Maintenance d'un site WordPress : risques et prix

Un site WordPress que quelqu'un tient à jour est un bon site. Le problème, c'est l'autre cas : un site construit il y a cinq ou huit ans par un indépendant ou une agence qui n'est plus là, toujours en ligne et auquel personne n'a touché depuis. Vu de l'extérieur, tout va bien. En dessous, les plugins, le thème et la version de PHP vieillissent, et les failles connues ne se referment pas toutes seules. Si votre site ressemble à cela, voici ce qui peut mal tourner, comment le vérifier vous-même en un quart d'heure, et ce qu'il faut demander avant de payer quelqu'un pour sa maintenance.

L'avis PHP du 21 octobre 2026

Le 21 octobre 2026, le projet PHP a publié un avis de sécurité (en anglais) sur deux vulnérabilités critiques (CVE-2026-109618 et CVE-2026-109619) qui permettent à un attaquant d'exécuter du code sur un serveur sans se connecter. PHP est le langage sur lequel tourne WordPress. Les versions corrigées sont sorties le même jour : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le lendemain, le Centre pour la Cybersécurité Belgique (CCB) a publié son propre avertissement (en anglais), dont le titre demande d'appliquer le correctif immédiatement ou de mettre le site hors ligne.

Les deux avis précisent que PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet PHP. Certaines distributions Linux et certains fournisseurs de support à long terme reportent toutefois les correctifs sur ces anciennes versions. Si votre site tourne sur une ancienne version de PHP chez un hébergeur mutualisé, la question à poser à votre hébergeur est simple : ce correctif a-t-il été appliqué sur mon serveur, oui ou non ?

Sur la plupart des hébergements mutualisés, vous ne pouvez pas mettre PHP à jour vous-même. Vous pouvez en revanche savoir quelle version vous utilisez, et vous assurer que quelqu'un est chargé de poser la question.

Ce qui vieillit quand personne ne met à jour

Plugins et thèmes

La plupart des problèmes de sécurité ne viennent pas de WordPress lui-même. Patchstack, une société qui recense les vulnérabilités WordPress, a compté 11 334 nouvelles vulnérabilités dans l'écosystème WordPress en 2025 (en anglais) : 91 % dans des plugins, 9 % dans des thèmes, et 6 problèmes de faible priorité dans le cœur de WordPress. Selon le même rapport, 46 % de ces vulnérabilités n'avaient pas de correctif du développeur au moment de leur divulgation, et le délai médian pondéré avant la première exploitation était de 5 heures.

WordPress lui-même doit aussi être tenu à jour. Son guide de sécurisation demande de toujours utiliser la dernière version, car les correctifs des failles connues sont publics dès leur sortie. Ne comptez pas sur l'arrivée des correctifs de sécurité dans les anciennes versions. Au 22 octobre 2026, la version actuelle est la 7.1.3.

Versions de PHP

Chaque version de PHP a une date de fin fixe, publiée sur php.net et dans le tableau des versions en fin de vie :

Le 22 octobre 2026, les statistiques de WordPress.org montraient environ 36 % des sites WordPress sur PHP 8.1 ou plus ancien, dont près d'un sur six sur la seule version 7.4. WordPress recommande PHP 8.3 ou plus récent.

C'est souvent là que les vieux sites cassent. Quand un hébergeur fait passer ses clients à une version de PHP encore supportée, un plugin mis à jour pour la dernière fois en 2019 peut ne plus fonctionner, et vos visiteurs voient une page d'erreur à la place de votre page d'accueil. Personne n'a attaqué le site. Il était simplement trop vieux pour le serveur sur lequel il tournait.

À quoi ressemble un site piraté

Personne n'a besoin de choisir votre site exprès. Une version vulnérable d'un plugin se repère par balayage automatique, et un site qui correspond peut être détourné : pages de spam publiées sous votre nom de domaine, visiteurs redirigés vers des sites d'arnaque, script glissé dans votre formulaire de contact. Le propriétaire est souvent le dernier à s'en rendre compte, puisque la page d'accueil n'a pas changé.

Google s'en aperçoit parfois avant vous. Il peut afficher « Il est possible que ce site ait été piraté » dans les résultats de recherche, et les navigateurs qui utilisent Google Safe Browsing peuvent avertir les visiteurs avant qu'ils n'ouvrent la page. Vous pouvez vérifier votre domaine dans l'outil État des sites Safe Browsing de Google. Une fois le site nettoyé, la demande de réexamen passe par le rapport Problèmes de sécurité de la Search Console.

Quand cela devient une fuite de données

Une base de données WordPress contient souvent des données personnelles : messages du formulaire de contact enregistrés par un plugin, inscriptions à la newsletter, comptes clients, commentaires. Si un attaquant a eu accès à l'administration ou à la base de données, vous avez une possible violation de données à évaluer. Selon l'article 33 du RGPD, vous la notifiez à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d'engendrer un risque pour les personnes. L'article 34 ajoute que vous informez les personnes concernées lorsque le risque pour elles est élevé. L'article 33, paragraphe 5, vous oblige à documenter toute violation, y compris celles que vous ne notifiez pas.

En Belgique, la notification se fait via le portail de l'Autorité de protection des données (APD). Selon l'APD, les notifications envoyées par e-mail ne sont pas traitées. Vous pouvez aussi signaler un incident cyber au CCB via son formulaire de signalement.

Un contrôle en 15 minutes

Il vous faut l'identifiant administrateur de WordPress. Si personne ne l'a, c'est votre premier constat.

