En bref
Un petit site n'est pas visé pour ce qu'il contient mais parce qu'il est vulnérable : les attaques sont automatiques et cherchent des failles connues. Quatre gestes écartent l'essentiel du risque : tenir les extensions et le thème à jour, protéger les accès par un mot de passe unique et une double authentification, conserver une sauvegarde ailleurs que sur le serveur et l'avoir déjà restaurée une fois. Si le site est piraté, on remet en ligne une version saine, on change tous les accès, puis on demande à Google de réexaminer les pages.
Les points essentiels
- Les attaques contre les petits sites sont automatiques : elles cherchent une faille connue, pas une entreprise en particulier.
- 91 % des failles trouvées dans l'écosystème WordPress en 2025 étaient dans une extension, 9 % dans un thème, et six seulement dans le cœur du logiciel (Patchstack, 2026).
- Les failles les plus recherchées sont attaquées dans les cinq heures qui suivent leur publication : les mises à jour comptent, mais elles ne suffisent pas à elles seules.
- Une sauvegarde jamais restaurée n'est pas une sauvegarde, et une fuite de données personnelles se notifie à la CNIL sous 72 heures.
Un matin, un client vous appelle : votre site renvoie vers une boutique de contrefaçons. Ou votre hébergeur suspend votre compte parce que des milliers de courriels sont partis de votre serveur pendant la nuit. Ou vous tapez le nom de votre entreprise sur Google et vous découvrez, sous vos pages habituelles, une dizaine de pages en japonais que vous n’avez jamais écrites.
La première réaction est presque toujours la même : pourquoi nous ? Nous ne sommes qu’une petite entreprise, nous ne vendons rien en ligne, nous n’intéressons personne.
C’est justement le malentendu. Personne ne vous a choisi. Cet article explique comment ces attaques fonctionnent réellement, les quelques gestes qui écartent la plus grande partie du risque, et quoi faire si votre site est déjà touché.
Pourquoi un petit site est une cible
Les attaques qui touchent les sites de PME ne sont pas conduites par quelqu’un qui vous a dans le viseur. Ce sont des programmes qui parcourent le web en permanence, testent une faille précise sur des millions d’adresses, et s’arrêtent sur celles qui répondent.
Ce que l’attaquant récupère n’a souvent rien à voir avec votre activité :
- un serveur pour envoyer des courriels frauduleux, ce qui abîme la réputation de votre nom de domaine et fait finir vos vrais messages dans les indésirables ;
- des pages parasites ajoutées à votre site pour améliorer le référencement d’autres sites, souvent invisibles pour vous mais bien visibles pour Google ;
- une redirection qui envoie une partie de vos visiteurs vers une page de vente ou d’hameçonnage, en général seulement ceux qui viennent d’un moteur de recherche, ce qui explique que vous ne voyiez rien en tapant votre adresse ;
- les données que vous stockez : adresses de vos clients, messages reçus par le formulaire de contact, comptes utilisateurs.
Le phénomène n’a rien de marginal en France. Cybermalveillance.gouv.fr a assisté plus de 500 000 victimes en 2025, en hausse de 20 % sur un an, et le piratage de compte arrive en tête des menaces qui touchent les professionnels, en progression de 45 % (Cybermalveillance.gouv.fr, rapport d’activité 2025).
Par où ça entre vraiment
Il n’y a pas dix portes d’entrée. Il y en a trois, et elles sont toujours les mêmes.
Les extensions et les thèmes laissés en arrière
C’est de très loin la première cause. En 2025, 11 334 nouvelles failles ont été recensées dans l’écosystème WordPress, soit 42 % de plus qu’en 2024. Sur ce total, 91 % concernaient une extension et 9 % un thème ; six seulement touchaient le cœur du logiciel, et toutes étaient jugées peu risquées (Patchstack, State of WordPress Security in 2026).
Autrement dit, ce n’est presque jamais le logiciel de votre site qui pose problème, ce sont les briques ajoutées autour : un formulaire, un carrousel, un module de réservation, un thème acheté il y a quatre ans.
