Votre site WordPress tourne bien depuis des mois, alors pourquoi s’en occuper ? Parce qu’un site n’est pas une brochure imprimée : c’est un logiciel connecté à Internet, que des robots testent en permanence. Pour une TPE, un artisan ou un commerçant du Pays de Redon, de Savenay ou de Saint-Nazaire, un site piraté ou en panne, ce sont des devis perdus, une fiche Google dégradée et une image de sérieux entamée.
Bonne nouvelle : la grande majorité des problèmes se prévient avec quelques habitudes simples. Ce guide vous explique ce qu’est réellement la maintenance d’un site WordPress, quels sont les vrais risques en 2026, et la routine à mettre en place (ou à confier à un professionnel) pour dormir tranquille.
Pourquoi la sécurité de son site concerne aussi les petites entreprises
On entend souvent : « Je suis trop petit pour intéresser les pirates ». C’est une erreur courante. Les attaques ne sont presque jamais ciblées : ce sont des programmes automatiques qui scannent des milliers de sites à la recherche d’une faille connue, sans se soucier de la taille de l’entreprise. WordPress animant une très grande part du web (environ 40 % des sites selon les relevés de W3Techs), il est logiquement une cible de choix.
Côté chiffres, le rapport Patchstack « State of WordPress Security in 2026 » compte 11 334 nouvelles vulnérabilités recensées en 2025, soit 42 % de plus qu’en 2024. Point rassurant à retenir : environ 91 % de ces failles concernent des plugins et seulement 9 % des thèmes, tandis que le cœur de WordPress n’en comptait que 6, toutes jugées à faible risque. Autrement dit, WordPress lui-même est plutôt solide ; ce sont les extensions mal suivies qui ouvrent la porte.
Ces mêmes travaux indiquent que les failles les plus dangereuses sont exploitées très vite, parfois en quelques heures, et qu’une part importante des vulnérabilités n’a pas encore de correctif au moment où elle est rendue publique. Conséquence pratique : attendre « le mois prochain » pour mettre à jour n’est plus une stratégie.
Du côté des entreprises françaises, les baromètres de Cybermalveillance.gouv.fr indiquent qu’environ 80 % des entreprises s’estiment mal préparées ou ne savent pas si elles le sont. Et selon France Assureurs, une cyberattaque réussie coûte en moyenne entre 30 000 et 600 000 € à une TPE ou une PME, soit 3 à 10 % du chiffre d’affaires annuel. Ces ordres de grandeur dépassent de très loin le prix d’une maintenance préventive.
Ce que recouvre vraiment la maintenance d’un site WordPress
La maintenance ne se résume pas à cliquer sur « Mettre à jour ». Elle regroupe cinq chantiers complémentaires :
- Les mises à jour : cœur WordPress, thème, plugins, avec un test avant et après.
- Les sauvegardes : copies complètes (fichiers et base de données) stockées hors de l’hébergement.
- La sécurité : comptes, mots de passe, double authentification, pare-feu, analyse des fichiers.
- La performance : cache, images, base de données allégée, pour que le site reste rapide.
- La surveillance : disponibilité du site, alertes, formulaires de contact qui fonctionnent réellement.
Si le sujet des mises à jour vous parle déjà, notre article sur l’importance de maintenir votre site WordPress à jour pose les bases. Ici, on va plus loin avec une routine complète.
Les 7 risques les plus fréquents pour un site de TPE
1. Un plugin obsolète ou abandonné
C’est la première cause de piratage. Un plugin installé « pour tester » et jamais supprimé reste une porte d’entrée, même désactivé dans certains cas. Un plugin qui n’a plus reçu de mise à jour depuis des années est à remplacer.
2. Les extensions piratées (« nulled »)
Les thèmes et plugins premium téléchargés gratuitement sur des sites douteux contiennent très souvent des portes dérobées. L’économie de quelques dizaines d’euros peut coûter bien plus cher. Passez toujours par l’éditeur officiel.
3. Des mots de passe faibles ou réutilisés
Les attaques par force brute testent des milliers de combinaisons. Un identifiant « admin » associé à un mot de passe prévisible tombe en quelques minutes. Un gestionnaire de mots de passe et la double authentification règlent l’essentiel du problème.