• Version de WordPress et de PHP : allez dans Outils › Santé du site › Infos. La section WordPress donne la version, la section Serveur donne PHP (explication de cet écran, en anglais). Comparez PHP avec le tableau ci-dessus.
• État de santé du site : l'onglet État liste les problèmes critiques, comme une version de PHP obsolète ou des plugins en attente de mise à jour.
• Plugins : notez ceux qui attendent une mise à jour et cherchez-les sur wordpress.org. Une « dernière mise à jour » de plus d'un an est un signal d'alerte, un avertissement indiquant que le plugin n'a pas été testé avec les versions récentes de WordPress en est un autre, et une page indiquant que le plugin a été fermé est le plus clair. WordPress.org ferme notamment des plugins pour des raisons de sécurité.
• Plugins et thèmes inactifs : supprimez ce que vous n'utilisez pas. Le code inactif reste accessible sur le serveur.
• Comptes administrateurs : dans Utilisateurs, filtrez sur Administrateur. Chaque nom doit être celui de quelqu'un qui travaille pour vous aujourd'hui. Un ancien indépendant qui a encore les droits d'administration, c'est une porte ouverte.
• Sauvegardes restaurables : demandez où se trouve la sauvegarde, de quand elle date et quand quelqu'un l'a restaurée pour la dernière fois pour vérifier qu'elle fonctionne. Une sauvegarde stockée sur le même serveur que le site disparaît avec lui.
• Hébergement et nom de domaine : qui a l'accès à l'hébergement, et au nom de qui le domaine est-il enregistré ? Pour un nom en .be, le WHOIS de DNS Belgium indique le titulaire.

Ce qu'un contrat de maintenance doit couvrir

Mettre les plugins à jour, c'est la partie visible. Comme près de la moitié des vulnérabilités divulguées n'avaient pas encore de correctif à ce moment-là, un contrat qui se limite à cliquer sur « tout mettre à jour » une fois par mois laisse des trous. Demandez ces points par écrit :

• La fréquence des mises à jour de WordPress, des plugins et des thèmes, et si elles sont testées avant d'arriver sur le site en ligne.
• Qui suit la version de PHP et planifie le passage avant la date de fin.
• Où sont stockées les sauvegardes (pas seulement sur le même serveur), combien de temps elles sont conservées et à quelle fréquence la restauration est testée.
• La surveillance de la disponibilité, et le délai de réaction quand le site tombe.
• Ce qui se passe si le site est piraté : le nettoyage est-il compris ou facturé à part, et à quel tarif ?
• Si les modifications de contenu sont incluses, et combien d'heures.
• Au nom de qui sont l'hébergement, le domaine et les accès administrateur. Au vôtre, avec le prestataire comme utilisateur que vous pouvez retirer.
• La durée minimale et le délai de préavis.

Maintenir, migrer ou refaire

Si le site fait encore son travail et que le contrôle révèle un thème récent et des plugins toujours maintenus, la maintenance est le choix raisonnable.

Si les plugins sont abandonnés, si le thème est un thème commercial qui n'est plus suivi, ou si le passage à un PHP récent casse tout, vous payez quelqu'un pour maintenir en vie un site qu'il faudra de toute façon remplacer. Le choix est alors entre transférer le contenu vers une nouvelle installation avec des plugins maintenus, ou faire construire un nouveau site.

Il n'existe pas de chiffre moyen fiable pour le prix de la maintenance d'un site en Belgique, nous n'en citerons donc pas. Comparez les devis avec la liste ci-dessus, pas seulement sur le montant mensuel. Ce qu'un site coûte chaque année est détaillé dans Prix d'un site internet en Belgique. Si vous hésitez entre un nouveau site et un créateur de sites par IA, lisez site internet par IA ou studio.

Ce que nous proposons

Nous n'assurons pas la maintenance de sites WordPress, ni la nôtre ni celle d'autres prestataires. Si l'autodiagnostic montre que votre site doit être remplacé, nous proposons deux chemins vers un nouveau site, selon la façon dont vous préférez payer et ce que le site doit faire.

Un commerce local qui ne veut plus s'en occuper. Un magasin, un salon, un cabinet ou un restaurant a besoin d'un site que ses clients peuvent lire dans leur langue et d'une fiche Google à jour. C'est le rôle de Navidu, un service d'Invoid Vision : nous créons un nouveau site multilingue et le faisons tourner pour un montant mensuel unique, avec votre fiche d'établissement Google et les réponses à vos avis. Plus de WordPress à mettre à jour de votre côté, et vous voyez gratuitement un aperçu de votre nouveau site avant de payer quoi que ce soit.

Un site plus ambitieux, ou que vous préférez payer en une fois. Nous réalisons un nouveau site en projet ponctuel, dans l'une de nos formules : Starter à 1 400 €, Business à 3 200 € ou Business+ à 6 000 €, hors TVA. Pour Business et Business+, nous choisissons le CMS avec vous. La reprise d'une archive de blog existante n'est pas comprise dans Business, et la migration de données fait l'objet d'un devis par projet. Le périmètre et les exclusions figurent sur la page des prix et la page création de site internet.

Après la mise en ligne, Care tient le nouveau site à jour. Care coûte 69 € par mois : hébergement dans l'UE, SSL, sauvegardes, mises à jour, surveillance de la disponibilité, une heure de modifications de contenu par mois et une réponse sous un jour ouvré. Care+ coûte 199 € par mois et y ajoute une révision mensuelle du contenu et du SEO, une analyse des statistiques, de petites modifications de fonctionnalités et une réponse prioritaire. Les deux portent sur une durée minimale de 12 mois. Prix hors TVA.