La sécurité d’un site WordPress n’est pas un sujet réservé aux grandes entreprises : un site d’artisan mal entretenu est une cible aussi facile qu’un site e-commerce, parce que les robots qui scannent le web ne regardent pas qui vous êtes, ils cherchent une porte mal fermée. Ce n’est pas pour vous faire peur — c’est pour vous expliquer, sans jargon, ce qui arrive concrètement quand un site WordPress n’est pas maintenu, et pourquoi ça finit toujours par coûter plus cher que l’entretien qu’on a évité.
Pourquoi un site d’artisan intéresse les pirates
Je vais être honnête avec vous : personne ne pirate votre site parce que vous êtes plombier à Landerneau ou électricien à Brest. Les attaques sont automatisées. Des robots parcourent des millions de sites WordPress en continu, à la recherche d’une faille connue — une extension non mise à jour, un thème abandonné, un mot de passe faible. Votre site n’est pas visé personnellement, il est repéré au hasard parmi des milliers d’autres qui tournent sur la même version de plugin vulnérable.
Ce qui rend un site d’artisan particulièrement exposé, c’est justement qu’il est souvent laissé de côté une fois mis en ligne. Le site a été livré, il fonctionne, personne n’y touche plus — et c’est exactement ce profil que les robots recherchent : un site actif, indexé sur Google, mais dont personne ne surveille les mises à jour. Un site abandonné techniquement est une ressource gratuite pour un pirate : de la puissance serveur, un nom de domaine avec une réputation propre, et une audience Google déjà construite.
Comment un site WordPress se fait réellement pirater
Les extensions, source numéro un des failles
Dans la grande majorité des cas de piratage WordPress documentés, la faille vient d’une extension (plugin) non mise à jour, loin devant le thème ou le cœur de WordPress lui-même. WordPress publie des correctifs de sécurité en continu, mais un correctif ne protège que les sites qui l’installent. Un plugin de formulaire de contact, de galerie photo ou de cache installé en 2023 et jamais mis à jour depuis devient, deux ou trois ans plus tard, une porte d’entrée documentée publiquement — les failles corrigées sont répertoriées dans des bases de données que les pirates consultent aussi.
C’est un des points que je détaille dans un article sur les plugins WordPress qui plombent le SEO : accumuler des extensions non maintenues n’est pas seulement un problème de sécurité, c’est aussi un frein pour votre référencement.
Mots de passe et accès mal protégés
L’autre porte d’entrée classique, c’est l’identifiant “admin” avec un mot de passe simple, jamais changé depuis la création du site. Les robots testent des combinaisons par milliers à la minute (attaque dite « brute force »). Un mot de passe de douze caractères avec majuscules, chiffres et symboles, couplé à une authentification à deux facteurs, ferme cette porte presque totalement — et ça prend cinq minutes à mettre en place.
Ce qui arrive concrètement quand un site est piraté
C’est là que la plupart des artisans sont surpris : un site piraté ne devient presque jamais une page noire avec un message de rançon. Le scénario le plus fréquent est beaucoup plus discret, et c’est ce qui le rend dangereux — le site continue à fonctionner normalement pour vous, pendant que quelqu’un d’autre s’en sert.
- Injection de contenu spam invisible : des centaines de pages cachées sont créées sur votre domaine, remplies de liens vers des sites de contrefaçon, de médicaments ou de paris en ligne. Vous ne les voyez pas en visitant votre site normalement — Google, lui, les voit.
- Redirections malveillantes : certains visiteurs, notamment ceux qui viennent de Google, sont redirigés vers un autre site sans le savoir, pendant que vous continuez de voir votre site normal.
- Envoi de spam par email depuis votre serveur, ce qui fait blacklister votre nom de domaine par les fournisseurs de messagerie — vos propres emails professionnels finissent en spam chez vos clients.
- Détection et déréférencement par Google : quand Google repère le contenu injecté, il affiche l’alerte « Ce site risque d’être piraté » directement dans les résultats de recherche, ou retire purement et simplement vos pages de l’index. Un site qui rankait sur « électricien Brest » peut disparaître des résultats en quelques jours.
C’est ce dernier point qui fait vraiment mal pour un artisan : vous ne perdez pas seulement un site, vous perdez la visibilité Google que vous avez mis des mois à construire. Et la reconstruire prend souvent plus longtemps que la première indexation.
Le prix réel d’un piratage non traité
Un nettoyage de site piraté n’est jamais gratuit, même en le faisant soi-même. Il faut identifier les fichiers infectés, les supprimer sans casser le site, changer tous les mots de passe et clés de sécurité, vérifier qu’aucune porte dérobée ne subsiste, puis demander à Google de réexaminer le site pour lever une éventuelle pénalité — cette dernière étape peut prendre plusieurs semaines. Fait soi-même sans expérience technique, le risque est de nettoyer les symptômes sans traiter la cause, et de voir le site réinfecté quelques semaines plus tard.
