WordPress piraté : comment sécuriser (ou remplacer) le site de votre entreprise

Quand le site de votre entreprise devient une porte d'entrée

Dans la nuit du 9 au 10 avril 2024, la Ville de Saint-Nazaire et son agglomération, la CARENE, se sont réveillées à l'arrêt. Un rançongiciel avait chiffré les serveurs : plus de messagerie, plus de téléphonie, plus d'applications métiers. L'attaque s'est propagée aux communes qui partageaient les mêmes serveurs (Montoir-de-Bretagne, Donges, La Chapelle-des-Marais, Pornichet), ainsi qu'à la Sonadev. Un tiers des 450 serveurs a été infecté, les pirates ont pu accéder aux fichiers, et une rançon a été réclamée. Des mois plus tard, il restait encore des traces dans le fonctionnement quotidien des services.

Je commence par cette histoire parce qu'elle est locale, vérifiable, et qu'elle remet les choses à leur place. Si une collectivité dotée d'une vraie DSI a subi ça, l'artisan de la presqu'île guérandaise dont le WordPress n'a pas été touché depuis dix-huit mois n'est pas mieux loti. Il est même une cible bien plus facile.

La réponse courte

Le cœur de WordPress est sain : 91 % des 11 334 vulnérabilités recensées en 2025 par Patchstack viennent des plugins, et 6 failles mineures seulement du cœur. Un WordPress défendable exige 2FA (99,9 % des attaques automatisées de comptes bloquées selon Microsoft), mises à jour, WAF et sauvegardes testées — comptez quelques heures de travail et 600 à 2 700 euros par an de maintenance sérieuse. Pour un simple site vitrine, le statique type Next.js supprime la base de données et l'admin public : la surface d'attaque disparaît presque, pour 0 à 300 euros de sécurité par an.

Cet article n'est pas un réflexe anti-WordPress. J'en installe encore, et bien tenu, il tient parfaitement la route. Mais je veux vous donner les bons chiffres, séparer le mythe du réel, et vous aider à trancher une seule question : faut-il blinder l'existant, ou changer d'architecture ?

Le cœur de WordPress n'est presque jamais le problème

WordPress reste le CMS le plus utilisé au monde : il propulse environ 41 % de tous les sites web et 59 % des sites animés par un CMS (W3Techs, juillet 2026). Cette domination recule lentement, mais elle reste écrasante. Et qui dit omniprésence dit cible numéro un des attaques automatisées.

Maintenant, le chiffre qui change tout. Le rapport Patchstack 2026 recense 11 334 nouvelles vulnérabilités dans l'écosystème WordPress sur l'année 2025, soit +42 % en un an. Mais leur répartition ne laisse aucune place au doute : 91 % de ces failles se logent dans les plugins, 9 % dans les thèmes, et 6 failles seulement dans le cœur de WordPress lui-même, toutes de faible priorité.

Autrement dit, le moteur que développe la communauté WordPress est solide. Le danger vient de ce qu'on lui greffe : une extension de formulaire abandonnée depuis trois ans, un thème premium acheté une fois et jamais remis à jour, un plugin de galerie installé pour un besoin ponctuel puis oublié.

L'idée reçue "WordPress n'est pas sûr" est fausse dans l'absolu. Ce qui n'est pas sûr, c'est un WordPress négligé, surchargé d'extensions tierces, sans mise à jour ni 2FA, sur un hébergement mutualisé bas de gamme.

Pire : selon le même rapport, 46 % des failles n'avaient aucun correctif disponible le jour de leur divulgation publique. Et le temps joue contre vous. Le délai médian d'exploitation des vulnérabilités à fort impact est tombé à cinq heures après divulgation. L'IA permet désormais à des attaquants de découvrir et d'exploiter des failles de façon quasi autonome. Entre le moment où une faille est connue et celui où des bots la testent sur votre site, il se passe une demi-journée, pas une semaine.

"Mon site est trop petit pour intéresser un pirate"

C'est l'objection que j'entends le plus souvent chez les commerçants et artisans de La Baule ou de Guérande, où je suis basé. Elle repose sur un malentendu : croire que quelqu'un vous vise. Personne ne vous vise. Les attaques sont automatisées et opportunistes. Des bots scannent des millions d'adresses en continu, repèrent une version de plugin vulnérable, et entrent.

