Un site internet peut continuer à fonctionner pendant des années sans que personne ne s’en occupe vraiment. Les pages s’affichent, le formulaire fonctionne, les clients peuvent toujours consulter le site… alors pourquoi y toucher ? J’ai récemment accompagné un artisan dont le site WordPress illustre parfaitement le problème.
Ce qui devait être au départ un diagnostic technique a finalement révélé un site profondément compromis.
Et surtout, une réalité assez simple : un site WordPress que l'on ne maintient plus finit par accumuler une véritable dette technique et des risques de sécurité.
Tout commence par des résultats étranges dans Google
J'ai été sollicité par un partenaire spécialisé en cybersécurité pour intervenir en tant qu'expert WordPress sur le site de l'une de ses clientes.
Premier constat : quelque chose n'allait clairement pas.
En recherchant l'entreprise sur Google, certaines URL faisaient apparaître des contenus qui n'avaient absolument rien à voir avec son activité. On y trouvait notamment des références à des casinos en ligne et des contenus en langue étrangère. Des articles générés sur les mêmes sujets.
Pourtant, en parcourant WordPress, aucune de ces pages n'existait réellement. Il fallait donc aller voir plus loin.
Un WordPress qui n'avait pas été entretenu depuis longtemps
En entrant dans l'administration, un autre problème est rapidement apparu.
Le site comportait plus de 14 mises à jour d'extensions en attente. Certaines n'avaient pas été mises à jour depuis plusieurs années.
À titre d'exemple, une extension Elementor était encore installée en version 4.9.6, alors que sa version actuelle était la 6.6.7.
À cela s'ajoutaient :
- de nombreuses extensions devenues inutiles ;
- une ancienne boutique WooCommerce qui n'était plus réellement utilisée ;
- une version PHP 7.4 obsolète ;
- des fonctionnalités accumulées au fil des années ;
Bref, vous l'aurez deviner, aucune véritable maintenance régulière.
Ce genre de situation est malheureusement fréquent. On ajoute un plugin pour répondre à un besoin ponctuel, puis un autre, puis un autre…Quelques années plus tard, certains ne servent plus mais restent installés.
Or une extension inutilisée n'est pas forcément une extension sans danger.
Plus un WordPress accumule de composants anciens et non maintenus, plus sa surface d'attaque augmente.
L'analyse révèle finalement une compromission importante
En poursuivant mes investigations dans les fichiers du site et dans sa base de données, le diagnostic s'est rapidement précisé.
Le site avait bel et bien été piraté.
J'ai notamment retrouvé plusieurs comptes administrateurs créés à l'insu de la propriétaire.
Du code avait même été ajouté au site afin de créer ces comptes et de les masquer dans l'administration WordPress.
Mais ce n'était que le début.
Plusieurs portes dérobées avaient été dissimulées à différents endroits de l'installation.
Certaines permettaient notamment :
- de parcourir les fichiers du serveur ;
- d'ajouter ou supprimer des fichiers ;
- de modifier le contenu du site ;
- d'exécuter du code PHP ;
- d'exécuter certaines commandes à distance.
L'une de ces portes dérobées a d'ailleurs été immédiatement identifiée par Microsoft Defender (oui je suis sous windows) comme :
Backdoor/Remoteshell.B
Autrement dit, même en supprimant un premier fichier infecté, d'autres mécanismes pouvaient permettre à l'attaquant de conserver ou de retrouver un accès au site.
Le référencement Google avait également été détourné
Une autre partie de l'infection concernait directement le SEO.
Un script malveillant avait été intégré au chargement du site afin de récupérer et d'afficher du contenu provenant de serveurs externes. C'est ce mécanisme qui expliquait notamment les résultats liés aux casinos retrouvés dans Google.
C'est ce que l'on appelle communément du SEO spam.
Le site de l'entreprise était utilisé pour profiter de la confiance accordée par Google à son nom de domaine afin de faire apparaître des contenus qui n'avaient rien à voir avec son activité.
Les conséquences peuvent être importantes :
- dégradation de l'image de l'entreprise.
- indexation de centaines d'URL indésirables.
- perte de confiance des visiteurs.
- dégradation du référencement naturel.
- éventuel signalement du site comme dangereux.
Le problème n'était donc plus seulement technique.
Il touchait directement la visibilité et la réputation de l'entreprise sur Google.
Réparer ou repartir de zéro ?
Techniquement, il aurait été possible de continuer à chercher et supprimer les éléments malveillants un par un.
Mais à quel prix ?
Il aurait fallu analyser profondément :
- les fichiers WordPress.
- les extensions.
- le thème.
- la base de données.
- les comptes utilisateurs.
- les tâches programmées.
- les différents mécanismes de persistance.
Et malgré plusieurs heures de nettoyage, une question serait restée :
Sommes-nous absolument certains qu'il ne reste aucune porte dérobée ?
Dans ce cas précis, la réponse la plus raisonnable était donc : on repart de zéro. D'autant plus que la cliente souhaitait justement simplifier son site et abandonner son ancienne boutique en ligne.
Plutôt que d'investir son budget dans la réparation d'un WordPress vieillissant, nous avons choisi de l'investir dans un nouveau site propre, plus simple et adapté à ses besoins actuels.
