Plugins WordPress abandonnés : le piège qui coûte cher
Un matin de janvier, un plombier de Rennes a tapé son propre nom sur Google et n’a rien trouvé. Son site, qui lui apportait en moyenne trois demandes de devis par semaine, avait disparu des résultats. Pas de message d’erreur spectaculaire, pas de page blanche : juste une redirection vers un site de vente de médicaments en ligne, hébergé sur son propre nom de domaine. La cause identifiée trois jours plus tard par son prestataire : un plugin de galerie photo installé en 2022, jamais mis à jour depuis, dont une faille connue depuis huit mois circulait librement sur les forums spécialisés.
Ce genre d’histoire n’est pas rare. Selon les données publiées régulièrement par Wordfence, l’un des plugins de sécurité les plus installés sur WordPress, plus de 90 % des vulnérabilités exploitées sur cet écosystème proviennent non pas du cœur de WordPress lui-même, mais des extensions tierces. Et parmi ces extensions, les plus dangereuses ne sont pas les plus récentes : ce sont celles qu’on a oubliées.
Pourquoi un plugin abandonné devient une porte grande ouverte
WordPress fonctionne comme un immeuble dont chaque appartement serait géré par un locataire différent. Le cœur du logiciel est solide, entretenu par une fondation qui publie des correctifs presque chaque mois. Mais les plugins, eux, dépendent du bon vouloir de leur développeur. Certains sont maintenus par une seule personne, parfois bénévolement, et quand cette personne change de métier ou perd l’intérêt, l’extension continue de fonctionner sur des milliers de sites sans plus jamais recevoir de mise à jour.
Le répertoire officiel de WordPress liste aujourd’hui plus de 60 000 plugins. Une étude menée par l’entreprise de sécurité Patchstack estimait qu’environ un tiers des plugins actifs n’avaient reçu aucune mise à jour depuis plus de deux ans. Ce chiffre paraît abstrait tant qu’on ne le rapporte pas à une situation concrète : un artisan qui a installé un formulaire de devis en 2023 parce qu’il fonctionnait bien, et qui n’a plus jamais regardé si une nouvelle version existait, court aujourd’hui un risque réel sans même le savoir.
Ce que cherche réellement un pirate sur un petit site vitrine
Beaucoup de propriétaires de sites artisanaux pensent, à tort, qu’ils sont trop petits pour intéresser quiconque. C’est l’inverse. Un site avec peu de trafic et peu de surveillance est une cible idéale, pas parce que son contenu a de la valeur, mais parce que son autorité de domaine et sa capacité d’hébergement en ont. Les attaques automatisées ne ciblent pas un site en particulier : des robots scannent en permanence des millions d’adresses à la recherche d’une version de plugin vulnérable, sans distinction entre le site d’un multinational et celui d’un électricien de Nancy.
Une fois la faille exploitée, l’objectif n’est presque jamais de voler des données. Dans la majorité des cas documentés par les hébergeurs français comme OVHcloud ou o2switch, le site est utilisé comme relais : envoi de spam, hébergement discret de pages de phishing, ou redirection vers des contenus douteux uniquement visible par Google, invisible pour le visiteur humain qui arrive normalement sur la page. C’est exactement ce qui a plombé le référencement du plombier rennais : Google a détecté ces redirections cachées et a classé le site comme dangereux, avant même que son propriétaire ne s’en aperçoive.
Repérer les plugins à risque sur son propre site
La bonne nouvelle, c’est que ce diagnostic ne demande aucune compétence technique poussée. Depuis le tableau de bord WordPress, la page consacrée aux extensions affiche clairement lesquelles nécessitent une mise à jour, et il suffit de cliquer sur chaque plugin pour voir sa date de dernière mise à jour et sa compatibilité annoncée avec la version de WordPress installée. Quatre signaux méritent une attention particulière avant de décider de garder ou de remplacer un plugin :
Premier signal, la date de la dernière mise à jour affichée dans le répertoire officiel : au-delà de dix-huit mois sans mise à jour, la probabilité qu’une faille non corrigée existe augmente fortement. Deuxième signal, le nombre d’installations actives combiné au nombre de contributeurs actuels du projet, deux données visibles sur la fiche du plugin : un plugin utilisé par 200 000 sites mais maintenu par une seule personne est plus fragile qu’il ne paraît. Troisième signal, la présence d’avis récents mentionnant des bugs de compatibilité, souvent le premier symptôme d’un abandon progressif. Quatrième signal, tout simplement l’utilité réelle du plugin aujourd’hui : beaucoup de sites accumulent des extensions installées pour un besoin ponctuel, jamais désinstallées ensuite, alors qu’un plugin inactif reste tout aussi vulnérable qu’un plugin actif.
Le coût réel d’un piratage pour une petite structure
Au-delà du stress, la remise en état d’un site piraté coûte concrètement de l’argent. Un nettoyage effectué par un professionnel se facture généralement entre 150 et 400 euros pour un site vitrine simple, davantage si la base de données est compromise ou si plusieurs points d’entrée ont été utilisés. À cela s’ajoute la période durant laquelle le site reste invisible ou déclassé par Google, qui peut s’étendre sur plusieurs semaines une fois le nettoyage effectué, le temps que les robots d’indexation reviennent vérifier que le danger a disparu.
Pour un artisan dont le site génère l’essentiel de ses nouveaux contacts via la recherche locale, cette période d’invisibilité a un impact direct sur le chiffre d’affaires. Un chauffagiste qui recevait quatre demandes par semaine via son formulaire de contact et qui se retrouve sans site pendant trois semaines ne récupère pas automatiquement ces opportunités perdues à la réouverture : le client qui cherchait un dépannage urgent a déjà trouvé quelqu’un d’autre. C’est cette perte silencieuse, difficile à chiffrer précisément mais bien réelle, qui rend la prévention nettement plus rentable que la réparation.
Une routine de vingt minutes qui évite l’essentiel
Il n’est pas nécessaire de devenir administrateur système pour limiter sérieusement ce risque. Une vérification mensuelle suffit dans l’immense majorité des cas : se connecter au tableau de bord, mettre à jour WordPress lui-même, mettre à jour tous les plugins listés comme obsolètes, et supprimer sans hésiter ceux qui ne sont plus utilisés depuis des mois. Les hébergeurs proposent presque tous aujourd’hui une sauvegarde automatique quotidienne ou hebdomadaire, souvent incluse dans l’offre sans surcoût, qu’il suffit d’activer une fois pour de bon.
Pour ceux qui préfèrent déléguer complètement cette tâche, des services de maintenance WordPress facturent en général entre 20 et 50 euros par mois pour gérer ces mises à jour et surveiller le site, un montant largement inférieur au coût d’un nettoyage post-piratage additionné aux semaines de visibilité perdue. Le choix entre gérer soi-même ces vingt minutes mensuelles ou payer un tiers importe moins que la régularité : un site laissé sans surveillance pendant deux ans, quel que soit le plugin en cause, finit statistiquement par croiser le mauvais robot au mauvais moment.
À lire aussi
Photo : Markus Winkler (Pexels)
✍️ Vous aussi, publiez votre article ici
Retrouvez nos différentes formules, dont la possibilité de publier gratuitement.
En savoir plus →
[…] Plugins WordPress abandonnés : le piège qui coûte cher […]