Chaque jour, environ 13 000 sites WordPress sont piratés dans le monde, selon le rapport Patchstack 2026. Pour les TPE et PME françaises, souvent moins bien équipées que les grandes structures, un tel incident peut rapidement tourner au cauchemar : perte de données, chute de visibilité sur Google, voire fermeture définitive de l’activité. Autant de risques concrets qui méritent d’être pris au sérieux, même quand tout semble aller bien.
Des failles partout, surtout dans les plugins
En 2025, pas moins de 11 334 nouvelles vulnérabilités ont été recensées dans l’écosystème WordPress, soit une hausse de 42 % en un an. La répartition est sans ambiguïté : 91 % de ces failles concernent les plugins, 9 % les thèmes, et à peine six touchent le cœur de WordPress lui-même, toutes de faible priorité. Sur une seule semaine d’avril 2025, 353 vulnérabilités ont été identifiées dans 311 extensions et 9 thèmes.
Un site avec des plugins non mis à jour multiplie donc mécaniquement sa surface d’exposition. Et les conséquences peuvent aller loin : en 2024, une faille dans un plugin comptant 3 millions d’installations avait permis l’injection de code malveillant sur 50 000 sites, avec vol de données de formulaires à la clé. Par ailleurs, 81 % des piratages impliquent un mot de passe faible ou compromis, ce qui rappelle que la technique n’est pas toujours la première ligne de défense à renforcer.
Pour les entreprises, le coût d’un incident dépasse souvent ce qu’on imagine. En France, une cyberattaque coûte en moyenne 180 000 euros à une PME, et 67 % des structures touchées par un incident majeur ferment dans les six mois. 60 % des cyberattaques visent des organisations de moins de 250 salariés, précisément parce qu’elles disposent de moins de ressources pour se défendre.
Les signes d’un site compromis et comment réagir ?
Un piratage ne se manifeste pas toujours par une page défigurée. Parfois, des centaines de pages en langues étrangères apparaissent discrètement dans Google sous votre domaine, le hacker exploitant l’autorité SEO du site pour ses propres fins. D’autres fois, c’est le site qui ralentit anormalement parce qu’un mineur de cryptomonnaie tourne en arrière-plan. Les redirections vers des sites tiers, l’apparition de comptes administrateurs inconnus ou les alertes envoyées par l’hébergeur sont d’autres signaux à ne pas ignorer.
Côté SEO, les conséquences peuvent être sévères : une mise sur liste noire Google entraîne un déclassement rapide dans les résultats de recherche, parfois en quelques heures, sans que le propriétaire du site s’en aperçoive immédiatement. Pour un site e-commerce, la paralysie peut être totale du jour au lendemain.
La restauration d’un site WordPress piraté suit un protocole précis : mise en quarantaine du site pour protéger les visiteurs, scan complet à l’aide d’outils spécialisés pour identifier les malwares, puis restauration depuis une sauvegarde saine datant d’avant le piratage. Si aucune sauvegarde fiable n’existe, il faut procéder à un nettoyage manuel des fichiers corrompus et éliminer toute injection dans la base de données. Une fois le site assaini, la mise à jour de WordPress, des plugins et des thèmes s’impose, accompagnée d’un renouvellement complet des mots de passe d’accès.
Prévenir plutôt que guérir : les réflexes à adopter
Les bonnes pratiques sont connues, mais leur mise en œuvre reste inégale. Maintenir WordPress, ses plugins et ses thèmes à jour constitue la mesure la plus efficace : c’est aussi la plus simple à appliquer. Utiliser des mots de passe robustes combinés à une double authentification réduit considérablement le risque d’intrusion via les accès administrateurs.
Les sauvegardes régulières, stockées en dehors du serveur principal, permettent de limiter les dégâts en cas d’incident. Supprimer les plugins et thèmes inactifs réduit la surface d’attaque sans effort particulier. Un hébergeur proposant un pare-feu applicatif (WAF) ajoute une couche de protection supplémentaire côté infrastructure.
Aucune mesure n’offre une protection absolue, mais leur combinaison rend un site beaucoup moins attractif pour les attaquants, qui ciblent généralement les configurations les plus faciles à compromettre. Dans un contexte où plus de 8 entreprises touchées sur 10 déclarent un impact business significatif, selon le baromètre CESIN 2026, la sécurité d’un site web n’est plus une question technique réservée aux développeurs : c’est une décision de gestion.
