Sécurité d'un site internet : pourquoi il faut le mettre à jour

Un site internet n'est jamais vraiment terminé. Il repose sur des briques logicielles (un CMS comme WordPress et ses extensions, ou un framework comme Next.js, plus le serveur qui l'héberge), et chacune reçoit régulièrement des correctifs de sécurité. Tant que personne ne les installe, le site reste exposé à des failles décrites publiquement, que des robots cherchent en permanence. Voici ce que risque un site qui n'est plus mis à jour, comment j'ai traité deux failles qui touchaient ce site en octobre 2026, et les bons réflexes si le vôtre a déjà été piraté.

Les robots visent une version, pas votre entreprise

Quand une faille est découverte, l'éditeur publie un correctif et un avis qui la décrit : quelles versions sont touchées, et souvent comment l'exploiter. À partir de là, des robots parcourent le web pour repérer les sites qui utilisent encore une version vulnérable. Ils ne choisissent pas leurs cibles : petite entreprise, association ou grand groupe, seul compte le fait d'être à jour ou non. Le dispositif national Cybermalveillance.gouv.fr le rappelle : il suffit d'un seul logiciel pas à jour pour ouvrir une brèche.

Et les attaquants vont de plus en plus vite. Mandiant, la société de cybersécurité de Google, mesurait en moyenne 63 jours entre la sortie d'un correctif et l'exploitation de la faille en 2018-2019, puis 5 jours en 2023. Pour WordPress, Patchstack observe en 2025 qu'environ la moitié des failles à fort impact sont exploitées dans les 24 heures qui suivent leur publication. Attendre la prochaine refonte pour mettre à jour, c'est laisser la porte ouverte pendant des mois.

Ce que risque un site qui n'est plus mis à jour

• Des pages ajoutées à votre insu, souvent du spam pour des produits douteux. Google le classe comme contenu piraté et s'efforce de l'écarter de ses résultats.
• Vos visiteurs redirigés vers des arnaques ou des sites malveillants, parfois seulement sur téléphone ou seulement depuis Google, pour que vous ne le remarquiez pas.
• Un avertissement à la place de votre site : quand la navigation sécurisée de Google repère un site dangereux, les navigateurs qui l'utilisent, Chrome en tête, affichent une alerte avant de l'ouvrir.
• Des e-mails envoyés en votre nom. Un site piraté peut servir à envoyer du spam : votre nom de domaine perd sa réputation, et vos vrais messages finissent en indésirables.
• Les données de vos clients exposées : messages du formulaire, comptes, commandes. Le RGPD impose alors des démarches précises, détaillées plus bas.

Le plus souvent, rien ne se voit sur la page d'accueil : le spam se cache dans des pages que vous ne visitez jamais. Un site piraté peut ainsi le rester des semaines sans que personne ne s'en aperçoive.

WordPress, extensions, frameworks : aucun outil n'est à l'abri

WordPress fait tourner 58,6 % des sites dont le CMS est identifié, selon W3Techs en octobre 2026 : c'est la cible la plus rentable pour les robots. En 2025, Patchstack y a recensé 11 334 nouvelles failles, 42 % de plus qu'en 2024. Le cœur de WordPress n'en comptait que 6, toutes de faible gravité : 91 % se trouvaient dans les extensions, et 9 % dans les thèmes.

Chaque extension ajoutée est donc un logiciel de plus à surveiller, et toutes ne sont pas suivies : pour 46 % de ces failles, aucun correctif n'existait au moment de leur publication. Moins d'extensions, choisies parmi celles qui sont activement maintenues, c'est déjà moins de risques.

Un site sur mesure n'échappe pas à la règle : il repose lui aussi sur des briques open source, qui ont leurs failles. Ce site, construit avec Next.js, en a fait l'expérience en octobre.

