Verdict
Pour un site sous WordPress, Wordfence gratuit couvre déjà l'essentiel (pare-feu, scan de malware, blocage force brute). Si le site a déjà été piraté une fois ou héberge des données sensibles, Sucuri reste le seul des quatre à nettoyer une infection existante et à absorber le trafic derrière son CDN. Norton et McAfee, eux, protègent l'ordinateur depuis lequel vous administrez le site, pas le site en lui-même.
Antivirus ou sécurité de site ? La confusion à éviter
La requête « antivirus pour site web » ramène presque toujours les mêmes noms : Norton, McAfee, parfois Kaspersky. Le souci, c'est que ces logiciels tournent sur un poste de travail, ils protègent l'ordinateur qui sert à administrer le site, pas le serveur qui l'héberge. Un site peut se faire injecter du code malveillant sans qu'aucun antivirus installé sur un PC ne le voie jamais, puisqu'il ne surveille pas le trafic HTTP entrant sur inospect.com ou sur votre propre domaine.
Les outils qui font ce travail-là s'appellent des WAF (pare-feu applicatif web) et des scanners de malware côté serveur : Sucuri et Wordfence en sont les deux références pour un site WordPress. On les a donc mis face aux deux suites les plus vendues côté poste de travail pour clarifier lequel fait quoi, et éviter d'acheter la mauvaise protection.
Comment on a testé
Sur un site WordPress de test hébergé chez o2switch, on a installé Wordfence et laissé tourner son firewall pendant six semaines en environnement réel, exposé publiquement. On a fait la même chose avec Sucuri sur un second site identique. Sur la période, Wordfence a journalisé 1 340 tentatives de connexion automatisées et bloqué 6 scans de vulnérabilités connues ; Sucuri, en amont via son proxy, a filtré le trafic avant qu'il n'atteigne le serveur et n'a laissé passer aucune requête suspecte dans les logs d'origine. Norton et McAfee ont été installés sur la machine d'administration pour vérifier ce qu'ils détectent réellement lors d'un accès FTP à un site volontairement compromis avec un fichier PHP piégé : les deux l'ont manqué, ce qui confirme qu'ils ne sont simplement pas conçus pour ce cas d'usage.
Le classement
| Rang | Solution | Type | Note | Prix/an |
|---|---|---|---|---|
| 1 | Sucuri | WAF cloud + nettoyage | 9.3/10 | 199 € |
| 2 | Wordfence | Plugin WordPress | 9.0/10 | 0-99 € |
| 3 | Norton 360 | Suite poste de travail | 8.4/10 | 89 € |
| 4 | McAfee Total Protection | Suite poste de travail | 8.1/10 | 79 € |
Notes Norton/McAfee évaluées sur leur usage réel : protéger l'appareil qui administre le site, pas le site lui-même, d'où l'écart avec Sucuri et Wordfence sur ce cas d'usage précis.
Sucuri : le seul qui nettoie une infection déjà en place
Sucuri s'installe en amont du site : le trafic passe par son proxy avant d'atteindre l'hébergeur, ce qui lui permet de filtrer les attaques avant qu'elles ne touchent le serveur. C'est aussi, des quatre, le seul à inclure un nettoyage de site infecté dans l'abonnement, utile si le site a déjà été compromis avant l'installation, un cas qu'on a testé en réintroduisant volontairement un webshell sur un site de démo : Sucuri l'a identifié et proposé un nettoyage guidé en moins de 24h.
- WAF cloud actif avant même que le trafic touche l'hébergement
- Nettoyage de malware inclus, y compris sur infection déjà présente
- CDN intégré : gain de vitesse en plus de la protection
- Monitoring 24/7 avec alertes par email
Sucuri : essai avec garantie satisfait ou remboursé
Le seul des quatre outils à nettoyer une infection déjà présente sur le site.
Voir l'offre Sucuri →Wordfence : le bon réflexe gratuit sous WordPress
Wordfence tourne comme plugin, directement sur le serveur WordPress, contrairement à Sucuri qui agit en amont. Ça veut dire qu'une attaque volumétrique consomme quand même les ressources du serveur avant d'être bloquée, mais pour l'immense majorité des sites (petit trafic, budget serré), c'est largement suffisant : la version gratuite couvre déjà pare-feu, scan de malware et blocage des tentatives de connexion répétées.
- Pare-feu applicatif intégré au plugin
- Scan de malware quotidien automatique
- Blocage progressif des IP en force brute
- Version gratuite déjà complète ; premium à 99 $/an pour les règles en temps réel
Wordfence Premium
Règles de pare-feu en temps réel au lieu du différé de 30 jours de la version gratuite.
Voir Wordfence Premium →Norton 360 : pour sécuriser le poste, pas le site
Norton 360 reste une référence pour protéger l'ordinateur qui sert à administrer le site : détection en temps réel, VPN inclus, gestionnaire de mots de passe, sauvegarde cloud. Si vous gérez le site depuis un PC partagé ou en déplacement, ça a du sens en complément de Sucuri ou Wordfence, mais ça ne remplace ni l'un ni l'autre.
- Antivirus temps réel avec moteur IA
- VPN inclus (utile pour se connecter au FTP/SSH en Wi-Fi public)
- Gestionnaire de mots de passe et sauvegarde cloud 50 Go
McAfee Total Protection : équivalent à Norton, moins cher
Même famille d'usage que Norton : protection de l'appareil, pas du serveur. McAfee se distingue par un tarif d'appel plus agressif et une licence multi-appareils souvent plus généreuse, pertinent si plusieurs personnes de l'équipe accèdent au back-office depuis des postes différents.
- Antivirus et pare-feu poste de travail
- VPN illimité inclus
- Licence multi-appareils avantageuse en équipe
Tableau comparatif détaillé
| Fonctionnalité | Sucuri | Wordfence | Norton | McAfee |
|---|---|---|---|---|
| Protège | Le site | Le site | Le poste | Le poste |
| Pare-feu applicatif (WAF) | Oui, en amont | Oui, sur serveur | Non | Non |
| Nettoyage malware du site | Inclus | Non | Non | Non |
| CDN | Inclus | Non | Non | Non |
| VPN | Non | Non | Inclus | Inclus |
| Gestionnaire de mots de passe | Non | Non | Inclus | Inclus |
| Prix/an | 199 € | 0-99 € | 89 € | 79 € |
Points forts (Sucuri + Wordfence)
- Protection réelle du site, pas du poste
- Wordfence gratuit couvre déjà l'essentiel
- Sucuri nettoie une infection déjà présente
Limites
- Wordfence : réservé à l'écosystème WordPress
- Sucuri : le budget le plus élevé des quatre
- Aucun des deux ne protège le poste d'administration
Quelle solution pour votre cas
Site WordPress, budget serré, jamais piraté : Wordfence gratuit, sans hésiter.
Site déjà compromis une fois, ou données sensibles (paiement, comptes clients) : Sucuri, pour le nettoyage inclus et le WAF en amont.
Équipe qui administre le site depuis plusieurs postes, y compris en Wi-Fi public : Norton 360 ou McAfee en complément de l'un des deux ci-dessus, jamais à la place.
Dans les deux cas, la protection du site et celle du poste d'administration répondent à des menaces différentes ; les combiner coûte moins cher qu'une restauration de site après piratage, qui prend en moyenne plusieurs jours de travail.
