Cloudflare et WordPress : Configurer le WAF et la Protection DDoS en 2026

WordPress sous attaque : les chiffres alarmants de 2026

Avec 43 % des sites web mondiaux tournant sous WordPress, la plateforme est de loin la cible préférée des cybercriminels. Selon le rapport Patchstack 2025, 74 % des vulnérabilités WordPress sont exploitables sans authentification, ce qui signifie que n’importe quel bot peut tenter de compromettre votre site sans même avoir de compte utilisateur.

De son côté, Wordfence rapporte que ses systèmes bloquent collectivement plus de 90 000 attaques par minute sur les sites WordPress dans le monde. Face à cette réalité, mettre un réseau de protection en amont de votre serveur n’est plus un luxe — c’est une nécessité.

C’est là qu’intervient Cloudflare : en se positionnant entre Internet et votre WordPress, il absorbe et filtre le trafic malveillant avant qu’il n’atteigne votre hébergeur. Dans ce guide, nous allons voir comment configurer Cloudflare de A à Z pour maximiser la sécurité de votre site WordPress en 2026.

Pourquoi Cloudflare est incontournable pour WordPress

Cloudflare n’est pas simplement un CDN : c’est une plateforme de sécurité complète. Voici ce qu’il apporte concrètement à WordPress :

• WAF (Web Application Firewall) : bloque les attaques connues (SQLi, XSS, CSRF, RFI…) grâce à des règles constamment mises à jour
• Protection DDoS : Cloudflare absorbe des attaques volumétriques de plusieurs térabits par seconde grâce à son réseau de 300+ datacenters
• Bot Management : distingue les bons bots (Googlebot) des bots malveillants et bloque ces derniers
• Rate Limiting : limite le nombre de requêtes par IP pour bloquer les attaques brute force sur wp-login.php
• SSL/TLS automatique : force le HTTPS sur l’ensemble de votre site
• Cache CDN : accélère votre site tout en réduisant la charge sur votre serveur

Selon Cloudflare, son réseau bloque en moyenne 165 milliards de menaces cybernétiques par jour pour l’ensemble de ses clients. C’est l’équivalent d’un bouclier permanent actif 24h/24.

Configuration étape par étape de Cloudflare avec WordPress

1. Ajouter votre site WordPress sur Cloudflare

1. Créez un compte sur cloudflare.com (plan gratuit suffisant pour démarrer)
2. Cliquez sur « Add a site » et entrez votre nom de domaine
3. Cloudflare scanne automatiquement vos enregistrements DNS existants
4. Vérifiez les enregistrements A et CNAME — assurez-vous que le nuage orange (proxied) est activé pour votre domaine principal
5. Modifiez les serveurs DNS chez votre registrar en remplaçant ceux de votre hébergeur par ceux de Cloudflare (ex : aria.ns.cloudflare.com)
6. Attendez la propagation DNS (quelques minutes à 24h)

⚠️ Important : Si vous utilisez un plugin de cache WordPress (WP Rocket, W3 Total Cache), activez le mode de compatibilité Cloudflare dans ses paramètres.

2. Configurer le WAF (Web Application Firewall)

Le WAF Cloudflare est disponible dès le plan gratuit avec des règles de base, et devient plus puissant avec les plans payants (Pro et Business). Pour WordPress, rendez-vous dans Security → WAF et activez les règles managées :

• Activez le Cloudflare Managed Ruleset (couvre SQLi, XSS, RFI)
• Activez le Cloudflare OWASP Core Ruleset (top 10 OWASP)
• Pour les plans Pro+, activez le WordPress-specific ruleset qui cible spécifiquement les vecteurs d’attaque WordPress

3. Activer et paramétrer la protection DDoS

Dans Security → DDoS, vous pouvez ajuster la sensibilité de la détection :

• Sensitivity : High pour les petits sites avec peu de trafic légitime élevé
• Sensitivity : Medium pour les sites à fort trafic (e-commerce, médias)
• Activez le HTTP DDoS Attack Protection en mode Block (et non seulement Log)

4. Créer des règles de sécurité personnalisées pour WordPress

Dans Security → WAF → Custom Rules, créez ces règles essentielles :

Règle 1 — Protéger wp-login.php :

(http.request.uri.path contains "/wp-login.php") and (not ip.src in {VOTRE_IP_ADMIN})
Action : Challenge (Managed Challenge)

Règle 2 — Bloquer les scanners de vulnérabilités :

(http.user_agent contains "sqlmap") or (http.user_agent contains "nikto") or (http.user_agent contains "WPScan")
Action : Block

Règle 3 — Protéger xmlrpc.php :

(http.request.uri.path contains "/xmlrpc.php")
Action : Block

Cette dernière règle complète parfaitement la désactivation de XML-RPC côté WordPress que nous recommandons en premier lieu.