Une fois dedans, votre petit site devient utile : il sert à envoyer du spam, à héberger une page de phishing qui usurpe une banque, à miner de la crypto, ou à rediriger votre trafic Google vers des sites douteux. Vous n'êtes pas une victime ciblée, vous êtes une ressource.

Sécuriser un WordPress existant : la défense en couches

Si vous tenez à votre WordPress (espace membre, boutique WooCommerce, habitudes de l'équipe), il est tout à fait défendable. Mais aucune mesure isolée ne suffit, et surtout pas la confiance aveugle dans l'hébergeur : le rapport Patchstack 2026 montre que les défenses des hébergeurs ne bloquent qu'une fraction des attaques réelles. Il faut empiler les couches. C'est d'ailleurs la philosophie du guide ANSSI « La cybersécurité pour les TPE/PME en 13 questions », que je recommande à tout dirigeant : des mesures simples, cumulées, plutôt qu'une solution miracle.

La 2FA d'abord, toujours

Si vous ne devez faire qu'une chose cette semaine, faites celle-là. L'authentification à deux facteurs sur les comptes administrateurs bloque 99,9 % des attaques automatisées sur les comptes, d'après Microsoft. C'est le meilleur rapport effort/protection de toute la liste. Le plugin Two Factor, officiel sur WordPress.org, gère le TOTP, l'email, les clés WebAuthn et des codes de secours. Quinze minutes d'installation, et la principale porte d'entrée se referme.

Mises à jour : automatiser le mineur, tester le majeur

Laisser un plugin ou une version de PHP obsolètes traîner est la première cause de piratage. Les mises à jour mineures de WordPress sont automatiques par défaut depuis la version 3.7 : laissez-les faire. Pour les mises à jour majeures (le cœur, les gros plugins), testez sur un environnement de pré-production avant de pousser en ligne.

Le réflexe inverse, "je désactive les mises à jour pour ne rien casser", est un piège. Vous ne gelez pas votre site dans un état stable, vous le laissez pourrir avec des failles connues que les bots adorent. Côté serveur, visez PHP 8.3 ou plus : le support sécurité de PHP 8.2 s'arrête le 31 décembre 2026.

WAF, comptes propres, hébergement sérieux

Un pare-feu applicatif (WAF) filtre le trafic malveillant avant qu'il n'atteigne votre site. Wordfence convient bien aux petits et moyens sites : WAF plus scanner de malware dans un seul plugin. Pour un e-commerce ou un site à fort trafic, Sucuri (WAF cloud avec CDN et nettoyage inclus) est plus robuste. Solid Security (l'ex-iThemes) joue, lui, la carte du durcissement : il masque la version de WordPress, renomme la page de connexion, force la 2FA et impose des règles de mots de passe.

Côté comptes : un compte administrateur nominatif par personne, jamais de compte "admin/admin" partagé par toute l'équipe, et des mots de passe longs et uniques. Côté hébergement, fuyez le mutualisé premier prix : c'est souvent là qu'un site voisin compromis finit par contaminer le vôtre.

Sauvegardes : une sauvegarde non testée n'existe pas

UpdraftPlus ou BackWPup automatisent des sauvegardes externalisées, stockées ailleurs que sur le serveur. Mais une sauvegarde que vous n'avez jamais restaurée est une illusion de sécurité. Visez une rétention de 30 jours minimum, un stockage hors du serveur, et un test de restauration trimestriel. Sans ce test, le jour où vous restaurez dans l'urgence, vous risquez de remettre en ligne un site déjà infecté depuis des semaines.

Surveiller, parce qu'un site piraté ne se voit pas toujours

Le piège moderne, c'est le cloaking. Beaucoup de redirections malveillantes ne s'activent que pour les visiteurs venant de Google. Vous, l'administrateur qui tapez l'URL en direct, vous ne voyez rien d'anormal. Vos clients, eux, atterrissent sur un site de paris ou de contrefaçon.

