Sécurité WordPress : mises à jour et risques pour une PME du Québec

WordPress est sûr lorsqu'il est entretenu, et vulnérable lorsqu'il ne l'est pas. Patchstack a recensé 11 334 nouvelles vulnérabilités WordPress en 2025, dont environ 91 % dans des plugins. Pour une PME québécoise, l'enjeu est simple : mettre à jour, limiter les extensions, tenir PHP à jour et sauvegarder.

Pourquoi WordPress est une cible

WordPress propulse une très grande part des sites web, ce qui en fait une cible rentable pour les attaquants automatisés. Ils ne ciblent pas votre entreprise en particulier : leurs robots balaient Internet à la recherche de versions vulnérables de plugins, de thèmes ou du coeur de WordPress. Un site de plombier à Longueuil ou de cabinet comptable à Québec est donc exposé exactement comme un site international, dès qu'une faille connue reste non corrigée.

Le noyau de WordPress est généralement bien maintenu. Le risque se concentre ailleurs : dans l'écosystème d'extensions, souvent développées par de petites équipes ou abandonnées avec le temps.

Ce que disent les chiffres de Patchstack

Selon le rapport 2026 de Patchstack (source secondaire), 11 334 nouvelles vulnérabilités ont été recensées dans l'écosystème WordPress en 2025, une hausse d'environ 42 % sur un an. Environ 91 % d'entre elles se trouvaient dans des plugins, le reste touchant surtout les thèmes et très peu le coeur de WordPress.

Ce que cela signifie en pratique :

• chaque plugin ajouté élargit la surface d'attaque;
• un plugin non mis à jour devient un risque dès que sa faille est publique;
• le rythme des découvertes impose un entretien régulier, pas une vérification annuelle.

Attention à l'interprétation : le nombre de vulnérabilités ne dit pas combien de sites sont piratés. Il indique l'ampleur du travail de correction qui s'impose pour ceux qui exploitent WordPress.

Les mises à jour : quoi, quand, comment

Le coeur de WordPress

Les versions mineures de sécurité peuvent s'installer automatiquement; c'est une bonne pratique de laisser cette option active. Les versions majeures méritent un test préalable sur une copie du site, surtout si un thème ou un plugin personnalisé est en place.

Les plugins et les thèmes

Établissez un rythme fixe, par exemple une revue hebdomadaire. Pour chaque plugin, vérifiez trois choses : la date de dernière mise à jour, la compatibilité avec votre version de WordPress et le nombre d'installations actives. Un plugin non mis à jour depuis plus d'un an est un candidat sérieux à remplacer. Supprimez, plutôt que simplement désactiver, les extensions inutilisées : un plugin désactivé reste présent sur le serveur.

Les extensions payantes et les thèmes achetés

Plusieurs extensions payantes se mettent à jour seulement avec une licence active. Une licence expirée signifie souvent un site qui ne reçoit plus de correctifs. Inscrivez les dates de renouvellement à votre calendrier.

Ces fréquences sont des bonnes pratiques et non des obligations légales.

PHP : le moteur sous votre site

WordPress s'exécute sur PHP. Chaque version de PHP a un cycle de vie : après sa fin de support, elle ne reçoit plus de correctifs de sécurité, même si votre site semble fonctionner normalement. Utiliser une version de PHP abandonnée expose le site à des failles qui ne seront jamais corrigées. Les cycles officiels sont publiés sur php.net.

Comment vérifier la vôtre :

1. dans WordPress, ouvrez Outils, puis Santé du site, onglet Infos, section Serveur;
2. ou consultez le panneau de votre hébergeur, qui permet habituellement de changer la version de PHP;
3. comparez avec la liste des versions supportées sur php.net.

Avant de passer à une version plus récente, testez le site sur une copie : un vieux thème ou un plugin abandonné peut cesser de fonctionner. C'est d'ailleurs souvent la preuve qu'il faut le remplacer.

Plugins : moins, mais mieux

La règle la plus rentable est la sobriété. Chaque extension doit répondre à un besoin réel. Voici une grille de décision simple :

• Garder : maintenu activement, utilisé, bien évalué, compatible.
• Remplacer : non mis à jour depuis longtemps, ou doublon d'une fonction que fait déjà un autre plugin.
• Supprimer : désactivé, inutilisé ou resté d'un test.

