Aller au contenu 
Un site WordPress vieillit, même quand personne n’y touche
Le problème n’est presque jamais WordPress lui-même
WordPress en lui-même est rarement en cause. En 2025, Patchstack a recensé 11 334 nouvelles vulnérabilités dans l’écosystème WordPress, soit une hausse de 42 % par rapport à 2024 (Patchstack, State of WordPress Security in 2026, 2026). Sur ce total, 91 % provenaient de plugins. Le coeur de WordPress, lui, n’a enregistré que 6 vulnérabilités sur toute l’année.
Chaque plugin est un logiciel écrit par quelqu’un d’autre. Il évolue à son propre rythme, parfois bien maintenu, parfois abandonné. Quand un plugin n’est plus mis à jour, ses failles restent ouvertes. Patchstack vend une solution de sécurité WordPress, ce qui en fait une source intéressée, mais c’est aussi la source la plus complète et la plus rigoureuse disponible sur ce sujet.
Le moment où ça bascule
Le vrai problème, c’est la fenêtre entre la découverte d’une faille et la publication d’un correctif. Selon le même rapport Patchstack, 46 % des vulnérabilités recensées en 2025 n’avaient aucun patch disponible au moment de leur divulgation publique (Patchstack, State of WordPress Security in 2026, 2026).
Concrètement : la faille est connue, publiée, accessible à quiconque cherche. Mais le correctif n’existe pas encore. Pendant ce temps, votre site tourne avec la version vulnérable. Et les attaques, elles, sont automatisées.
Les quatre conséquences concrètes, du côté métier
Le piratage silencieux
Les attaques ne ciblent pas votre réputation, votre chiffre d’affaires ou la taille de votre entreprise. Elles ciblent des versions de plugins connues pour être vulnérables. Des scripts automatisés parcourent le web en permanence, identifient les sites qui tournent sur ces versions, et tentent d’y entrer. Un site vitrine de PME est aussi exposé qu’un grand portail si ses composants sont obsolètes.
La panne au mauvais moment
Un site qui tombe un lundi matin, le jour où un prospect clique sur votre offre, ou pendant une campagne que vous avez payée, c’est une occasion perdue. Pas de page d’erreur élégante, pas de message d’explication : juste un écran blanc ou un message d’erreur générique.
Un devis envoyé la veille, une visite client prévue le lendemain : la panne ne prévient pas.
La perte de données sans sauvegarde
Quand un site est compromis ou qu’une mise à jour tourne mal, la question qui suit immédiatement est : « Quelle est la dernière sauvegarde ? » Si la réponse est « il y a six mois » ou « je ne sais pas », la reconstruction repart de zéro. Et reconstruire un site de zéro coûte bien plus cher que de le maintenir, comme vous pouvez le voir en détail dans l’article sur combien coûte un site internet en Suisse.
Une sauvegarde récente, stockée hors du serveur principal, permet de restaurer le site à son état précédent.
L’obligation nLPD si des données de clients sont exposées
Si votre site collecte des données personnelles, que ce soit via un formulaire de contact, une boutique en ligne ou un espace client, vous êtes soumis à la Loi fédérale sur la protection des données (LPD).
L’art. 24 LPD crée une obligation d’annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) dès qu’une violation de la sécurité des données est susceptible d’entraîner un risque élevé pour les personnes concernées. Cette obligation incombe au responsable du traitement, c’est-à-dire au patron, pas au prestataire web.
Le 33e rapport d’activités du PFPDT, publié le 30 juin 2026 et couvrant l’exercice 2025/2026, fait état de plus de 2 000 annonces potentielles liées à la protection des données reçues par l’autorité (PFPDT, 33e rapport d’activités, 2026). Les notifications augmentent. L’obligation existe. Elle vous concerne si vous gérez des données de clients.
Ce que j’ai vu en relevant 271 sites de PME romandes
En août 2026, j’ai relevé la présence en ligne de 271 entreprises du bois et du sol de Vaud, Fribourg et du Valais romand. Mon script a signalé un lot de sites problématiques. Je les ai tous ouverts à la main avant d’en conclure quoi que ce soit, parce qu’un script se trompe.
Dix affichaient réellement « Non sécurisé » dans le navigateur. Un autre mettait trente secondes à s’afficher. 24 sur 271 avaient un site qui ne s’affichait pas correctement sur mobile. Aucune de ces entreprises ne le savait. Et leur note Google moyenne est de 4,73 sur 5 : ce ne sont pas de mauvais artisans, ce sont des sites laissés seuls.
Un artisan qui pose des parquets toute la semaine n’a pas la tête dans son tableau de bord WordPress le vendredi soir.
Si vous vous demandez si un prestataire indépendant ou une agence est mieux placé pour vous accompagner, l’article agence web ou indépendant, comment choisir répond à cette question point par point.
Ce que j’ai trouvé à l’intérieur d’un site laissé seul
Fin 2025, plusieurs sites WordPress de mes clients ont été touchés par une même vague d’attaques. Quelqu’un était entré dans WordPress et y avait déposé ses propres fichiers. Je ne dirai pas de quels sites il s’agit, mais l’un d’eux résume bien le problème.