Deux chiffres expliquent pourquoi le sujet est urgent. D’abord, le délai : la moitié des failles à fort impact sont exploitées dans les vingt-quatre heures qui suivent leur publication, et les plus recherchées le sont en cinq heures en moyenne. Ensuite, l’inverse : parmi les dix failles les plus attaquées en 2025, six dataient d’années antérieures. Les attaquants continuent de frapper d’anciennes portes, en espérant tomber sur un site qui n’a jamais été mis à jour (même source).
Attention : une extension que vous n'utilisez plus reste une porte, même désactivée. Si elle ne sert plus, elle se supprime, elle ne se met pas en veille.
Les accès
Le deuxième chemin passe par vous, ou par quelqu’un de votre équipe. Un mot de passe d’administration réutilisé sur un autre service qui a subi une fuite, un compte laissé actif après le départ d’un salarié ou la fin d’un contrat, un accès partagé par message entre trois personnes : tout cela suffit.
L’hameçonnage est la première menace tous publics confondus en France, en hausse de 70 % en un an, et les demandes d’assistance liées à des fuites de données ont plus que doublé sur la même période (Cybermalveillance.gouv.fr, rapport d’activité 2025). Un faux message qui imite votre hébergeur, votre banque ou votre outil de facturation reste le moyen le plus simple de récupérer un accès.
Le formulaire et l’hébergement
La troisième porte est plus rare mais bien réelle : un formulaire mal fait qui permet d’envoyer autre chose que du texte, une zone de dépôt de fichiers ouverte à tous, un espace d’administration de l’hébergeur avec un mot de passe faible.
Ne comptez pas sur votre hébergeur pour arrêter tout cela. Deux campagnes de tests ont été menées en 2025 chez des hébergeurs courants pour mesurer l’efficacité de leurs protections face à ces failles : la plus large des deux conclut que 26 % seulement des attaques étaient bloquées (Patchstack, State of WordPress Security in 2026). Ces protections servent, mais elles ne remplacent pas l’entretien du site.
Les gestes qui écartent l’essentiel du risque
La bonne nouvelle, c’est que la liste est courte. Ces quatre points suffisent à écarter la grande majorité des cas.
| Le geste | Ce qu’il évite | Effort réel |
|---|---|---|
| Mettre à jour le logiciel, les extensions et le thème | La cause n°1 des piratages de petits sites | Une demi-heure par mois |
| Un mot de passe unique par service, plus la double authentification sur l’administration et l’hébergement | Un accès volé ailleurs qui ouvre votre site | Une heure au départ |
| Une sauvegarde automatique conservée ailleurs que sur le serveur, et déjà restaurée une fois | De devoir tout reconstruire | Une mise en place, puis un test par an |
| Supprimer les extensions et les comptes inutilisés | Des portes ouvertes que plus personne ne surveille | Une heure par an |
Quelques précisions valent mieux qu’une longue liste.
La sauvegarde. La question n’est pas de savoir si vous en avez une, mais où elle est stockée et si elle a déjà été restaurée. Une sauvegarde qui dort sur le même serveur que le site ne protège ni d’un piratage ni d’un sinistre. C’est un point à vérifier dans votre contrat d’hébergement, comme nous le détaillons dans notre article sur le choix d’un hébergeur.
La double authentification. C’est le code reçu par téléphone ou généré par une application, en plus du mot de passe. Sur l’administration du site et sur l’espace client de l’hébergeur, elle rend inoffensif un mot de passe volé. C’est probablement le meilleur rapport entre le temps passé et le risque évité.
Les comptes. Chaque personne qui intervient sur le site a son propre compte, avec les droits dont elle a besoin et pas plus. Un rédacteur n’a pas besoin d’installer des extensions. Quand un prestataire termine sa mission, son accès se supprime le jour même.
Gain rapide : ouvrez l'administration de votre site aujourd'hui et regardez deux choses, la liste des extensions installées et la liste des comptes utilisateurs. Tout ce que vous ne reconnaissez pas ou n'utilisez plus se supprime. C'est vingt minutes, et c'est souvent là que se trouve le problème.
