5 novembre 2026 · 7 min de lecture

11 334 failles en un an : ce que l'entretien d'un site WordPress coûte vraiment

Un site WordPress se garde en bon état avec des mises à jour chaque mois. Voici ce que cela coûte, et ce qu'il faut demander à votre agence avant de signer.

Un site WordPress bien entretenu reste fiable, mais cet entretien a un prix. En 2025, 11 334 nouvelles failles ont été trouvées dans WordPress et ses modules, 42 % de plus qu'en 2024, selon le rapport annuel de Patchstack. Cette firme vend de la protection pour WordPress. Parmi ces failles, 91 % touchent les extensions, ces modules ajoutés au site qu'il faut mettre à jour longtemps après la livraison.

En bref

WordPress fait tourner 40,2 % de tous les sites web, et son logiciel de base n'a eu que six failles signalées en 2025.
Les failles viennent surtout des extensions et des thèmes, écrits par des milliers d'auteurs différents.
Un forfait d'entretien de base coûte de 70 $ à 110 $ par mois au Québec, selon la grille d'une agence qui le vend.
Un site fait de pages prêtes d'avance n'a ni base de données ni extensions, mais il ne convient pas à tous les projets.

Pourquoi un site WordPress demande-t-il des mises à jour chaque mois ?

WordPress est le logiciel qui fait tourner le plus de sites au monde : 40,2 % de tous les sites web, d'après le relevé de W3Techs du 19 septembre 2026. Son logiciel de base est bien surveillé. Patchstack n'y a compté que six failles en 2025, toutes de faible priorité.

Le reste du site vient d'ailleurs. Une agence part d'un thème, le gabarit visuel, puis ajoute des extensions pour le formulaire, la galerie, le calendrier ou le référencement. Chaque module a son propre auteur, qui publie ses correctifs à son rythme. D'après Patchstack, 91 % des failles de 2025 se trouvaient dans les extensions et 9 % dans les thèmes.

WordPress le dit lui-même dans son guide de sécurité officiel : gardez vos extensions à jour et supprimez celles qui ne servent plus. Les vieilles versions de WordPress ne reçoivent plus de correctifs de sécurité. Ce travail revient sans cesse, et il ne figure pas toujours dans le contrat signé avec l'agence.

Combien de temps entre une faille connue et une attaque ?

Souvent moins d'une journée. Sur les 11 334 failles de 2025, Patchstack en classe 1 966 à haute gravité, soit 17 %. Ce sont celles qu'une attaque automatisée peut exploiter sur des milliers de sites à la fois. Environ la moitié des failles à fort impact sont attaquées dans les 24 heures qui suivent leur annonce publique.

Le correctif, lui, n'est pas toujours prêt. Dans 46 % des cas, l'auteur de l'extension n'avait publié aucune correction au moment où la faille est devenue publique. Rappel : ces chiffres viennent d'un fournisseur de protection.

Ce que l'entretien coûte, ligne par ligne

L'entretien se paie en argent, en temps et en risque. Les montants du tableau viennent d'entreprises qui vendent ces services. Ils donnent un ordre de grandeur : le prix réel dépend des extensions de votre site.

Poste	Ce que c'est	Ordre de grandeur
Hébergement WordPress	l'ordinateur loué qui fabrique vos pages à chaque visite	3,99 $ par mois en promotion, 11,99 $ au prix régulier chez WHC
Forfait d'entretien de base	mises à jour, sauvegardes, surveillance	70 $ à 110 $ par mois, selon H1Site
Intervention hors forfait	une réparation ponctuelle	90 $ à 150 $ de l'heure, même source
Votre temps	relancer l'agence, vérifier que le formulaire marche encore	selon votre site
Un piratage	nettoyage, site fermé, clients inquiets	impossible à prévoir

Imaginez une boutique de vélos de huit employés dont le site vitrine tourne sur WordPress. Au prix régulier de l'hébergement et avec le forfait le moins cher de cette grille, elle paie environ 984 $ par année : 144 $ d'hébergement et 840 $ d'entretien. Au haut de la fourchette, la facture monte à 1 464 $. Sur cinq ans, l'entretien seul représente de 4 900 $ à 7 300 $.

Sans forfait, la boutique conserve ces 840 $. Le risque, lui, reste entier, et personne ne le surveille.

Que se passe-t-il quand personne ne met le site à jour ?

Pensez à un cabinet d'arpenteurs-géomètres de douze personnes, dont le site a été livré il y a trois ans. L'agence a fermé le dossier, le cabinet croyait qu'elle s'en occupait, et personne ne s'est connecté depuis. Les pages s'affichent, le formulaire envoie ses courriels, et rien ne signale qu'une extension a une faille connue depuis six mois.

