Pourquoi aucun site n’est sécurisé à 100 %
Un site internet n’est pas un bloc fermé : c’est un assemblage. Sur un site WordPress ou une boutique PrestaShop, on trouve le CMS lui-même, une vingtaine d’extensions ou de modules écrits par des éditeurs différents, un thème, PHP, une base de données et le serveur. Chacune de ces briques peut contenir une faille que personne ne connaît encore.
Les chiffres le montrent. Selon le rapport annuel de Patchstack, 11 334 nouvelles failles ont été recensées dans l’écosystème WordPress en 2025, soit 42 % de plus qu’en 2024. 91 % concernent des extensions, 9 % des thèmes, et seulement 6 le cœur de WordPress. Autrement dit, le risque vient surtout de ce qu’on ajoute au site.
Autre chiffre qui compte : environ la moitié des failles graves sont exploitées dans les 24 heures qui suivent leur publication. Les attaques sont automatisées : des robots testent en permanence des milliers de sites, sans savoir qui vous êtes. Une petite entreprise n’est pas « trop petite pour intéresser les pirates » : elle est simplement sur la liste, comme tout le monde.
Ce que j’ai trouvé sur les sites piratés que j’ai réparés
J’ai remis en état 4 sites piratés. Aucun n’avait subi une attaque sophistiquée : à chaque fois, le pirate est entré par une porte laissée ouverte.
- Une extension ou un module pas à jour : la faille était connue, le correctif existait, il n’avait simplement pas été installé.
- Un accès mal géré : compte d’un ancien prestataire jamais supprimé, accès FTP laissé ouvert, mot de passe trop simple.
- Un mot de passe réutilisé : le même mot de passe servait sur plusieurs sites. Un premier site a été piraté, et le pirate s’est servi du mot de passe récupéré pour entrer dans les autres. C’est l’erreur humaine la plus courante, et la plus facile à éviter avec un gestionnaire de mots de passe.
- Un PHP ou un hébergement en fin de vie : plus aucun correctif de sécurité n’est publié, les failles restent ouvertes pour toujours.
Ce constat rejoint les chiffres nationaux : en 2025, le piratage de compte est en tête des menaces qui touchent les professionnels, en hausse de 45 %, d’après le rapport d’activité de Cybermalveillance.gouv.fr. La sécurité d’un site se joue donc surtout sur la régularité et sur des réflexes simples, pas sur un outil miracle.
Votre site tourne-t-il sur une version encore maintenue ?
Une version qui ne reçoit plus de correctifs de sécurité est la porte d’entrée la plus durable : la faille est publique, et personne ne la corrigera. Voici où en sont les briques les plus courantes au 6 novembre 2026.
PHP
- PHP 7.4 : correctifs arrêtés depuis le 28 novembre 2022.
- PHP 8.0 : correctifs arrêtés depuis le 26 novembre 2023.
- PHP 8.1 : correctifs arrêtés depuis le 31 décembre 2025.
- PHP 8.2 : correctifs de sécurité jusqu’au 31 décembre 2026.
- PHP 8.3 : correctifs de sécurité jusqu’au 31 décembre 2027.
- PHP 8.4 : maintenu jusqu’au 31 décembre 2028.
- PHP 8.5 : maintenu jusqu’au 31 décembre 2029.
PrestaShop
- PrestaShop 1.6 : plus maintenu depuis des années.
- PrestaShop 1.7 : correctifs arrêtés à la sortie de PrestaShop 9 (juin 2025) ; le dernier, 1.7.8.11, date de janvier 2024.
- PrestaShop 8.2 : correctifs de sécurité seulement, jusqu’à la sortie de PrestaShop 10.
- PrestaShop 9 : version maintenue.
Côté modules, le collectif Friends of Presta a publié plus de 220 alertes de sécurité sur des modules PrestaShop depuis 2022, dont 141 pour la seule année 2023 : comme pour WordPress, le risque vient surtout des modules ajoutés, pas du cœur.
WordPress
- Dernière version : la seule officiellement maintenue.
