Quand un nouveau client nous confie un site, on fait toujours le même audit d’entrée — et les
mêmes signaux reviennent, dans le même ordre. Voici les 10 signes qu’on vérifie, classés du plus
visible au plus sournois. Comptez vos « oui » : le verdict est en bas. Aucun outil
nécessaire pour les 5 premiers ; les 5 suivants demandent d’ouvrir l’admin WordPress — et ce
sont les plus importants.
Les 5 signes visibles (vos visiteurs les voient déjà)
1. Le site met plus de 3 secondes à s’afficher
Testez sur votre téléphone, en 4G, pas sur le wifi du bureau où le cache vous ment. La lenteur
d’un site négligé a des causes cumulatives : base de données encombrée, extensions empilées,
images jamais optimisées, PHP obsolète. Et si l’hébergement est en cause, on a publié
le diagnostic pour le déterminer.
2. Un formulaire qui ne répond plus
Le classique absolu : le formulaire de contact qui n’envoie plus rien depuis des mois, et
personne ne s’en est aperçu — les demandes partaient dans le vide. Cause fréquente : un
conflit d’extensions après une mise à jour isolée, ou un e-mail d’expédition blacklisté.
Envoyez-vous un message de test maintenant : c’est le contrôle le plus
rentable de cette liste.
3. Des erreurs qui s’affichent (ou des pages blanches)
Warnings PHP en haut de page, « erreur critique sur ce site », pages blanches
intermittentes : ce sont des incompatibilités de versions qui s’aggravent à chaque mise à jour
du reste de l’écosystème. Un site sain n’affiche jamais d’erreur technique à un visiteur.
4. Le mobile est cassé
Menus qui débordent, textes minuscules, boutons incliquables : plus de la moitié de votre
trafic est mobile, et Google indexe votre site en version mobile d’abord. Un affichage mobile
dégradé est à la fois un signe de thème vieillissant et une perte sèche de clients.
5. Le contenu date : © 2023, promo de Noël en été, équipe partie
Signal faible pour vous, signal fort pour vos prospects — et pour les pirates : un site
visiblement à l’abandon annonce des extensions à l’abandon. C’est littéralement un critère de
ciblage des robots d’attaque.
Les 5 signes invisibles (les plus dangereux)
6. La pastille de mises à jour affiche un nombre à deux chiffres
Ouvrez votre admin WordPress : le chiffre rouge sur « Mises à jour ». Au-delà de
10, le site est statistiquement en zone rouge : 91 % des 11 334 vulnérabilités
WordPress recensées en 2025 concernaient des extensions (Patchstack), et les failles les
plus ciblées sont exploitées en quelques heures. L’ANSSI relève qu’environ 60 % des sites de
PME tournent avec au moins une extension obsolète — le retard de mise à jour est la première cause
de piratage que nous constatons. Notre protocole complet est ici :
mettre à jour sans rien casser.
7. Vous ne savez pas si vous avez des sauvegardes
Question test : « si le site disparaissait ce soir, qui appelez-vous et que
récupérez-vous ? ». Si la réponse est « je suppose que l’hébergeur a
quelque chose », comptez un « oui » — les sauvegardes d’hébergeur mutualisé sont
limitées, rarement testées, et stockées au même endroit que le site. La référence, c’est
la méthode 3-2-1.
8. Une version de PHP en fin de vie
Visible dans Outils → Santé du site. Une version de PHP qui ne reçoit plus de correctifs de
sécurité expose le serveur entier, et bride les performances : les versions récentes sont
nettement plus rapides. Si « Santé du site » affiche des recommandations critiques que
personne n’a jamais lues — c’est le signe 8.
9. Des extensions abandonnées par leurs développeurs
Moins connu : une extension peut être « à jour » chez vous et abandonnée chez son
auteur — plus de correctifs, jamais, même en cas de faille découverte. Vérifiez sur la fiche de
l’extension : « testée jusqu’à » une version de WordPress d’il y a plus d’un an =
drapeau rouge. C’est un point qu’un audit de maintenance vérifie systématiquement et qu’aucune
pastille rouge ne signalera.
10. Personne ne saurait dire qui a les accès
Ancien prestataire, stagiaire parti, associé retiré : des comptes administrateurs qui
traînent, des identifiants FTP dans de vieilles boîtes mail, un hébergement au nom de quelqu’un
d’autre. Chaque accès oublié est une porte d’entrée potentielle — et le jour où il faut agir vite
(panne, piratage), personne ne trouve les clés.
Le verdict
- →0-1 « oui » : site suivi. Vérifiez quand même le test de restauration des sauvegardes — c’est le point faible des sites « bien tenus ».
- →2-4 « oui » : site négligé, sans drame — encore. C’est la fenêtre idéale : tout se rattrape en quelques heures de remise à niveau.
- →5 « oui » et plus : site à risque réel. Statistiquement, la question n’est plus « si » mais « quand » — et un incident coûte entre 15 000 et 85 000 € à une PME selon l’ANSSI, quand un an de maintenance sérieuse en coûte une fraction.
Ce que ce test ne voit pas : les backdoors d’un piratage passé inaperçu, les injections dans la base, les comptes cachés. Si vous avez coché les signes 6 à 10, un vrai audit technique s’impose — d’autant que les signes d’un site déjà compromis sont encore plus discrets.
🔧 Vous avez compté vos « oui » et le score pique ? EVICO prend en charge mises à jour, sauvegardes, sécurité et surveillance de votre site : découvrez notre maintenance WordPress — audit initial offert. Ou contactez-nous directement.
Sources : Patchstack, State of WordPress Security in 2026 (11 334 vulnérabilités,
91 % extensions, exploitation en heures) ; ANSSI / CERT-FR (60 % des sites PME avec
extension obsolète, coût incident 15-85 k€) ; constats d’audits d’entrée EVICO.