Méfiez-vous des extensions « gratuites » téléchargées hors du répertoire officiel : elles peuvent contenir du code malveillant. Pour les formulaires, les plugins de réservation et de commerce électronique, soyez particulièrement vigilant : ce sont ceux qui manipulent des renseignements personnels, donc ceux dont une faille a le plus de conséquences en vertu de la Loi 25.

Sauvegardes : votre assurance de dernier recours

Une sauvegarde est utile seulement si elle est récente, complète, hors du serveur du site et testée. Une bonne pratique est de combiner :

• une sauvegarde quotidienne de la base de données et des fichiers pour un site qui reçoit des commandes ou des formulaires;
• une conservation de plusieurs générations, pour pouvoir revenir avant une infection discrète;
• un stockage séparé de l'hébergeur principal;
• un test de restauration au moins une fois par trimestre.

Attention : une sauvegarde contient elle-même des renseignements personnels (clients, soumissions de formulaires). Elle doit donc être protégée par un accès restreint et un chiffrement, sans quoi elle devient une nouvelle source d'incident.

Exemple pédagogique : un entrepreneur en rénovation à Gatineau

Un entrepreneur en rénovation utilise WordPress avec douze plugins, dont quatre inutilisés. Il ne met rien à jour depuis dix-huit mois, et son hébergeur exécute encore une ancienne version de PHP. Après une revue, quatre plugins sont supprimés, deux remplacés, PHP est mis à niveau sur une copie de test puis en production, et des sauvegardes quotidiennes hors site sont configurées. Le site est plus rapide et surtout, il ne dépend plus de composants abandonnés. Ce cas est fictif et sert d'illustration.

Accès et comptes : la porte d'entrée oubliée

Beaucoup de piratages n'exploitent aucune faille logicielle : ils passent par un mot de passe faible ou réutilisé. Pour les comptes administrateur de WordPress :

• activez l'authentification à deux facteurs;
• utilisez un gestionnaire de mots de passe et des mots de passe uniques;
• supprimez l'utilisateur « admin » par défaut et les comptes d'anciens employés ou prestataires;
• donnez à chacun le rôle minimal dont il a besoin;
• limitez les tentatives de connexion et surveillez les connexions inhabituelles.

Le lien avec la Loi 25

La Loi 25 ne mentionne pas WordPress. Elle prévoit toutefois, pour la gestion des incidents de confidentialité : avis à la Commission d'accès à l'information (CAI) et aux personnes touchées lorsqu'il y a risque de préjudice sérieux, et tenue d'un registre. Un site dont les plugins ne sont pas à jour et dont les formulaires collectent des données est exactement le genre de point faible qui mène à un incident. Pour la marche à suivre après un événement, voyez Incident de confidentialité : registre et réaction Loi 25.

Gardez aussi en tête les ordres de grandeur réalistes. Les plafonds de sanctions (jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial pour les sanctions administratives, selon le plus élevé) sont des maximums, pas des montants attendus pour une petite entreprise. Le plus grand risque quotidien pour une PME reste l'interruption, la perte de confiance des clients et le coût d'un nettoyage. Le rapport 2026 d'IBM situe le coût moyen d'une violation au Canada à 7,11 M$ CA, une moyenne calculée sur les organisations étudiées par IBM, sans ventilation publiée pour les PME.

Un plan d'entretien simple pour une PME

Si l'entretien vous semble lourd, c'est normal : plusieurs propriétaires de PME préfèrent le confier. Notre démarche est décrite dans l'article sur l'audit de site web et la consultation de 1 h, qui explique ce qu'un audit examine et quand le demander.

Ce que nous offrons, sans promesse excessive

IT Cares corrige et documente les éléments techniques de votre site selon le mandat signé : mises à jour, durcissement, sauvegardes, vérifications. Nous ne garantissons pas la conformité légale à la Loi 25, qui reste la responsabilité de l'entreprise. Pour parler de votre site, composez le 1 (888) 711-9428.

À retenir

• 11 334 vulnérabilités WordPress en 2025, environ 91 % dans les plugins (Patchstack).
• Mettez à jour chaque semaine, supprimez les plugins inutilisés.
• Tenez PHP à une version supportée.
• Sauvegardez hors site et testez la restauration.
• Protégez les accès avec l'authentification à deux facteurs.

Questions fréquentes

À lire aussi

• Incident de confidentialité : registre et réaction Loi 25
• Checklist Loi 25 pour le site web d'une PME
• Bandeau de témoins Loi 25 : quoi faire