Une reconstruction complète sur une base saine
J'ai donc créé une nouvelle installation WordPress totalement indépendante de l'ancienne.
L'objectif était volontairement simple : ne rien récupérer qui puisse transporter la compromission vers le nouveau site. Les contenus utiles ont été repris, mais l'ancienne installation WordPress, ses extensions et sa base technique n'ont pas été réutilisées.
J'en ai profité pour :
- reconstruire entièrement le site.
- simplifier son arborescence.
- supprimer l'ancienne partie e-commerce.
- conserver uniquement les fonctionnalités réellement utiles.
- remettre en place les différentes collections de la cliente.
- créer les pages légales nécessaires.
- configurer correctement le formulaire de contact.
- travailler la structure SEO du nouveau site.
- remettre en place les redirections nécessaires.
La cliente possédait également plusieurs noms de domaine correspondant à ses différentes collections. Ils redirigent désormais directement vers les pages correspondantes du nouveau site.
Le résultat : un seul site à administrer et à maintenir, au lieu d'un environnement devenu inutilement complexe.
Si vous aussi, votre site WordPress ne vous satisfait plus : refonte de site WordPress
La mise en ligne n'est pas la fin du travail
Le nouveau site est aujourd'hui en ligne et fonctionnel. Mais cette fois, il ne sera pas abandonné après sa livraison.
Une prestation de maintenance a été mise en place afin d'assurer dans le temps :
- les mises à jour WordPress.
- les mises à jour des extensions.
- les sauvegardes.
- la surveillance technique.
- les interventions en cas de problème.
- le maintien d'une installation propre.
Parce qu'un site WordPress n'est pas un document PDF que l'on met en ligne une fois pour toutes.
C'est un logiciel.
Et comme tout logiciel connecté à Internet, il doit être entretenu.
La maintenance coûte moins cher qu'un site piraté
C'est probablement le principal enseignement de cette intervention.
Pendant longtemps, tout semblait fonctionner normalement.
Pourtant, derrière la façade, le site vieillissait :
pas de mises à jour → extensions obsolètes → accumulation de plugins → environnement vieillissant → surface d'attaque de plus en plus importante.
Jusqu'au jour où les conséquences deviennent visibles. Et lorsqu'elles le deviennent, il est parfois déjà trop tard pour une simple intervention de maintenance.
La bonne nouvelle, c'est qu'il n'est pas nécessaire d'attendre d'en arriver là.
Vous avez un site WordPress dont personne ne s'occupe vraiment ?
Si vous ne savez plus :
- quand WordPress a été mis à jour pour la dernière fois.
- si vos extensions sont encore maintenues.
- si vos sauvegardes fonctionnent.
- pourquoi autant de plugins sont installés.
- si votre version PHP est encore supportée.
- ou si votre site est correctement surveillé…
Il est probablement temps de faire le point.
Prêt à parler de votre projet ?
👉 Demandez un diagnostique- c'est gratuit, sans engagement, et ça prend 5 minutes
FAQ - Maintenance de site WordPress
Parce que WordPress, les thèmes et les extensions évoluent régulièrement.
Les maintenir à jour permet de réduire les risques de bugs, de problèmes de compatibilité et de sécurité.
Oui.
Je commence simplement par examiner le site afin de vérifier son état général et la manière dont il a été construit.
Si des problèmes importants sont présents, je vous propose d’abord les corrections nécessaires avant de démarrer la maintenance régulière.
Je recherche l’origine du problème et restaure si nécessaire une sauvegarde afin de retrouver une version fonctionnelle du site.
L’objectif est justement que vous n’ayez pas à gérer ce type de problème vous-même.
Les petites interventions courantes peuvent être prises en charge selon leur nature.
En revanche, la création de nouvelles pages, les développements ou les modifications importantes font l’objet d’une prestation complémentaire.
Le cas échéants, nous pouvons convenir d’une mensualité plus importante pour couvrir ces modifications si elles sont récurentes ou un devis séparé correspondant à la tâche à réaliser.
Je vous préviens toujours avant d’engager un travail supplémentaire.
Indirectement, oui.
Un site rapide, fonctionnel, accessible et techniquement propre constitue une meilleure base pour le référencement.
En revanche, la maintenance ne remplace pas une stratégie SEO.
Si votre objectif est de développer votre visibilité et d’obtenir davantage de prospects depuis Google et les moteurs IA, je propose également un accompagnement SEO dédié aux PME.
Oui.
Je peux également prendre en charge la gestion de l’hébergement, du serveur et de l’infrastructure technique de votre site WordPress.
Cela inclut notamment la configuration, la surveillance, les optimisations et les interventions en cas de problème serveur.
C’est une prestation que je propose régulièrement, y compris dans des situations de site piraté ou compromis, où une reprise complète de l’environnement technique est nécessaire pour sécuriser et remettre le site en ligne dans de bonnes conditions.
Oui, absolument. Je propose ces services à la carte : création de site (à partir de 700 € HT), refonte, ou maintenance seule (à partir de 50 €/mois). Cependant, je recommande un accompagnement global pour maximiser votre ROI : un site performant sans stratégie SEO et de contenu ne génère pas de prospects.
