Sécuriser un site WordPress professionnel repose sur cinq piliers : mises à jour régulières du cœur et des extensions, limitation des plugins, sauvegardes externalisées testées, pare-feu applicatif (WAF) et comptes protégés. Un contrat de maintenance couvre ces tâches en continu. ZFX AllTech, basée à Eaubonne dans le Val-d'Oise, sécurise et maintient les sites WordPress des TPE et PME partout en France.
Pourquoi WordPress est-il autant ciblé par les pirates ?
WordPress fait tourner environ 43 % des sites web dans le monde selon W3Techs. Cette domination en fait la cible numéro un : une faille découverte dans une extension populaire ouvre potentiellement des centaines de milliers de sites d'un coup. Les attaques ne visent d'ailleurs presque jamais un site en particulier : des robots scannent le web en permanence à la recherche de versions vulnérables connues.
Point important : le cœur de WordPress est bien audité et corrigé rapidement. La grande majorité des failles recensées chaque année proviennent des extensions et des thèmes tiers, pas de WordPress lui-même. Autrement dit, le problème n'est pas l'outil, mais la façon dont il est installé, étendu et surtout maintenu.
Conséquence directe pour une entreprise : un site vitrine « qu'on ne touche jamais » n'est pas un site stable, c'est un site qui accumule des vulnérabilités publiées et documentées. Sans maintenance, la question n'est pas de savoir si le site sera compromis, mais quand.
Les mises à jour, première ligne de défense
Chaque mise à jour de WordPress, d'un thème ou d'une extension corrige des bugs, mais aussi des failles de sécurité. Dès qu'un correctif est publié, la vulnérabilité qu'il corrige devient publique : les attaquants savent exactement quoi chercher sur les sites qui ne l'ont pas encore appliqué. Le délai entre publication et exploitation se compte souvent en jours, parfois en heures.
En pratique : mises à jour mineures du cœur en automatique, mises à jour majeures et extensions testées sur un environnement de préproduction avant mise en ligne, surtout si le site comporte des personnalisations. Un thème enfant évite de perdre vos modifications à chaque mise à jour du thème parent.
Rythme raisonnable pour un site professionnel : une passe complète au moins mensuelle, et une application sous 24 à 48 h pour les failles critiques signalées sur une extension installée.
Moins d'extensions, moins de failles
Chaque extension installée est du code tiers qui s'exécute avec les mêmes droits que votre site. Trente extensions, ce sont trente sources potentielles de vulnérabilités, de conflits et de ralentissements. Un site vitrine bien construit tient généralement avec dix à quinze extensions, souvent moins.
Les bons réflexes : supprimer, et pas seulement désactiver, les extensions inutilisées ; vérifier avant toute installation la date de dernière mise à jour, la compatibilité avec votre version de WordPress et le sérieux de l'éditeur ; préférer une extension maintenue, même payante, à trois extensions gratuites abandonnées.
Quand plusieurs extensions s'empilent pour couvrir un besoin métier précis, un petit développement sur mesure est parfois plus sûr et plus performant qu'un assemblage fragile. C'est souvent là que se joue la frontière entre un site WordPress et un site WordPress professionnel.
Sauvegardes, WAF et comptes : le trio de survie
Les sauvegardes d'abord : quotidiennes pour un site actif, stockées en dehors du serveur, si le serveur est compromis, les sauvegardes locales le sont aussi, avec une rétention de plusieurs semaines et des tests de restauration réguliers. Une sauvegarde jamais testée est une loterie, pas une assurance.
Le pare-feu applicatif (WAF) filtre le trafic malveillant avant qu'il n'atteigne WordPress : tentatives de connexion en force brute, injections, exploitation de failles connues. Un WAF au niveau du CDN ou une extension de sécurité sérieuse bloque l'essentiel de ce bruit automatisé sans pénaliser les visiteurs légitimes.
Côté comptes : pas d'identifiant « admin », des mots de passe uniques et longs, une double authentification pour tous les administrateurs, et le principe du moindre privilège. La personne qui publie des articles n'a besoin que d'un compte éditeur, jamais d'un accès administrateur complet.
Que doit couvrir un contrat de maintenance WordPress ?
Un vrai contrat de maintenance couvre au minimum : les mises à jour du cœur, des thèmes et des extensions avec tests après application, des sauvegardes externalisées et vérifiées, une surveillance de disponibilité, des scans de sécurité réguliers et un délai d'intervention engagé en cas d'incident.
Les bons contrats ajoutent un rapport mensuel listant ce qui a été fait et ce qui a été bloqué, un environnement de préproduction pour tester sans risque, et un petit volume d'heures pour les évolutions courantes : modifier un texte, ajouter une page, corriger un affichage.
Deux questions à poser avant de signer : en cas de piratage, la restauration est-elle incluse ou facturée en supplément ? Et la solution est-elle réversible si vous changez de prestataire ? Vos données vous appartiennent : un prestataire sérieux remet les accès et les sauvegardes sans difficulté.
Combien coûte la maintenance d'un site WordPress ?
Sur le marché français, un contrat de maintenance WordPress se situe généralement entre 50 et 300 € par mois pour un site vitrine, selon le niveau de service : simple application des mises à jour ou véritable infogérance avec surveillance et délais d'intervention garantis. Pour un site e-commerce ou à fort trafic, comptez plutôt 200 à 600 € par mois.
À mettre en face : le coût d'un site compromis. Le nettoyage d'un site piraté se facture de plusieurs centaines à plusieurs milliers d'euros, auxquels s'ajoutent les jours d'indisponibilité, la chute du référencement Google et, si des données personnelles ont fuité, l'obligation RGPD de notifier la CNIL sous 72 h.
Exemple type : un cabinet de conseil du Val-d'Oise avec un site vitrine WordPress et un formulaire de contact serait correctement couvert par un contrat autour de 80 à 150 € par mois, sauvegardes externalisées, WAF et rapport mensuel compris.
Les signaux qui montrent qu'un site est compromis
Certains signes ne trompent pas : redirections vers des sites douteux, pages de spam indexées dans Google (résultats en caractères étrangers ou contenus pharmaceutiques), avertissement « site trompeur » dans le navigateur, comptes administrateurs inconnus, fichiers modifiés récemment sans raison, lenteurs soudaines ou emails du site qui partent systématiquement en spam.
En cas de doute, la procédure : passer le site en maintenance, changer tous les mots de passe (WordPress, hébergement, FTP, base de données), restaurer une sauvegarde saine antérieure à la compromission, puis identifier et corriger la faille d'entrée avant la remise en ligne. Sans cette dernière étape, la réinfection survient en quelques jours.
Si votre site WordPress n'a pas été mis à jour depuis des mois, ou si vous reconnaissez l'un de ces signaux, mieux vaut agir avant l'incident : nous auditons votre site et chiffrons sa remise à niveau et sa maintenance, avec un devis gratuit et une réponse sous 24 h.
Un projet de refonte de site ?
Expliquez-nous votre contexte : on vous répond sous 24 heures avec un devis gratuit et des recommandations concrètes.
- Entreprise basée à Eaubonne (95), SIREN 999 732 340
- Joignables 7 j/7, réponse sous 24 h
- Vos données restent exportables, aucun verrouillage