brute Force Protection : Dans l’onglet « All Options » du Firewall, configurez :

• Lock out after X login failures : 5 tentatives
• Count failures over what time period : 4 heures
• Lock out for : 4 heures (ou plus selon votre tolérance)
• Immediately lock out invalid usernames : Activé
• Immediately lock out invalid passwords for specific usernames : entrez « admin » — si quelqu’un tente de se connecter avec le nom d’utilisateur « admin » (que vous ne devriez pas utiliser), Wordfence bloque instantanément.

Rate Limiting : Configurez les limites de requêtes pour protéger contre les crawlers malveillants et les attaques DDoS légères. Les valeurs recommandées pour un site standard :

• If anyone’s requests exceed : 240 per minute → Throttle it
• If a crawler’s page views exceed : 120 per minute → Throttle it
• If a crawler’s pages not found (404s) exceed : 30 per minute → Block it
• If a human’s pages not found (404s) exceed : 10 per minute → Throttle it

Scan — le scanner de malware

Allez dans Wordfence > Scan.

Cliquez sur Manage Scan pour accéder aux options. Activez les options suivantes si elles ne le sont pas déjà :

• Scan files outside your WordPress installation : Activé (détecte les fichiers malveillants placés hors du dossier WordPress)
• Scan images, binary, and other files as if they were executable : Activé
• Enable HIGH SENSITIVITY scanning : Activé (génère plus de faux positifs mais détecte plus de menaces)
• Check file permissions : Activé
• Scan for publicly accessible configuration, backup, or log files : Activé — ces fichiers exposés peuvent révéler vos identifiants de base de données

Fréquence des scans : Wordfence Free permet de lancer des scans manuellement. Planifiez-vous un rappel mensuel ou installez un plugin de tâches planifiées (WP-Cron doit fonctionner sur votre hébergement). Avec Premium, les scans sont planifiés automatiquement.

Après un scan, Wordfence vous présente une liste de résultats classés par gravité (Critical, High, Medium, Low). Ne paniquez pas devant les résultats « Low » — ce sont souvent des fichiers de cache ou des modifications bénignes. Concentrez-vous sur Critical et High en premier.

Login Security — protection de connexion

Allez dans Wordfence > Login Security.

Two-Factor Authentication (2FA) : C’est l’une des protections les plus importantes. Activez-la pour le rôle Administrateur en priorité. Wordfence utilise une application d’authentification standard (Google Authenticator, Authy, 1Password). L’utilisateur scanne un QR code et entre un code à 6 chiffres à chaque connexion.

reCAPTCHA : Activez le reCAPTCHA v3 sur la page de connexion et sur la page « Mot de passe oublié ». Cela réduit drastiquement les bots automatisés. Vous devez créer des clés API gratuites sur le site de Google reCAPTCHA.

Additional Options :

• Disable WordPress application passwords : Activé — sauf si vous utilisez des intégrations qui en ont besoin
• Prevent users from registering « admin » as their username : Activé
• Participate in the Real-Time Wordfence Security Network : Activé — partage les données d’attaque anonymisées pour améliorer la protection globale

Notifications et alertes

Allez dans Wordfence > All Options > Email Alert Preferences.

Trop d’alertes = alertes ignorées. Configurez judicieusement :

Activez :

• Alert when a WordPress administrator signs in from a new device or location : Activé (connexion suspecte d’un admin)
• Alert when there’s a critical problem with the Wordfence Web Application Firewall : Activé
• Alert on warnings : Activé
• Alert when Wordfence is deactivated : Activé (un pirate désactive souvent le plugin de sécurité en premier)

Désactivez ou limitez :

• Alert when someone is locked out from login : désactivez si vous avez beaucoup de tentatives — vous serez noyé d’alertes
• Alert me with scan results : seulement pour les résultats Critical et High

Limiter le volume d’alertes : L’option « How should Wordfence email alert you? » → « Only send email alerts for entries of the selected severity and above » → choisissez Warning ou Critical selon votre préférence.

Wordfence ne remplace pas les sauvegardes. Consultez notre guide sur la sauvegarde WordPress pour configurer un système de backup fiable en complément.

Wordfence vs Sucuri vs iThemes Security

Le marché des plugins de sécurité WordPress est encombré. Voici une comparaison honnête des trois solutions les plus populaires :

Wordfence

Points forts : Pare-feu intégré au serveur, scanner de malware puissant, 2FA inclus, version gratuite très complète, monitoring temps réel du trafic.
Points faibles : Peut consommer des ressources serveur (CPU/RAM) lors des scans sur un hébergement partagé bas de gamme. L’interface peut sembler complexe pour les débutants.
Idéal pour : La majorité des sites WordPress, petites et moyennes entreprises, blogueurs, sites vitrines.

Sucuri Security (plugin gratuit + service CDN payant)

Points forts : Version CDN/cloud très efficace (les attaques n’atteignent jamais votre serveur), excellent pour les sites sous attaque DDoS, monitoring intégrité des fichiers.
Points faibles : Le plugin gratuit est limité (pas de pare-feu complet sans abonnement CDN ~199 USD/an). Le pare-feu Sucuri nécessite de pointer vos DNS vers leurs serveurs.
Idéal pour : Les sites à fort trafic, les boutiques en ligne, les sites qui ont déjà subi des attaques.

iThemes Security (maintenant Solid Security)

Points forts : Interface conviviale, bonne gestion des permissions de fichiers, 2FA, détection des modifications de fichiers.
Points faibles : Pas de pare-feu WAF natif aussi robuste que Wordfence, scanner de malware moins puissant. La version Pro est nécessaire pour plusieurs fonctionnalités avancées.
Idéal pour : Les débutants qui veulent une interface simplifiée, les petits sites.

Notre recommandation : Pour un site WordPress standard au Québec, Wordfence gratuit bien configuré offre le meilleur rapport protection/coût. Si votre site génère des revenus significatifs ou a déjà été compromis, envisagez Wordfence Premium ou Sucuri CDN.

Note importante : N’installez jamais deux plugins de sécurité WAF simultanément (ex : Wordfence + iThemes Security). Les conflits peuvent bloquer votre site ou créer des failles de sécurité en raison d’incompatibilités entre les règles de chaque plugin.

L’impact de Wordfence sur les performances

C’est la principale crainte des propriétaires de sites : Wordfence va-t-il ralentir mon site ?

La réponse honnête : oui, légèrement — et c’est acceptable si votre hébergement est correct.

Le pare-feu WAF ajoute une légère latence à chaque requête (quelques millisecondes) parce qu’il analyse le trafic avant de le passer à WordPress. Le scanner de malware, lui, peut temporairement augmenter l’utilisation CPU lors de son exécution — c’est pourquoi il est recommandé de planifier les scans en dehors des heures de pointe.

Pour minimiser l’impact sur les performances :

1. Activez le mode Extended Protection (pare-feu au niveau du serveur plutôt qu’au niveau PHP) — c’est plus efficace et légèrement plus rapide
2. Planifiez les scans la nuit ou tôt le matin
3. Réduisez les alertes par courriel (chaque envoi consomme des ressources)
4. Utilisez un hébergement de qualité — sur un serveur LiteSpeed ou sur un hébergement managed WordPress, l’impact de Wordfence est quasi imperceptible

Si votre site est déjà lent, Wordfence n’est probablement pas le problème principal. Consultez notre article sur les causes d’un WordPress lent pour un diagnostic complet.

Pour aller plus loin sur la sécurité WordPress au-delà de Wordfence, notre guide sécurité WordPress couvre les 10 mesures essentielles à mettre en place.