Les attaques automatisées balaient le web à la recherche de tout site qui porte cette version-là, peu importe à qui il appartient. Un site piraté peut ensuite héberger des pages de pourriel, rediriger les visiteurs ailleurs ou recueillir ce que les visiteurs saisissent dans le formulaire. Le propriétaire l'apprend parfois par un client, ou par un avertissement de Google.

Le nettoyage se paie ensuite au taux horaire. La confiance d'un client qui a vu une page étrange sous votre nom se rebâtit plus lentement.

Les questions à poser à votre agence avant de signer

Un site WordPress entretenu reste un choix solide, à condition de savoir avant de signer qui fera l'entretien et à quel prix.

Qui fait les mises à jour après la livraison, et à quelle fréquence ?
Combien d'extensions le site aura-t-il, et lesquelles se paient chaque année ?
Le forfait d'entretien est-il inclus, optionnel ou obligatoire, et à quel prix ?
Que se passe-t-il si l'auteur d'une extension cesse de la mettre à jour ?
Où sont les sauvegardes, et quand a-t-on essayé de restaurer le site la dernière fois ?
À quel nom sont l'hébergement, le nom de domaine et les accès d'administration ?

Une agence sérieuse répond à ces questions par écrit, sans détour. Si la réponse à la première reste floue, prévoyez que personne ne s'en chargera.

L'autre façon : des pages prêtes d'avance

Un site peut aussi être fait de pages déjà fabriquées, remises telles quelles au visiteur, sans base de données ni programme qui assemble la page à chaque visite. Sans extensions, il n'y a rien à mettre à jour chaque mois.

C'est ainsi que SWAT bâtit ses sites, et la raison est expliquée sur la page de création de site web. Avec moins de pièces, il y a moins de pannes et moins de failles. Le site est plus rapide et coûte moins cher à héberger. Vous le modifiez quand même vous-même, dans un atelier simple, sans abonnement qui vous retient.

Ce que les pages prêtes d'avance font moins bien

Une boutique en ligne complexe, avec des centaines de produits, un inventaire et des comptes clients, demande une plateforme de commerce. Shopify ou WooCommerce, par exemple, sont faits pour ça.
Un espace membre, où chaque personne se connecte et voit son propre contenu, a besoin d'une base de données.
L'atelier sert à changer les textes et les photos. Redessiner une section ou ajouter une fonction demande un développeur.

Pensez aussi à un OBNL (organisme à but non lucratif) dont les bénévoles publient sur WordPress depuis dix ans. Changer d'outil lui demanderait des heures de formation, et ses bénévoles devraient changer leurs habitudes. Si quelqu'un fait ses mises à jour chaque mois et que c'est payé, WordPress reste pour lui un choix raisonnable.

Par où commencer

Demandez à votre agence qui met votre site à jour, et à quelle date a eu lieu la dernière mise à jour.
Demandez la liste des extensions installées, en précisant celles qui se paient et leur date de renouvellement.
Additionnez ce que le site vous coûte par année : hébergement, entretien, extensions, interventions.
Décidez ensuite : garder WordPress avec un entretien écrit et payé, ou passer à des pages prêtes d'avance à la prochaine refonte.

Si les réponses ne viennent pas, un regard extérieur aide. L'analyse de site web de SWAT examine aussi les sites WordPress, et elle distingue ce qui se règle dans une extension de ce qui demande un développeur. Et si votre site est lent en plus, lisez les trois chiffres d'un site web trop lent.

Questions fréquentes

WordPress est-il dangereux ?

Non. Son logiciel de base n'a eu que six failles signalées en 2025, selon Patchstack. Le risque vient surtout des extensions ajoutées et des mises à jour oubliées. Un site avec peu d'extensions, mises à jour chaque mois par une personne nommée au contrat, suit le guide de sécurité de WordPress.

Mon hébergeur ne me protège-t-il pas déjà ?

En partie seulement. Dans les tests de Patchstack, les protections courantes, comme les filtres antipiratage des hébergeurs, n'ont bloqué que 12 % des attaques visant des failles propres à WordPress. Ce chiffre vient d'un fournisseur de protection. Demandez quand même à votre hébergeur, par écrit, ce qu'il fait et ce qu'il laisse à votre charge.

Faut-il refaire mon site pour quitter WordPress ?

Pas forcément. Si votre site est entretenu, rapide et vous amène des demandes, gardez-le. La question se pose à la prochaine refonte : SWAT garde alors vos adresses actuelles et redirige celles qui changent, pour que votre place sur Google vous suive.

Pourrai-je modifier moi-même un site sans WordPress ?

Oui. Textes, nouvelles, photos et questions fréquentes se changent dans un atelier sans programmation, et SWAT vous forme avant de partir. Un changement de mise en page ou une nouvelle fonction demande un développeur. Pour corriger une virgule, vous n'avez besoin de personne.