- Versions 4.7 à l’avant-dernière : correctifs reportés « par courtoisie », sans garantie.
- Versions 4.6 et plus anciennes : correctifs arrêtés depuis juillet 2025.
Je mets cette liste à jour à chaque fin de support. Pour savoir où en est votre site, l’audit express le vérifie en détail.
Ce qui réduit vraiment le risque
Mettre à jour vite, mais sur une copie d’abord
La mise à jour est la protection la plus efficace, puisque la plupart des piratages exploitent des failles déjà corrigées. Mais une mise à jour peut aussi casser un thème, un module de paiement ou un formulaire. Je teste donc chaque mise à jour importante sur une copie du site avant de l’appliquer en ligne. C’est ce qui permet d’aller vite sans risque.
Des sauvegardes testées, hors du serveur
Une sauvegarde qui n’a jamais été restaurée n’est pas une sauvegarde, c’est un espoir. Elle doit être quotidienne, contenir les fichiers et la base de données, être stockée ailleurs que sur le serveur du site (sinon le pirate la chiffre ou l’efface avec le reste), et être restaurée pour de vrai de temps en temps.
Moins d’extensions, moins d’accès
Chaque extension est une porte de plus. Je supprime celles qui ne servent plus, et je préfère une extension bien maintenue à trois extensions abandonnées. Même logique pour les accès : un compte par personne, des mots de passe uniques, la double authentification sur l’administration, et les comptes des anciens prestataires supprimés.
Surveiller pour réagir vite
Puisque le risque zéro n’existe pas, il faut savoir rapidement quand quelque chose se passe : site hors ligne, fichiers modifiés, pages suspectes indexées par Google, pic d’erreurs. Un piratage découvert en quelques heures se répare en une journée ; découvert trois mois plus tard, il a souvent abîmé le référencement et la réputation.
Le HTTPS ne suffit pas
Le cadenas du navigateur chiffre les échanges entre le visiteur et le site. C’est indispensable, mais il ne dit rien de la sécurité du site lui-même : un site en HTTPS peut très bien être piraté.
Et si le site est piraté malgré tout ?
C’est là que tout le travail en amont prend son sens. Avec des sauvegardes saines et une surveillance, un piratage devient un incident, pas une catastrophe. Ma méthode : remettre le site en ligne en moins de 2 heures avec un correctif provisoire, puis le nettoyer en profondeur et fermer la porte d’entrée. C’est ce que j’ai fait pour Parismatic Tour, une agence de visites à Paris, avant de reconstruire un site de réservation sur mesure (voir l’étude de cas Parismatic Tour).
Si votre site est piraté aujourd’hui, les premiers réflexes sont simples : ne pas tout supprimer dans la précipitation, changer les mots de passe depuis un ordinateur sain, prévenir votre hébergeur, et faire nettoyer le site en cherchant la faille, sinon le pirate revient. Je détaille la marche à suivre sur la page site piraté : que faire.
Combien coûte la sécurité d’un site ?
Beaucoup moins qu’un piratage. Chez moi, la maintenance d’un site vitrine WordPress commence à 49 € HT par mois : mises à jour, sauvegardes et surveillance. Pour une boutique PrestaShop, la formule Boutique à 199 € HT par mois inclut les mises à jour testées sur une copie et 2 heures d’intervention. Le détail des formules est sur la page maintenance de site internet.
Vous ne savez pas où en est votre site ? Un audit express à 290 € HT fait le point sur les versions, les extensions, les accès et les sauvegardes, avec une liste de corrections priorisée et chiffrée.
Sources
- Patchstack, State of WordPress Security in 2026
- Cybermalveillance.gouv.fr, rapport d’activité 2025 (communiqué du 26 mars 2026)
- Cybermalveillance.gouv.fr, Comment sécuriser son site internet
- PHP, versions maintenues et versions en fin de vie
- WordPress Security Team, fin des correctifs pour les versions 4.1 à 4.6
- PrestaShop, sortie de la version 1.7.8.11
- Friends of Presta, alertes de sécurité des modules PrestaShop
- CNIL, Sécuriser les sites web