4. Pas de sauvegarde exploitable
Beaucoup de sites ont « une sauvegarde » qui n’a jamais été testée, ou qui se trouve sur le même serveur que le site (donc perdue en cas d’incident grave). Une sauvegarde qui ne se restaure pas ne vaut rien.
5. Un hébergement bas de gamme
Serveur surchargé, version de PHP dépassée, absence de sauvegardes automatiques : l’hébergeur fait partie de la chaîne de sécurité. Un hébergement sérieux, avec PHP à jour, certificat HTTPS et pare-feu, change beaucoup de choses.
6. Des comptes utilisateurs oubliés
L’ancien prestataire, le stagiaire de l’an dernier, un compte de test : chacun de ces accès est un risque. Gardez uniquement les comptes utiles, avec le rôle le plus limité possible.
7. Les formulaires et mails qui ne partent plus
Ce n’est pas un piratage, mais c’est tout aussi coûteux : après une mise à jour ou un changement de configuration mail, le formulaire de contact cesse d’envoyer les messages et personne ne s’en aperçoit. Testez-le chaque mois.
La checklist de maintenance, à rythme adapté
Voici un calendrier réaliste pour une TPE. L’idée est d’automatiser ce qui peut l’être et de bloquer un court créneau régulier pour le reste.
| Fréquence | Tâche | Objectif |
|---|---|---|
| Chaque jour | Sauvegarde automatique (fichiers et base) | Pouvoir revenir en arrière en cas de problème |
| Chaque semaine | Mises à jour des plugins et du thème, scan de sécurité | Fermer les failles connues rapidement |
| Chaque mois | Test du formulaire de contact, contrôle des comptes, nettoyage de la base | Éviter les pertes de demandes et les accès oubliés |
| Chaque trimestre | Test de restauration d’une sauvegarde, audit des plugins, vérification de la vitesse | S’assurer que tout fonctionne vraiment |
| Chaque année | Revue de l’hébergement, de la version de PHP et du nom de domaine | Éviter les mauvaises surprises de fin de contrat |
Les 10 réglages concrets qui font la différence
- Activer les mises à jour automatiques pour les correctifs de sécurité du cœur, et pour les plugins de confiance. Pour les gros plugins (formulaires, e-commerce), préférez une mise à jour supervisée.
- Supprimer ce qui ne sert pas : plugins désactivés, thèmes par défaut inutiles, comptes dormants.
- Activer la double authentification sur tous les comptes administrateur.
- Remplacer l’identifiant « admin » par un nom moins évident et utiliser un mot de passe long, unique, enregistré dans un gestionnaire.
- Limiter les tentatives de connexion pour bloquer les attaques par force brute.
- Installer un pare-feu applicatif et un scanner de malwares (une extension reconnue ou la protection de votre hébergeur).
- Forcer le HTTPS avec un certificat valide sur tout le site.
- Désactiver l’éditeur de fichiers du tableau de bord et XML-RPC si vous n’en avez pas l’usage.
- Sauvegarder hors du serveur (stockage distant) et conserver plusieurs générations de copies.
- Surveiller la disponibilité avec un outil d’alerte gratuit qui vous prévient par mail si le site tombe.
Ces mesures sont à la portée d’un dirigeant motivé. En revanche, la configuration fine d’un pare-feu ou la restauration après incident demandent un peu de pratique : c’est là qu’un accompagnement prend tout son sens.
Sauvegardes : la règle simple à retenir
Pour les sauvegardes, retenez la règle « 3-2-1 » : trois copies de vos données, sur deux supports différents, dont une hors site. Pour un site de TPE, cela se traduit concrètement par la sauvegarde quotidienne de l’hébergeur, une seconde copie automatique envoyée vers un stockage distant, et un export complet avant chaque grosse modification.
Et surtout, testez la restauration. Un site de démonstration (environnement de test) permet de vérifier, sans risque pour votre site en ligne, que la copie est complète et exploitable. C’est le seul moyen d’être certain de ne pas découvrir le problème le jour où vous en avez besoin.
