Sécurité : ce qui arrive vraiment à un site qu'on ne met plus à jour

« Qui irait pirater le site d'un plombier de Moselle ? » C'est la phrase que j'entends le plus souvent, et elle repose sur un malentendu : personne ne vous vise personnellement. Les attaques sont automatisées — des robots parcourent le web en permanence à la recherche de sites présentant une faille connue, quels qu'ils soient. Voici ce qui arrive réellement à un site laissé sans mises à jour, et comment l'éviter sans y passer ses soirées.

Que risque vraiment un site qu'on ne met plus à jour ?

Dans la plupart des cas, rien de spectaculaire pendant longtemps : le site fonctionne, et sa seule dégradation visible est un glissement progressif dans les résultats Google. Puis, à l'occasion d'une faille connue non corrigée, il peut être compromis — le plus souvent pour héberger discrètement du contenu qui n'est pas le vôtre, sans que vous vous en aperceviez.

Il faut donc distinguer deux choses : la dégradation lente, qui est certaine, et l'incident de sécurité, qui est possible. La première coûte des clients tous les mois ; la seconde coûte cher d'un coup.

Pourquoi les mises à jour existent-elles ?

Un site construit sur un système de gestion de contenu — WordPress en tête — repose sur trois couches : le cœur du logiciel, le thème, et les extensions. Chacune est développée par quelqu'un, et chacune peut contenir une faille.

Quand une faille est découverte, le développeur publie un correctif. Le problème est que la publication du correctif rend la faille publique : à partir de ce moment, tous les sites qui n'ont pas appliqué la mise à jour deviennent des cibles identifiables, et les robots commencent à les chercher. C'est pour cela que le délai compte autant que la mise à jour elle-même.

Les trois scénarios les plus fréquents

Le site devient une page de spam. C'est de loin le cas le plus courant. Des pages sont ajoutées à votre insu — pharmacie en ligne, contrefaçons, jeux d'argent — invisibles pour vous, mais indexées par Google. Vous ne le découvrez souvent qu'en voyant votre site marqué comme dangereux dans les résultats, ou en recevant un message de votre hébergeur.

Le site sert à envoyer des mails. Votre hébergement est détourné pour expédier du courrier indésirable. Conséquence directe : votre nom de domaine est blacklisté, et vos mails professionnels — devis, factures — n'arrivent plus chez vos clients. C'est le scénario le plus douloureux au quotidien.

Le site tombe simplement en panne. Pas de piratage ici : l'hébergeur met à jour la version de PHP, et un site figé depuis quatre ans ne redémarre pas. Écran blanc, du jour au lendemain, sans prévenir.

Combien ça coûte de réparer ?

C'est l'argument qui convainc le mieux. Nettoyer un site compromis demande d'identifier le point d'entrée, de supprimer les fichiers ajoutés, de restaurer une version saine, de changer tous les accès, puis de demander à Google de réexaminer le site. Comptez plusieurs journées de travail, et des semaines pour retrouver votre position dans les résultats.

À côté, un contrat de maintenance représente quelques dizaines d'euros par mois. Le calcul est vite fait — et il ne tient même pas compte des devis perdus pendant la panne.

Ce qu'il faut faire, dans l'ordre

1. Sauvegarder avant tout. Une sauvegarde automatique, quotidienne ou hebdomadaire, stockée ailleurs que sur le serveur du site. C'est la seule protection qui fonctionne dans tous les cas de figure : avec une bonne sauvegarde, le pire incident devient une restauration d'une heure.
2. Mettre à jour régulièrement, dans le bon ordre : sauvegarde, puis mise à jour, puis vérification que le site fonctionne. Une fois par mois suffit dans la plupart des cas, sauf faille critique.
3. Supprimer ce qui ne sert plus. Chaque extension installée est une porte. Une extension désactivée mais toujours présente reste une porte. Faites le ménage.
4. Sécuriser les accès. Un mot de passe long et unique, jamais réutilisé ailleurs, et l'authentification à deux facteurs si elle est disponible. Le compte « admin » avec le mot de passe du prénom des enfants reste, encore aujourd'hui, la première cause d'intrusion.
5. Limiter les comptes administrateurs. Un ancien prestataire n'a pas besoin d'un accès permanent. Retirez les comptes inutilisés.
6. Vérifier que le site est bien en HTTPS, avec un certificat valide et renouvelé automatiquement.

Comment savoir si votre site est déjà compromis ?

Quelques vérifications simples, à faire aujourd'hui :

• Tapez site:votredomaine.fr dans Google. Si des pages inconnues apparaissent, vous avez la réponse.
• Ouvrez votre site en navigation privée, depuis un téléphone. Certaines infections ne se déclenchent que pour les visiteurs venus de Google, jamais pour vous.
• Regardez la liste des comptes administrateurs : un compte que vous n'avez pas créé est un signal sans ambiguïté.
• Vérifiez que vos mails partent bien et n'atterrissent pas systématiquement en indésirable.

Si l'un de ces points cloche, ne bricolez pas : coupez l'accès public, restaurez une sauvegarde antérieure, et changez tous les mots de passe.

Et si le site n'a pas d'extensions ?

C'est l'argument des sites codés sur-mesure : moins de code, pas d'extensions tierces, donc une surface d'attaque considérablement réduite. C'est vrai, et c'est un vrai avantage — mais cela ne dispense de rien. Un site sur-mesure a lui aussi besoin de sauvegardes, d'un hébergement à jour, de mots de passe solides et d'un certificat valide.

La différence n'est pas « sécurisé » contre « vulnérable », c'est « peu d'entretien » contre « entretien mensuel ». Ce point fait partie des critères à peser au moment de choisir, comme je l'explique dans mon article sur le choix de l'outil pour une TPE.

En résumé

Personne ne vous vise, et c'est bien le problème : les robots ne font pas de tri. Sauvegardes ailleurs, mises à jour mensuelles, ménage dans les extensions, mots de passe solides. Quatre habitudes qui rendent l'incident très improbable, et sans conséquence s'il survient.

Si vous ne voulez pas vous en occuper — ce qui est parfaitement légitime, ce n'est pas votre métier —, c'est exactement l'objet d'un contrat de maintenance, dont l'utilité concrète est détaillée dans le guide correspondant. Un doute sur l'état de votre site ? Envoyez-moi son adresse, je regarde.