Ce client avait mis la maintenance de côté. En visitant son site, on ne voyait rien d’anormal : même page d’accueil, mêmes textes. Mais le pirate y avait greffé près de 19 000 pages cachées, qui renvoyaient vers sa propre boutique en ligne. Google les indexait au nom de l’entreprise. Le référencement que ce client avait construit pendant des années servait à faire vendre quelqu’un d’autre, et ses propres visites s’effondraient.
Le nettoyage s’est fait sur décembre et janvier :
- une vingtaine de fichiers corrompus identifiés et remplacés ;
- les redirections frauduleuses supprimées ;
- 46 adresses frauduleuses retirées une par une de l’index Google ;
- puis plusieurs semaines d’attente, le temps que Google oublie les pages restantes.
Une fois le site nettoyé, mis à jour et accéléré (le temps d’affichage est passé de 7 secondes à 2), il est apparu environ 70 % plus souvent dans les résultats Google et ses visites ont été multipliées par cinq. Il n’avait pas besoin d’être refait. Il avait besoin que quelqu’un s’en occupe.
Et les attaques ne se sont pas arrêtées. Sur une seule semaine de fin mars 2026, le pare-feu de ce même site a bloqué environ 1 100 tentatives d’intrusion, presque toutes venant de robots automatisés à l’étranger. Personne ne les voit passer, et c’est bien le problème.
Ce qu’une maintenance couvre réellement
-
- Les mises à jour : core WordPress, thème, plugins, dans un ordre qui évite les conflits.
-
- Les sauvegardes hors site : une copie récente, stockée ailleurs que sur votre serveur, disponible pour restauration.
-
- La surveillance : alertes en cas de panne, de changement suspect ou de dégradation des performances.
-
- Le pare-feu applicatif : filtrage des requêtes malveillantes avant qu’elles atteignent votre site.
-
- La restauration en cas de problème : si une mise à jour casse quelque chose, je reviens à l’état précédent.
Ce qu’une maintenance ne garantit pas : qu’il ne se passera jamais rien. Aucune prestation honnête ne peut promettre ça. Ce qu’elle fait, c’est réduire la surface exposée et s’assurer que vous pouvez revenir en arrière si quelque chose arrive.
Pour voir ce que cela représente concrètement, vous pouvez voir mes forfaits de maintenance.
Par où commencer si votre site n’a jamais été maintenu
Trois choses à vérifier vous-même en dix minutes, sans aucune compétence technique :
-
- Le cadenas dans la barre d’adresse. Ouvrez votre site dans un navigateur. Si vous voyez « Non sécurisé » à la place du cadenas, votre certificat SSL est expiré ou absent. C’est visible par tous vos visiteurs.
-
- La date de la dernière sauvegarde. Connectez-vous à votre hébergeur ou à votre tableau de bord WordPress. Cherchez la section « Sauvegardes ». Si vous ne trouvez rien, ou si la date remonte à plusieurs mois, vous n’avez pas de filet de sécurité.
-
- Le nombre de plugins installés. Dans WordPress, allez dans Extensions. Comptez ceux qui affichent une mise à jour disponible. Si vous en avez cinq ou plus en attente, votre site accumule des failles connues.
Si l’un de ces trois points vous inquiète, c’est le bon moment pour agir. Vous pouvez consulter ce que comprend le forfait Partenaire Digital pour voir si cela correspond à votre situation.
Questions fréquentes
À quelle fréquence faut-il mettre à jour un site WordPress ?
Les mises à jour WordPress, qu’il s’agisse du coeur, du thème ou des plugins, paraissent plusieurs fois par mois. Un contrôle hebdomadaire est le minimum raisonnable. Laisser un site sans mise à jour pendant plusieurs mois, c’est l’exposer à des vulnérabilités publiquement connues, documentées, et activement exploitées.
Mon site peut-il être visé même s’il est petit et peu connu ?
Oui. Les attaques automatisées ne ciblent pas la notoriété d’un site. Elles ciblent des versions de composants connues pour être vulnérables. Un site vitrine de PME est aussi exposé qu’un grand portail si ses plugins sont obsolètes. La taille ne protège pas.
Que dit la loi suisse si des données de mes clients sont exposées ?
L’art. 24 LPD crée une obligation d’annonce au PFPDT lorsqu’une violation de la sécurité des données est susceptible d’entraîner un risque élevé pour les personnes concernées. L’annonce doit être faite dans les meilleurs délais. Cette obligation incombe au responsable du traitement, c’est-à-dire à vous en tant que patron, et non à votre prestataire web.
Que se passe-t-il si mon site tombe un vendredi soir ?
Sans contrat de maintenance, vous dépendez de la disponibilité de votre prestataire. je facture l’intervention 82.50 CHF/h, sans priorité garantie. Avec le forfait Partenaire Digital à 299 CHF/mois, la restauration est incluse et le support est traité en priorité dans les 24 heures ouvrables.
Puis-je m’en occuper moi-même ?
Techniquement, oui. WordPress permet de lancer les mises à jour en un clic. Le risque, c’est de ne pas savoir quoi faire si une mise à jour casse quelque chose, ou de ne pas avoir de sauvegarde récente pour revenir en arrière. La maintenance, ce n’est pas que des mises à jour : c’est aussi les sauvegardes, la surveillance de la sécurité et les contrôles de performance.
