La réponse courte : oui, à deux conditions, un site à jour et des comptes d'administration protégés. Wagtail hérite des protections de Django contre les attaques classiques, publie ses avis de sécurité avec le correctif en même temps, et n'a pas d'écosystème de plugins tiers, la source de 91 % des failles WordPress en 2025. Il publie tout de même des avis : dix en 2026 au 18 septembre, tous réservés à des utilisateurs déjà connectés à l'administration. Les faits ci-dessous ont été vérifiés le 18 septembre 2026.
Ce que Wagtail protège par construction
Wagtail est construit sur Django, un cadre de développement Python utilisé depuis 2005 par des sites à très fort trafic. Django intègre d'origine les protections contre les attaques les plus courantes : injection de code dans les formulaires (XSS), falsification de requêtes (CSRF), injection dans la base de données (SQL), détournement de session. Un site Wagtail en bénéficie sans rien installer, et les correctifs de Django lui-même suivent un calendrier public.
La deuxième protection est un choix d'architecture : sur un site Wagtail sur mesure, seul le code écrit pour votre projet tourne en production. Pas de thème téléchargé, pas d'extensions maintenues par des inconnus. Moins de code, moins de portes.
Les avis de sécurité Wagtail en 2026
Un CMS sérieux n'est pas un CMS sans failles ; c'est un CMS qui les cherche, les corrige et les annonce. Au 18 septembre 2026, le projet a publié dix avis pour l'année (liste officielle) : cinq le 15 juin et cinq le 20 août, huit de gravité modérée, un faible, un élevé. Le seul avis élevé (CVE-2026-54263) concernait une injection dans une page de l'administration et a été corrigé dans les versions 7.0.8, 7.3.3 et 7.4.2 avant la publication de l'avis.
Le point commun des dix : ils exigent un compte dans l'administration du site. Aucun n'est exploitable par un visiteur anonyme. Ils protègent donc surtout un site contre un rédacteur malveillant ou un compte compromis, ce qui ramène à la première condition : des comptes protégés, avec des mots de passe robustes et une double authentification, et des droits limités au strict nécessaire pour chaque rédacteur.
Le code de Wagtail a par ailleurs été audité selon les référentiels OWASP (Top 10 et guide de revue de code) par des auditeurs indépendants mandatés par la DINUM, la direction du numérique de l'État français, qui a fait de Wagtail le socle de ses sites publics (page sécurité du projet).
La comparaison avec WordPress, en chiffres
Le rapport 2026 de Patchstack recense 11 334 nouvelles failles dans l'écosystème WordPress en 2025, en hausse de 42 % : 91 % dans les plugins, 9 % dans les thèmes, six dans le cœur, toutes de faible priorité. 1 966 étaient de gravité haute, et 46 % n'avaient pas de correctif au moment de leur publication. Le cœur de WordPress est bien maintenu ; le risque vient de ce qu'on y ajoute. Un site Wagtail n'a pas cette couche. Le comparatif complet est dans Wagtail vs WordPress.
Les trois conditions d'un site Wagtail sûr
- Une version maintenue. Les correctifs ne sont publiés que pour les versions supportées : la 7.4 LTS jusqu'au 2 novembre 2027, la 7.0 LTS jusqu'au 2 novembre 2026. Un site sur la 6.3 LTS n'est plus corrigé depuis le 1er mai 2026. Voir quelle version choisir.
- Des comptes protégés. Mots de passe robustes, double authentification, droits limités par rôle, comptes supprimés quand quelqu'un quitte l'organisation. C'est là que se jouent les dix avis de 2026.
- Un hébergement tenu. Système à jour, sauvegardes testées, chiffrement HTTPS, en-têtes de sécurité, surveillance. Le CMS ne remplace pas l'hébergeur.
C'est le contrat que nous appliquons aux sites que nous hébergeons : une montée de version à chaque LTS, des comptes revus avec le client, et un hébergement que nous administrons. Si vous voulez savoir où en est votre site, décrivez-le nous.