Confié à un professionnel, ce type d’intervention se facture généralement entre 150 € et 400 € selon la gravité, sans compter le temps où le site tourne mal ou disparaît de Google — le vrai coût, souvent, n’est pas la facture de nettoyage mais les semaines de visibilité perdue pendant l’incident et la remontée après. C’est très exactement ce que couvre la maintenance d’un site internet au quotidien : elle ne sert pas à faire joli, elle sert à ne jamais en arriver là.
Pour une TPE, les risques WordPress se mesurent rarement en une seule fois — c’est l’accumulation qui coûte cher :
| Situation | Coût approximatif | Temps de résolution |
|---|---|---|
| Nettoyage d’un site WordPress hacké (léger) | 150 € – 250 € | Quelques heures à 1 jour |
| Nettoyage avec réexamen Google demandé | 250 € – 400 € | 1 à 3 semaines |
| Reconstruction après infection profonde | 400 € – 800 € | Plusieurs semaines |
| Maintenance préventive mensuelle | 49 € / mois | En continu |
La dernière ligne du tableau résume l’arbitrage : l’entretien régulier coûte une fraction du prix d’une réparation d’urgence, et il évite surtout la perte de trafic Google qu’aucune facture ne rattrape vraiment.
Comment se protéger sans y passer ses soirées
Ce que je trouve souvent quand j’arrive après une grande agence ou un site fait en autonomie, c’est un WordPress livré sans aucun suivi derrière — comme si le travail s’arrêtait à la mise en ligne. Voici ce qui protège réellement un site, dans l’ordre d’importance :
- Mettre à jour WordPress, le thème et les plugins dès qu’une mise à jour est disponible — c’est la mesure qui ferme le plus de failles, et de loin.
- Supprimer les plugins inutilisés, même désactivés — un plugin désactivé mais toujours installé reste une faille potentielle.
- Activer l’authentification à deux facteurs sur le compte administrateur.
- Passer en HTTPS si ce n’est pas déjà fait — j’explique pourquoi dans l’article sur la sécurité HTTPS, c’est un prérequis, pas une option.
- Mettre en place des sauvegardes automatiques externalisées, hors du serveur d’hébergement — en cas de piratage, une sauvegarde propre de la veille permet de tout restaurer en une heure au lieu d’un nettoyage de plusieurs jours.
- Surveiller le site régulièrement : un scan de sécurité hebdomadaire repère une infection avant qu’elle n’affecte le référencement.
Aucune de ces actions n’est compliquée isolément. Le problème, c’est qu’elles demandent un suivi régulier que personne n’a le temps de faire soi-même en gérant un métier d’artisan à côté — et c’est précisément pour ça que la maintenance de site internet à Brest existe en tant que service, pas en tant qu’option de confort.
Si vous hésitez encore entre garder WordPress ou passer à autre chose, la question de la sécurité n’est d’ailleurs qu’une partie du sujet : je compare les deux approches plus en détail dans WordPress vs site sur mesure.
Questions fréquentes
Un site WordPress piraté est-il forcément visible ?
Non, et c’est justement le problème. La majorité des piratages WordPress restent invisibles pour le propriétaire du site pendant des semaines, parfois des mois, parce que le contenu injecté (spam, redirections) est conçu pour n’apparaître qu’aux robots de Google ou à certains visiteurs ciblés. Le premier signal est souvent une chute brutale de trafic ou l’alerte de Google Search Console.
La maintenance WordPress est-elle vraiment nécessaire si le site marche bien ?
Oui, et c’est justement quand le site “marche bien” sans qu’on y touche que le risque grimpe. Un site qui tourne sans mise à jour depuis un an n’est pas un site stable, c’est un site qui accumule des failles connues et publiques à chaque nouvelle version de WordPress qui sort. Le confort apparent d’un site qu’on laisse tranquille est exactement ce qui le rend vulnérable.
Combien de temps faut-il pour réparer un site WordPress piraté ?
Entre quelques heures et plusieurs jours selon la gravité de l’infection, et jusqu’à plusieurs semaines si Google a signalé le site comme dangereux et qu’il faut demander un réexamen. C’est justement pour éviter ce délai qu’une sauvegarde propre et récente change tout : elle permet de restaurer le site en une heure plutôt que de le nettoyer fichier par fichier.
Un antivirus ou un plugin de sécurité suffit-il à protéger un site WordPress ?
Ça aide, mais ça ne remplace pas les mises à jour. Un plugin de sécurité détecte et bloque une partie des attaques automatisées, mais s’il tourne sur un WordPress ou des extensions obsolètes, il protège une maison dont la porte reste ouverte. La combinaison qui fonctionne est mises à jour régulières + plugin de sécurité + sauvegardes externalisées, pas l’un sans les autres.