Les coulisses : deux failles dans Next.js, et ce que j'ai fait

Le 8 octobre 2026, en contrôlant les dépendances de ce site, j'ai trouvé deux avis de sécurité visant la version de Next.js qu'il utilisait. Le premier, classé critique, portait sur la génération d'images : il pouvait permettre d'exécuter du code sur le serveur. Le second, classé élevé, concernait l'optimisation des images : il pouvait servir à faire envoyer par le serveur des requêtes vers des adresses internes. Voici les étapes, dans l'ordre.

• Lire chaque avis jusqu'aux conditions d'exploitation. La première faille ne touche que les sites qui glissent dans une image générée des données envoyées par le visiteur : ce site n'y met que des textes fixes. La seconde ne concerne que les sites qui acceptent d'optimiser des images hébergées ailleurs : ce site n'en accepte aucune. Ni l'une ni l'autre n'était exploitable ici.
• Mettre à jour malgré tout, le jour même. Une faille inoffensive aujourd'hui peut devenir exploitable à la prochaine évolution du site, et il s'agissait d'une simple version corrective : aucune raison d'attendre.
• Tester avant de mettre en ligne. Vérification du code, tests automatiques, puis compilation complète du site : une mise à jour de sécurité ne doit rien casser.
• Vérifier une fois en ligne. Les pages et les images répondent normalement, et c'est bien la version corrigée qui tourne.

Ce travail de tri est la partie la moins visible de la maintenance, et l'une des plus utiles. Un avis « critique » n'est pas forcément une urgence pour votre site, et un avis jugé moins grave peut l'être : seul quelqu'un qui connaît le site de l'intérieur peut trancher vite.

Ce que doit comprendre une maintenance sérieuse

• Une veille des avis de sécurité qui concernent les briques de votre site, et l'analyse de chacun.
• Des mises à jour régulières, testées avant d'être mises en ligne, plutôt qu'un bouton « tout mettre à jour » pressé à l'aveugle.
• Des sauvegardes quotidiennes, et la certitude de pouvoir les restaurer : une sauvegarde qu'on n'a jamais essayé de restaurer reste une hypothèse.
• Une surveillance, pour apprendre une panne ou l'expiration du certificat HTTPS avant vos clients.
• Des accès protégés : un mot de passe unique par compte, la double authentification quand l'outil la propose, et le moins de comptes administrateurs possible.
• Un interlocuteur qui répond vite en cas de problème.

Pour ce site, par exemple, la base de données est sauvegardée chaque nuit, une copie chiffrée part chez un second hébergeur, et la restauration a été testée.

Votre site a été piraté : les premiers gestes

• Gardez une copie du site piraté avant de nettoyer. Les fichiers modifiés et les journaux du serveur montrent par où l'attaque est passée : sans eux, la même faille resservira.
• Prévenez votre hébergeur ou votre prestataire, et changez tous les mots de passe : hébergement, administration du site, boîtes e-mail, accès au serveur.
• Repartez d'une sauvegarde saine, antérieure au piratage, puis mettez tout à jour avant de remettre le site en ligne.
• Passez par la Google Search Console. Son rapport sur les problèmes de sécurité liste ce que Google a détecté. Une fois tout corrigé, demandez un examen depuis ce rapport, en décrivant ce que vous avez fait.
• Si des données personnelles ont pu fuiter, notifiez la CNIL dans les 72 heures, sauf si la fuite ne présente pas de risque pour les personnes concernées.
• Faites-vous aider. Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, propose une assistance en ligne et oriente vers des prestataires référencés.

Votre site est-il à jour ?

Posez deux questions à la personne qui s'occupe de votre site : de quand datent les dernières mises à jour, et qui surveille les avis de sécurité ? Sur WordPress, le tableau de bord indique aussi les extensions qui attendent une mise à jour.

Certains signes se voient même de l'extérieur. L'audit SEO gratuit les relève au passage : signalement par la navigation sécurisée de Google, certificat HTTPS et sa date d'expiration, protection du nom de domaine contre l'usurpation par e-mail (SPF et DMARC), et version de WordPress en retard quand le site l'affiche.