Sécurité, vitesse et RGPD : un même chantier
La maintenance ne protège pas seulement contre les pirates. Un site à jour, allégé et bien configuré est aussi plus rapide : nous détaillons les leviers dans notre guide sur la vitesse et les Core Web Vitals. Et si votre site collecte des données (formulaire de contact, newsletter, avis), la sécurité fait partie de vos obligations : tout est expliqué dans notre article RGPD et site web.
Pour aller plus loin sur les menaces elles-mêmes, vous pouvez relire notre article sur la protection de votre site contre les cyberattaques.
Que faire si votre site est piraté ou en panne ?
Face à un incident, l’ordre des actions compte. Voici une marche à suivre simple :
- Ne paniquez pas et ne supprimez rien : conservez l’état du site pour comprendre ce qui s’est passé.
- Mettez le site en mode maintenance pour protéger vos visiteurs et votre réputation.
- Changez tous les mots de passe (WordPress, hébergement, base de données, messagerie) depuis un appareil sain.
- Restaurez la dernière sauvegarde saine, puis appliquez immédiatement toutes les mises à jour.
- Recherchez la cause (plugin vulnérable, compte compromis) pour ne pas être de nouveau infecté.
- Prévenez les personnes concernées si des données personnelles ont pu être exposées, et sollicitez l’assistance de Cybermalveillance.gouv.fr si besoin.
Maintenir soi-même ou la confier à un freelance local ?
Faire soi-même est possible si vous aimez cela et si vous y consacrez réellement du temps chaque semaine. Le piège, c’est l’oubli : la maintenance est un travail invisible tant que tout fonctionne, donc facile à repousser. Beaucoup de dirigeants préfèrent la déléguer, comme ils délèguent leur comptabilité.
Un forfait de maintenance couvre généralement les mises à jour supervisées, les sauvegardes testées, la surveillance, les correctifs de sécurité et un petit volume de modifications. Selon l’étendue (site vitrine simple ou boutique en ligne), les tarifs varient fortement ; pour situer votre budget global, consultez notre guide sur le coût d’un site internet à Redon.
Un accompagnement de proximité au Pays de Redon, à Savenay et à Saint-Nazaire
Quand on dirige une entreprise locale, avoir un interlocuteur joignable qui connaît son site fait une vraie différence le jour où quelque chose cloche. Artisans, commerçants, professions libérales, associations : WebFreeyou accompagne les structures du Pays de Redon, de Savenay, de Saint-Nazaire et des communes voisines, en présentiel ou à distance, pour que leur site reste rapide, sûr et visible sur Google.
Un site bien entretenu est aussi un atout de référencement local : il charge vite, il est disponible, il inspire confiance aux visiteurs qui vous trouvent via votre fiche Google. La sécurité n’est donc pas un coût de plus, c’est une protection de votre visibilité.
Questions fréquentes
À quelle fréquence faut-il mettre à jour son site WordPress ?
Idéalement chaque semaine pour les plugins et le thème, et dès la publication d’un correctif de sécurité important pour le cœur de WordPress. Les mises à jour automatiques pour les correctifs de sécurité réduisent fortement le délai d’exposition.
Un plugin de sécurité suffit-il à protéger mon site ?
Non. Un plugin de sécurité est utile (pare-feu, analyse des fichiers, limitation des connexions), mais il ne remplace ni les mises à jour, ni les sauvegardes, ni des mots de passe solides avec double authentification. C’est l’ensemble qui protège.
Mon site est petit et peu visité : est-il vraiment menacé ?
Oui, car les attaques sont automatisées et ne regardent pas l’audience. Un petit site piraté sert souvent à envoyer des spams ou à rediriger des visiteurs vers des pages frauduleuses, ce qui abîme son référencement et votre réputation.
En résumé
La sécurité d’un site WordPress repose sur peu de choses, mais elles doivent être faites avec régularité : des mises à jour rapides, des sauvegardes testées, des accès solides, un hébergement sérieux et une surveillance minimale. En 2026, avec des failles exploitées de plus en plus vite, la maintenance préventive est devenue un réflexe de bonne gestion, au même titre que l’assurance de vos locaux.
Vous êtes à Redon, Savenay, Saint-Nazaire ou dans les environs et vous voulez un site sécurisé sans y penser ? Parlons-en, je regarde l’état de votre site et je vous propose une routine adaptée à votre activité.