5. Configurer le Rate Limiting

Le rate limiting protège contre les attaques brute force sur votre page de connexion. Dans Security → WAF → Rate Limiting Rules :

• URL : /wp-login.php
• Méthode : POST
• Seuil : 5 requêtes en 60 secondes
• Action : Block pendant 10 minutes

Intégrer Cloudflare avec vos plugins de sécurité WordPress

Cloudflare et les plugins de sécurité WordPress comme Wordfence ou Sucuri sont complémentaires, pas concurrents. Cloudflare filtre en amont au niveau réseau, tandis que Wordfence protège au niveau applicatif (fichiers, base de données, code PHP).

Cependant, quelques ajustements sont nécessaires :

• Restaurer les vraies IP : Cloudflare masque les IPs réelles des visiteurs. Installez le plugin Cloudflare officiel ou configurez mod_remoteip côté serveur pour que WordPress voit les vraies IPs (indispensable pour que Wordfence bloque les bonnes adresses)
• Cache Cloudflare + WP Rocket : Activez l’option « Purger le cache Cloudflare » dans WP Rocket pour éviter les conflicts lors des mises à jour
• Désactiver le SSL strict si votre cert serveur est auto-signé : En mode Full (strict) dans Cloudflare, votre certificat serveur doit être valide. Utilisez Let’s Encrypt sur votre hébergeur

Pensez également à vérifier vos en-têtes de sécurité HTTP — Cloudflare peut les injecter directement via des règles de transformation, sans modifier votre WordPress.

Mode « I’m Under Attack » : votre bouton d’urgence

En cas d’attaque DDoS active, Cloudflare propose le mode « Under Attack » accessible depuis le tableau de bord principal (Overview → Quick Actions). Ce mode présente un challenge JavaScript à chaque visiteur pendant 5 secondes, éliminant 99% du trafic de bots et d’attaque.

Activez-le en cas :

• De montée soudaine du trafic inexpliquée
• D’indisponibilité de votre hébergeur due à une surcharge
• D’attaque brute force massive sur wp-login.php

Ce mode impacte légèrement l’expérience utilisateur (délai de 5s) — à n’utiliser donc qu’en situation d’urgence, puis à repasser en mode normal.

FAQ — Cloudflare et WordPress

Cloudflare ralentit-il WordPress ?

Non, au contraire. Cloudflare accélère la majorité des sites WordPress grâce à son CDN mondial : les ressources statiques (images, CSS, JS) sont servies depuis le datacenter le plus proche du visiteur. Des études montrent en moyenne 30 à 50 % d’amélioration du temps de chargement pour les visiteurs distants du serveur d’origine.

Cloudflare gratuit suffit-il pour sécuriser WordPress ?

Le plan gratuit offre une protection solide : protection DDoS de base, WAF avec règles essentielles, SSL, rate limiting limité. Il est largement suffisant pour un blog ou site vitrine. Pour un site e-commerce ou à fort trafic, le plan Pro (20$/mois) ajoute le ruleset WordPress spécifique et des règles WAF avancées.

Cloudflare remplace-t-il Wordfence ou Sucuri ?

Non. Cloudflare protège la couche réseau et HTTP, Wordfence/Sucuri protègent la couche applicatif WordPress (fichiers infectés, backdoors, intégrité du code). Les deux niveaux sont complémentaires. Pour une protection maximale, utilisez les deux — comme l’explique notre checklist sécurité WordPress 2026.

Comment gérer la mise en cache Cloudflare avec WordPress ?

Par défaut, Cloudflare ne met en cache que les ressources statiques sur WordPress (images, CSS, JS) — pas les pages HTML dynamiques. Si vous utilisez un plugin de cache full-page (WP Rocket, LiteSpeed Cache), assurez-vous d’activer l’intégration Cloudflare dans le plugin pour purger les deux caches simultanément lors des modifications.

Conclusion : Cloudflare, la première ligne de défense de votre WordPress

Cloudflare est aujourd’hui l’une des solutions les plus efficaces et accessibles pour sécuriser un site WordPress. Gratuit dans sa version de base, il offre une protection réseau que votre hébergeur seul ne peut pas garantir — comme le prouve une étude récente montrant que seulement 26 % des attaques sont bloquées par les hébergeurs (Patchstack, 2026).

En combinant Cloudflare (protection réseau) avec un plugin de sécurité WordPress dédié, des règles anti-bots et un audit de sécurité régulier, vous construisez une défense en profondeur qui réduit drastiquement votre surface d’attaque.

Vous souhaitez une configuration Cloudflare sur-mesure pour votre WordPress ou un audit de sécurité complet ? Contactez notre équipe SecuriteWP →