Webdesigner Freelance Toulouse | Sites WordPress sur Mesure

Un client toulousain m’a appelé un lundi matin, paniqué. Son site affichait des liens vers des pharmacies en ligne russes en plein sur sa page d’accueil, entre son logo et son numéro de téléphone. Google l’avait déjà repéré et affichait « ce site peut être piraté » dans les résultats de recherche. Trois jours de trafic perdu, une image écornée, et un client final qui avait vu ça avant de signer un devis de 8 000 euros.

Ce n’était pas un hacker surdoué qui ciblait spécifiquement son entreprise. C’était un plugin abandonné depuis deux ans, avec une faille connue, sur un site qui n’avait jamais été mis à jour. Ce genre de piratage touche des milliers de sites WordPress chaque semaine, la plupart du temps de façon totalement automatisée.

WordPress n’est pas dangereux, mais il est négligé

WordPress fait tourner plus de 40% des sites web dans le monde. Sa popularité en fait une cible naturelle pour les attaques automatisées : des robots scannent en permanence internet à la recherche de failles connues, pas de sites précis. Un site de plombier à Colomiers a exactement autant de chances d’être scanné qu’un site e-commerce à 500 000 euros de chiffre d’affaires.

Le problème n’est presque jamais WordPress lui-même. C’est la maintenance qu’on laisse filer. Un thème acheté sur un marketplace en 2022 et jamais mis à jour, un plugin de contact form abandonné par son développeur, un mot de passe admin du type « entreprise2020 », et la porte est grande ouverte.

Les trois failles que je retrouve le plus souvent

Des mises à jour jamais faites

Chaque mise à jour de WordPress, de thème ou de plugin corrige des failles de sécurité identifiées. Ne pas les appliquer, c’est laisser une porte ouverte que tout le monde connaît déjà, y compris les robots malveillants. Sur les sites que je reprends en maintenance, je vois régulièrement des installations avec 15 ou 20 mises à jour en attente, parfois depuis plus d’un an.

Des mots de passe faibles ou réutilisés

« admin » comme identifiant et un mot de passe basé sur le nom de l’entreprise, c’est encore la norme sur beaucoup de petits sites. Les attaques par force brute testent des milliers de combinaisons par minute. Un mot de passe robuste et un identifiant qui n’est pas « admin » divisent déjà le risque par dix.

Aucune sauvegarde récente

Même avec toutes les précautions, un incident peut arriver. Sans sauvegarde à jour, la seule option est de tout reconstruire à la main, ou de payer cher un service de nettoyage en urgence. Avec une sauvegarde automatique quotidienne stockée ailleurs que sur le serveur, un piratage devient un désagrément d’une heure, pas une catastrophe de plusieurs jours.

Ce qui protège vraiment, sans y passer des heures chaque semaine

Pas besoin d’un budget de banque pour sécuriser correctement un site vitrine ou e-commerce de PME. Voici ce qui fait réellement la différence, par ordre de priorité :

• Mises à jour automatiques ou vérifiées mensuellement pour le cœur WordPress, les thèmes et les plugins
• Authentification à deux facteurs sur les comptes administrateur
• Sauvegardes automatiques quotidiennes, stockées sur un espace externe au serveur d’hébergement
• Un pare-feu applicatif (WAF) qui filtre le trafic malveillant avant qu’il n’atteigne le site
• Suppression des plugins et thèmes inutilisés, qui restent des points d’entrée même sans être activés
• Certificat SSL à jour et redirection HTTPS forcée sur toutes les pages

Un hébergeur de qualité couvre déjà une partie de ces points. Mais beaucoup d’hébergements mutualisés bon marché ne surveillent rien côté application, ils gèrent juste le serveur. La sécurité de WordPress lui-même reste sous la responsabilité du propriétaire du site.

Le vrai coût d’un piratage

Au-delà du stress, un site compromis coûte concrètement de l’argent. Google peut déclasser le site ou afficher un avertissement dans les résultats de recherche, ce qui fait chuter le trafic du jour au lendemain. Un nettoyage en urgence chez un prestataire spécialisé démarre souvent autour de 300 à 600 euros, sans garantie que tout soit récupéré si aucune sauvegarde saine n’existe. Et il y a la confiance perdue : un client qui tombe sur un message d’alerte avant de signer réfléchit à deux fois.

Comparé à ça, une maintenance préventive coûte une fraction de ce montant, étalée sur l’année, et évite la crise plutôt que de la réparer après coup.

Un réflexe simple pour commencer

Si vous n’avez jamais vérifié, allez dans le tableau de bord WordPress de votre site et regardez le nombre de mises à jour en attente. Si ce chiffre est supérieur à zéro depuis plusieurs semaines, c’est le premier signal à traiter, avant même de penser au reste.

J’accompagne des TPE et PME toulousaines sur la sécurisation et la maintenance de leur site WordPress, avec un suivi mensuel simple à comprendre. Si vous voulez un état des lieux rapide de votre site, sans engagement, on peut en discuter.