Ce qui relève de votre prestataire, et ce qui reste chez vous
La sécurité d’un site se partage, et les malentendus coûtent cher au moment où quelque chose arrive. Trois questions à poser par écrit, que vous ayez un contrat de maintenance ou non.
Qui applique les mises à jour, et à quel rythme ? Beaucoup de forfaits comprennent les mises à jour du logiciel mais pas celles des extensions payantes, dont la licence doit être renouvelée pour continuer à recevoir des correctifs. Une licence expirée, c’est une extension qui ne se met plus à jour.
Qui sauvegarde, où, et pendant combien de temps ? Demandez la fréquence, la durée de conservation, le lieu de stockage et la procédure de restauration. Si personne ne sait répondre, considérez qu’il n’y a pas de sauvegarde.
Qui intervient en cas d’incident, sous quel délai, et à quel prix ? Un dépannage d’urgence non prévu au contrat se facture, et rarement au tarif habituel.
Ces questions valent pour tout le monde, mais elles deviennent sérieuses dès que le site manipule des informations sensibles. Un cabinet d’expertise comptable qui reçoit des pièces par son site, comme une agence immobilière qui stocke des dossiers de candidature à la location, ne joue pas dans la même catégorie qu’un site vitrine de trois pages.
Votre site est piraté : la marche à suivre
Dans l’ordre, sans rien sauter.
- Prévenir votre hébergeur et votre prestataire. L’hébergeur voit des choses que vous ne voyez pas et peut isoler le site le temps du nettoyage.
- Remettre en ligne une sauvegarde antérieure à l’incident. Nettoyer un site infecté à la main est un métier : certains programmes se réinstallent tout seuls dès qu’un fichier est restauré. Repartir d’une copie saine est presque toujours plus rapide et plus sûr.
- Changer tous les mots de passe, sans exception : administration du site, hébergement, base de données, comptes de messagerie associés, accès des prestataires. Un accès oublié et tout recommence quelques jours plus tard.
- Mettre à jour, puis supprimer ce qui ne sert pas. Si la faille venait d’une extension abandonnée par son auteur, il faut la remplacer, pas la réinstaller.
- Demander à Google de réexaminer le site. Quand des pages parasites ont été indexées ou qu’un avertissement s’affiche aux visiteurs, la Search Console permet de signaler que le problème est corrigé et de demander un réexamen. Sans cette étape, les pages parasites restent visibles dans les résultats pendant des semaines.
- Vérifier ce qui a pu partir. C’est le point suivant, et le seul qui comporte une obligation légale.
Une fois le site propre, un contrôle technique complet vaut le détour : il montre ce qui a été modifié, ce qui reste à corriger et ce que Google a retenu de l’épisode. C’est ce que nous regardons dans un audit technique et SEO.
Si des données personnelles ont fuité
Dès que votre site stocke des données de personnes, un formulaire de contact suffit, un piratage devient aussi un sujet réglementaire.
L’article 33 du RGPD impose de notifier la violation à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Le décompte part du moment où vous découvrez l’incident, pas du moment où il a eu lieu, et il ne s’arrête ni le week-end ni les jours fériés. Si le risque pour les personnes concernées est élevé, elles doivent être informées elles aussi.
Deux points sont souvent mal compris. Le premier : c’est votre entreprise qui notifie, même quand la faille vient de votre prestataire ou de votre hébergeur. Le second : une notification incomplète déposée dans les délais vaut mieux qu’une notification parfaite hors délai, la CNIL prévoyant explicitement de la compléter ensuite.
Le reste des obligations d’un site de PME en matière de données, du bandeau cookies aux mentions légales, est détaillé dans notre article sur le RGPD et le site web d’une PME.
Conclusion
Sécuriser le site d’une PME ne demande ni budget particulier ni compétence pointue. Cela demande de la régularité sur quatre points : les mises à jour, les accès, les sauvegardes, et le ménage dans ce qui ne sert plus. Le reste, extensions de sécurité et protections de l’hébergeur, vient après, pas avant.
Si vous ne savez pas dans quel état se trouve votre site aujourd’hui, commencez par le vérifier. Nous intégrons ces points dès la conception dans notre offre de création de site web, et le détail de nos formules figure sur la page tarifs.
