Où se trouve le risque sur votre site ?
Plus dans le cœur de WordPress : depuis la version 5.6, il se met à jour tout seul. En 2025, Patchstack a recensé 11 334 failles nouvelles dans l’écosystème : 91 % touchaient des extensions, 9 % des thèmes, six seulement le cœur. Environ la moitié des failles à fort impact ont été exploitées dans les 24 heures (Patchstack, rapport publié le 25 février 2026).
Une mise à jour faite quand on y pense arrive donc après l’attaque, et une extension que plus personne ne maintient reste ouverte pour toujours. Chaque mois, nous mettons à jour vos extensions, vérifions que le site tient après, et retirons celles qui ne servent plus. Vos administrateurs ont un compte chacun, des mots de passe uniques et la double authentification. Une extension de sécurité ne remplace aucune de ces lignes : elle filtre une partie des attaques, c’est tout.
Vos sauvegardes sont quotidiennes, vérifiées, et stockées ailleurs que sur le serveur du site : si le serveur tombe, elles restent. Une sauvegarde qu’on n’a jamais essayé de restaurer n’est qu’un espoir ; la vôtre est testée.
Une mise à jour casse votre site : ce qui se passe
Sans maintenance, WordPress envoie un lien de récupération à l’adresse de l’administrateur. À vous de trouver ce mail, de désactiver l’extension fautive et d’attendre le correctif.
Avec la Veille, c’est notre travail. La sauvegarde précédente est restaurée dans l’heure, la cause est identifiée, et l’incident figure dans votre espace client, avec ce qui a été fait pour qu’il ne revienne pas. Vous n’avez rien à chercher, et vous n’apprenez pas la panne par un client.
Votre site affichera-t-il une alerte dans Chrome ?
Pas s’il est en HTTPS. Google a annoncé qu’à partir de Chrome 154, prévu en octobre 2026, le navigateur demande la permission avant le premier accès à tout site public sans HTTPS (blog de Google, 28 octobre 2025). Un site encore en HTTP affiche donc un avertissement avant de s’afficher lui-même. Le certificat peut être gratuit, avec Let’s Encrypt. Le piège vient après la bascule : des images ou des scripts encore appelés en HTTP, à corriger dans la base pour que votre site s’affiche sans avertissement.
Ce que vous voyez chaque mois dans votre espace client
Votre espace client est synchronisé chaque jour depuis les données réelles du site : ce qui a été mis à jour, ce qui a été modifié, chaque incident et ce qui a été fait pour qu’il ne revienne pas. Chaque mois, il dit ce qui a été fait et la prochaine action, même les mois sans incident.
C’est la ligne qui manque à la plupart des contrats : le travail est peut-être fait, mais personne ne vous dit lequel. Hôtel Select, un hôtel indépendant maintenu chez nous depuis 2019, en plan Visibilité, reçoit ce point écrit chaque mois depuis 2026 : les requêtes qui gagnent, et la page retravaillée du mois, mesurée le mois suivant.
Si votre site arrive chez nous déjà piraté ou très lent, la réparation passe avant la Veille : elle est décrite sur la page agence WordPress.