Cybersécurité WordPress : les failles qui coûtent cher aux PME de Toulouse

Un mardi matin, une gérante d’institut de beauté du centre-ville de Toulouse m’appelle, paniquée. Son site affiche des liens vers des sites de contrefaçon et Google l’a mis en quarantaine avec un bandeau rouge « site potentiellement dangereux ». Elle perd ses prises de rendez-vous en ligne pendant six jours, le temps de tout nettoyer. Coût réel de l’incident : environ 900 euros de prestation de dépiégeage, plus une perte de visibilité qui a mis trois mois à se résorber sur Google.

Ce genre d’histoire, je l’entends plusieurs fois par an. Et à chaque fois, la cause est la même : un site WordPress laissé à l’abandon, avec des mises à jour jamais faites et un mot de passe « admin123 » toujours en place depuis la création du site.

WordPress n’est pas le problème, l’entretien si

WordPress fait tourner plus de 40% des sites dans le monde. Ce n’est pas un logiciel fragile en soi. Le souci vient de tout ce qui s’accumule autour : des extensions installées puis oubliées, un thème jamais mis à jour, un accès administrateur partagé entre trois personnes avec le même mot de passe depuis deux ans.

Un site WordPress, c’est comme une voiture. Elle roule très bien tant qu’on change l’huile. Le jour où plus personne ne s’en occupe, les ennuis arrivent, rarement d’un coup, plutôt petit à petit jusqu’au jour où ça casse vraiment.

Les failles que je retrouve le plus souvent chez mes clients toulousains

Des mises à jour en retard de plusieurs mois

Chaque mise à jour de WordPress, d’un thème ou d’une extension corrige des failles de sécurité connues et documentées publiquement. Un site qui tourne avec une version vieille de huit mois n’est pas juste « un peu en retard », il est listé dans des bases de données que des robots scannent en continu, 24 heures sur 24, à la recherche de cibles faciles.

Un mot de passe faible sur le compte administrateur

J’ai repris récemment le site d’un artisan menuisier à Colomiers dont l’identifiant était « admin » et le mot de passe le nom de son entreprise suivi de « 2020 ». Ce type de combinaison se devine en quelques minutes avec un logiciel automatisé. Ce n’est plus du piratage, c’est de la porte ouverte.

Aucune sauvegarde récente

La sécurité, ce n’est pas seulement empêcher l’intrusion, c’est aussi pouvoir se relever vite si elle arrive quand même. Sans sauvegarde de moins de 7 jours, une attaque réussie peut effacer des mois de contenu, de commandes ou de fiches produits. J’ai vu un e-commerçant perdre trois semaines de commandes clients faute de sauvegarde à jour.

Des extensions inutiles encore actives

Une extension installée pour tester une fonctionnalité, puis désactivée mais jamais supprimée, reste une porte d’entrée potentielle. Plus il y a de code sur un site, plus il y a de surface d’attaque. Un ménage régulier des extensions inutilisées fait souvent plus pour la sécurité qu’un plugin de protection supplémentaire.

Ce que ça coûte vraiment, un site piraté

Au-delà de la prestation de nettoyage, qui tourne généralement entre 300 et 1200 euros selon la gravité, les vrais coûts sont ailleurs.

• La perte de trafic pendant la mise en quarantaine par Google, qui peut durer de quelques jours à plusieurs semaines
• Le temps de reconstruction de la confiance auprès des clients qui ont vu un avertissement de sécurité
• Les prises de rendez-vous ou commandes perdues pendant l’indisponibilité
• Dans certains cas, l’usurpation de l’identité de l’entreprise pour envoyer du spam depuis son nom de domaine

Pour une TPE toulousaine qui vit de ses prises de contact en ligne, une semaine d’indisponibilité peut représenter plusieurs milliers d’euros de chiffre d’affaires manqué. C’est souvent bien plus cher que l’entretien qui aurait évité l’incident.

Les bases qui suffisent pour 90% des PME

Pas besoin d’un budget cybersécurité de grande entreprise. Pour la majorité des sites vitrines et e-commerce de petite taille, quelques habitudes simples changent tout.

Mettre à jour toutes les semaines

WordPress, thème, extensions. Un créneau de 20 minutes par semaine suffit, ou un contrat de maintenance qui s’en charge automatiquement.

Utiliser un gestionnaire de mots de passe

Un mot de passe unique et complexe par compte, généré et stocké dans un outil comme Bitwarden. Fini les mots de passe partagés dans un fichier texte ou par email.

Activer la double authentification

Même si un mot de passe est compromis, une deuxième vérification par code envoyé sur le téléphone bloque la grande majorité des tentatives d’intrusion.

Sauvegarder automatiquement, tous les jours

Une sauvegarde quotidienne stockée ailleurs que sur le serveur du site permet de repartir en quelques minutes en cas de problème, plutôt qu’en plusieurs jours.

Limiter les accès administrateur

Seules les personnes qui en ont vraiment besoin doivent avoir un compte administrateur. Un community manager n’a pas besoin des mêmes droits qu’un développeur.

Un contrôle rapide de votre site

Trois questions simples permettent de savoir où vous en êtes : votre WordPress, votre thème et vos extensions sont-ils à jour cette semaine ? Avez-vous une sauvegarde de moins de 7 jours stockée en dehors de votre serveur ? Votre mot de passe administrateur a-t-il été changé au cours des 12 derniers mois ?

Si vous avez répondu non à l’une de ces questions, ce n’est pas une catastrophe, mais c’est le bon moment pour agir avant que ça le devienne.

Si vous voulez un avis rapide et sans engagement sur l’état de sécurité de votre site WordPress, je fais un audit gratuit en 15 minutes. Pas de discours commercial, juste un état des lieux clair et les priorités si besoin.