On me pose régulièrement la question : « Mon site fonctionne bien, pourquoi est-ce que je paierais pour de la maintenance ? » C'est une question légitime. Et pour y répondre, je vais vous raconter un cas réel que j'ai audité récemment - anonymisé, mais documenté à la virgule près.
Une PME suisse active dans les services aux entreprises. Un site WordPress créé il y a environ dix ans par une agence web externe. L'agence a fermé ses portes en 2020 sans passation. Personne n'a repris le site en main. Il était en ligne, il « fonctionnait », personne n'y touchait.
En mai 2026, j'ai réalisé un audit complet de ce site. Ce que j'y ai trouvé dépasse ce qu'on lit habituellement dans les articles sur la sécurité web.
WordPress 4.5 en production en 2026
La version de WordPress installée datait de 2016. Dix ans sans mise à jour majeure. Le CMS lui-même, les plugins, le thème, tout avait été figé dans le temps comme si le monde numérique s'était arrêté.
Ce n'est pas une situation rarissime. C'est même plus fréquent qu'on ne le croit dans les PME, les associations et les structures qui ont délégué leur présence web à un prestataire sans jamais reprendre la main dessus.
Le problème, c'est que le reste du monde n'a pas attendu. Les chercheurs en sécurité ont continué à identifier des failles. Les pirates ont continué à les exploiter. Et ce site est resté exposé, sans protection, pendant une décennie.
26 vulnérabilités confirmées, dont deux critiques
L'audit WPScan a identifié 26 CVE confirmées sur les seuls plugins installés. Parmi elles, deux de niveau critique :
CVE-2020-35489 - une faille dans Contact Form 7 version 4.5 permettant l'upload de fichiers arbitraires sans authentification. Concrètement : n'importe qui sur internet aurait pu déposer un fichier PHP malveillant sur le serveur, et potentiellement prendre le contrôle de l'hébergement. Cette faille est activement exploitée dans la nature depuis 2020.
CVE-2024-5709 - une faille dans WPBakery Page Builder permettant l'inclusion de fichiers locaux (LFI) par un utilisateur authentifié. Elle ouvre la porte à la lecture de fichiers sensibles du serveur.
À côté de ces deux critiques : 24 autres vulnérabilités de niveau moyen à élevé, incluant des injections SQL, des XSS stockés et des escalades de privilèges.
Ce site était, techniquement parlant, une porte ouverte.
Un lien de copyright en pied de page qui vole les données de vos visiteurs
C'est le point le plus frappant de l'audit et le plus illustratif du danger de perdre le contrôle de son infrastructure numérique.
Lors de la création du site, l'agence web avait laissé en pied de page son lien de copyright — une pratique courante, souvent automatique, intégrée directement dans le thème WordPress. Ce lien pointait vers le domaine de l'agence. Cette agence a fermé ses portes en 2020. Son domaine a expiré. Il a ensuite été racheté par des acteurs malveillants.
Au moment de l'audit, ce lien, toujours présent dans le pied de page du site, redirigeait les visiteurs vers une infrastructure de credential harvesting : un site conçu pour voler les identifiants des personnes qui y atterrissent.
Chaque visiteur qui cliquait sur ce lien était exposé à un vol de données. En silence. Sans que personne chez le client ne le sache ni ne puisse intervenir.
Ce mécanisme est documenté et de plus en plus fréquent : des domaines expirés liés à des prestataires disparus sont rachetés massivement, en particulier ceux qui apparaissent dans le code de nombreux sites. C'est une conséquence directe et concrète de la perte de contrôle d'un site web.
Le domaine peut être usurpé pour envoyer des emails en votre nom
L'audit DNS a révélé l'absence totale de configuration DMARC et DKIM sur le domaine. Ce que ça signifie concrètement : n'importe qui peut envoyer un email qui semble provenir de l'adresse officielle de la société sans que les serveurs de messagerie des destinataires ne le détectent comme frauduleux.
Pour une société dont la réputation repose sur la confiance de ses clients, c'est un risque significatif. Les usurpations de domaine sont utilisées pour des escroqueries ciblées, du phishing vers les clients ou les partenaires, ou simplement pour nuire à l'image de l'entreprise.
La mise en place de DMARC et DKIM prend moins d'une heure une fois les accès DNS disponibles.
Non-conformité nLPD - jusqu'à CHF 250 000.– d'amende personnelle
La nouvelle Loi fédérale sur la Protection des Données (nLPD) est en vigueur depuis le 1er septembre 2023. Elle s'applique à tout site web suisse collectant des données personnelles. Un simple formulaire de contact suffit à déclencher les obligations.
Ce site collectait des données (formulaire, analytics), sans politique de confidentialité, sans gestion des cookies, et avec Google Analytics Universal encore actif, un outil que Google a officiellement mis hors service en juillet 2023, mais dont le tag continue de charger des ressources depuis les serveurs de Google, constituant un transfert de données vers les États-Unis sans base légale ni consentement.
Point crucial souvent méconnu : les sanctions de la nLPD ne visent pas la personne morale, mais la personne physique responsable du traitement, le ou la dirigeant·e. Jusqu'à CHF 250 000.– d'amende personnelle.
La perte de contrôle : un risque souvent sous-estimé
Au-delà des vulnérabilités techniques, ce cas illustre un risque organisationnel que peu d'entreprises anticipent : que se passe-t-il quand votre prestataire web disparaît ?
Dans ce cas, l'agence avait été dissoute et radiée sans passation. Résultat :
Le nom de domaine était géré chez un registrar au nom de l'agence dissoute.
L'hébergement était sous un compte dont personne ne connaissait les identifiants.
La messagerie Microsoft 365 était potentiellement administrée par un compte du prestataire.
Aucun accès FTP, aucun accès à la base de données, aucune sauvegarde disponible.
La récupération de ces accès est possible mais elle nécessite des démarches auprès de chaque prestataire, avec des justificatifs légaux, et prend plusieurs semaines.
Le principe est simple : votre infrastructure numérique doit vous appartenir, pas à votre agence web. Les accès doivent être en votre possession ou en celle d'un prestataire de confiance clairement mandaté.
Le référencement : dix ans de gel
Sur le plan SEO, l'audit complet a révélé un score de 20/100. Pas d'indexation cohérente, pas de données structurées, pas de méta-descriptions, des vitesses de chargement entre 6 et 9 secondes. Un client cherchant les services de cette entreprise sur Google ne la trouverait tout simplement pas.
Pendant dix ans, des concurrents ont investi dans leur référencement. Ce site est resté immobile. Le retard à rattraper est réel, mais il est rattrapable à condition d'agir.
Et maintenant ?
Si vous n'avez pas fait d'audit de votre site depuis plus d'un an, c'est le bon moment. Un audit de sécurité et SEO prend quelques heures et donne une image précise de l'état réel de votre présence en ligne.
Chez OliWeb, j'accompagne les PME, associations et indépendants suisses dans la maintenance, la sécurisation et la refonte de leurs sites web sur WordPress, Statamic et Laravel. Si vous avez un doute sur l'état de votre site, contactez-moi, un premier échange est toujours sans engagement.