Surveillez donc la section "Problèmes de sécurité" de Google Search Console et l'état Google Safe Browsing, pas seulement le rendu de votre page d'accueil. Un site blacklisté par Google (avertissement rouge "site trompeur" dans le navigateur) perd l'essentiel de son trafic du jour au lendemain. La bonne nouvelle : une fois le site nettoyé, la demande de réexamen via Search Console se traite généralement en quelques jours.

Remplacer : pourquoi le statique change la donne

Maintenant, l'autre voie. Une grande partie des sites d'entreprise en Loire-Atlantique sont des sites vitrines : présentation, services, contact, quelques actualités. Pas d'espace membre complexe, pas de panier interactif à la seconde. Pour ce profil, garder une base de données exposée et un panneau d'administration accessible depuis Internet, c'est entretenir un risque dont on n'a tout simplement pas l'usage.

Un site statique ou headless (Next.js, approche JAMstack) inverse la logique. Les pages sont pré-générées et servies comme de simples fichiers. Il n'y a pas de base de données à attaquer en ligne, pas de page de connexion publique à forcer. La surface d'attaque ne se réduit pas, elle disparaît presque. Résultat : moins de 1 % des sites JAMstack sont compromis.

Comparons honnêtement, parce que ce n'est pas magique partout :

La performance n'est pas cosmétique : un site rapide est mieux classé par Google et convertit mieux, j'y consacre un article entier sur les Core Web Vitals.

Le calcul économique parle de lui-même : là où un WordPress maintenu sérieusement coûte 600 à 2 700 euros par an, un site statique vous coûte entre 0 et 300 euros de sécurité annuelle (mes tarifs détaillent ce que couvre une refonte, dès 500 euros avec un prototype sous 48 heures).

Mais ce n'est pas une religion

Soyons clairs : le statique n'est pas une solution miracle universelle. Il n'est pas "automatiquement sécurisé" (une clé d'API mal protégée dans un formulaire de contact reste une clé d'API mal protégée), et il convient mal à des besoins fortement dynamiques : espace adhérent complexe, e-commerce à forte interactivité, contenu massivement édité chaque jour par une équipe non technique. C'est un arbitrage, pas un dogme. J'ai détaillé ce comparatif ailleurs si vous voulez creuser : Vibe Coding, WordPress ou no-code, lequel choisir.

Ce que coûte vraiment une attaque, et à qui demander de l'aide

Le sujet n'est pas théorique. Cybermalveillance.gouv.fr a reçu 504 810 demandes d'assistance en 2025, en hausse de 20 % — un record depuis la création du dispositif en 2017. Les particuliers représentent 93 % du total, les entreprises et associations 6 % et les collectivités 1 %, mais ce sont les professionnels qui progressent le plus vite : +73 % de demandes pour les entreprises et associations en un an. Chez les pros, le piratage de compte reste la menace numéro un (+45 %), devant l'hameçonnage (+70 % tous publics) et les faux ordres de virement (+170 %). Les demandes liées aux violations de données ont, elles, bondi de 107 %.

Le coût d'une attaque se chiffre vite en dizaines de milliers d'euros pour une PME, et l'essentiel de la facture vient rarement de la rançon elle-même : ce sont les pertes d'exploitation qui tuent — commandes bloquées, devis impossibles à envoyer, image dégradée. La cyberattaque de Saint-Nazaire l'illustre à l'échelle d'une collectivité : des semaines de fonctionnement dégradé bien après le nettoyage technique.

N'oubliez pas non plus le volet juridique. Si la compromission expose des données personnelles (fichier clients, formulaires), vous êtes tenu de notifier la CNIL sous 72 heures — une obligation légale qui s'ajoute à l'urgence technique, et que je détaille dans mon guide RGPD, cookies et mentions légales pour TPE.

Si vous êtes touché, vous n'êtes pas seul. Cybermalveillance.gouv.fr publie des fiches réflexes très concrètes (dont une dédiée à la défiguration de site internet), propose un diagnostic gratuit via 17Cyber et vous met en relation avec des prestataires labellisés ExpertCyber. Le dispositif Pays de la Loire Cyber Assistance soutient les PME, ETI, associations et collectivités victimes à l'échelle régionale. Et le Cyber Sécurité Tour 44, organisé par la CCI Nantes - Saint-Nazaire, est un bon point de contact pour se former en amont, avant d'avoir le couteau sous la gorge.

Par où commencer, concrètement

Inutile de tout faire en un jour. Voici l'ordre dans lequel je procède avec un client de la presqu'île.

D'abord, le diagnostic : votre site est-il une vitrine ou une application ? Cette seule question oriente toute la suite. Si c'est une vitrine, posez-vous franchement la question du passage au statique à la prochaine refonte de site web — j'ai listé ailleurs les signaux qui indiquent qu'une refonte s'impose. Si c'est une application, on blinde l'existant.

Ensuite, les gestes qui sauvent, dans l'ordre : activer la 2FA sur tous les comptes admin, vérifier que les mises à jour mineures sont bien automatiques, mettre PHP à jour, installer un WAF, et configurer des sauvegardes externalisées que vous testerez pour de vrai. Enfin, branchez Google Search Console pour être prévenu si quelque chose tourne mal sans que vous le voyiez.

La cyberattaque de Saint-Nazaire a mis à genoux des structures qui avaient pourtant une vraie DSI. Pour une TPE, le bon investissement n'est pas la peur, c'est la méthode : quelques heures de durcissement aujourd'hui, ou une architecture qui supprime le risque à la racine demain. L'un comme l'autre coûte infiniment moins cher que de reconstruire après coup. Si vous voulez qu'on regarde votre cas ensemble, c'est l'objet même de mes services : je vous dis honnêtement s'il faut sécuriser ou remplacer, sans vous vendre l'un quand l'autre suffit. Écrivez-moi, je réponds sous 24 heures.

Sources et références

• W3Techs — Usage statistics of WordPress — WordPress propulse environ 41 % de tous les sites web et 59 % des sites sous CMS (juillet 2026).
• Patchstack — State of WordPress Security in 2026 — 11 334 vulnérabilités recensées en 2025 (+42 %), 91 % dans les plugins, 6 failles mineures dans le cœur, délai médian d'exploitation de 5 heures.
• Cybermalveillance.gouv.fr — Rapport d'activité 2025 — 504 810 demandes d'assistance (+20 %), +73 % chez les entreprises et associations, hameçonnage +70 %, violations de données +107 %.
• Cybermalveillance.gouv.fr — Fiche réflexe défiguration de site internet — que faire concrètement si votre site a été piraté ou défiguré.
• ANSSI — La cybersécurité pour les TPE/PME en 13 questions — le guide de référence des mesures de base pour une petite entreprise.
• Microsoft Security Blog — One simple action to prevent 99.9 percent of account attacks — la MFA bloque plus de 99,9 % des attaques automatisées de compromission de comptes.
• Saint-Nazaire News — Cyberattaque à Saint-Nazaire, « il y a eu une demande de rançon » — récit détaillé de l'attaque d'avril 2024 (un tiers des 450 serveurs infectés, rançon réclamée).

Questions fréquentes

Pourquoi les sites WordPress se font-ils pirater ?

Rarement à cause du cœur de WordPress : sur les 11 334 vulnérabilités recensées par Patchstack en 2025, 91 % viennent des plugins et 9 % des thèmes, contre 6 failles mineures dans le cœur. Les attaques sont automatisées : des bots scannent des millions de sites et exploitent les extensions non mises à jour, parfois 5 heures seulement après la divulgation d'une faille.

Comment sécuriser rapidement un WordPress d'entreprise ?

Cinq gestes dans l'ordre : activer la 2FA sur tous les comptes administrateurs (elle bloque 99,9 % des attaques automatisées de comptes selon Microsoft), laisser les mises à jour mineures automatiques, passer à PHP 8.3 ou plus, installer un pare-feu applicatif comme Wordfence, et externaliser des sauvegardes testées avec 30 jours de rétention. Comptez quelques heures de travail, pas des semaines.

Vaut-il mieux sécuriser son WordPress ou le remplacer ?

Pour une vraie application (boutique, espace membre), on blinde l'existant. Pour un site vitrine, le statique type Next.js supprime la base de données et l'admin public, c'est-à-dire les deux cibles favorites des bots, pour 0 à 300 euros de sécurité par an contre 600 à 2 700 euros pour un WordPress maintenu sérieusement. Chez BecauseTimeCounts, une refonte statique démarre à 500 euros, prototype sous 48 heures, code source livré.