Sécurisation & sortie de dette technique WordPress
Reprendre la main sur un site que plus personne n’ose toucher.
On établit d’abord ce qui est réellement exposé, par écrit et chiffré. Puis on corrige dans l’ordre du risque : versions, surface exposée, accès, filtrage, et des sauvegardes dont la restauration est prouvée. Un rapport ne protège personne — c’est la remise en état qui compte.
J’ai conçu les protections de la plateforme d’hébergement de l’Université Paris-Saclay : pare-feu applicatif, détection d’intrusion qui bannit au niveau du pare-feu, authentification centralisée, durcissement WordPress imposé à chaque site et sauvegardes isolées. Trois couches qui se relaient, sur un parc de plusieurs centaines de sites. La même logique tient sur un seul site : on ne superpose pas des protections, on retire d’abord ce qui expose.
- 590 € HT
- le diagnostic, déduit du chantier ensuite
- 3 jours
- pour le rapport du diagnostic et son plan chiffré
- 3 couches
- pare-feu, détection d’intrusion, durcissement applicatif
- Rapport lisible sans être technicien
- Plan chiffré poste par poste
- Le même intervenant diagnostique et corrige
- Aucune licence ni abonnement revendu
Pour qui
Quatre raisons d’ouvrir enfin le capot
Aucune ne relève de la négligence, et ce n’est pas une formule de politesse : un site vivant se dégrade tout seul, parce que les versions vieillissent et que les failles se découvrent après coup. Ce qui coûte cher, c’est de ne pas savoir où l’on en est.
Plus personne n’ose y toucher
Le site fonctionne, alors on le laisse tranquille. La version de PHP n’a pas bougé depuis des années, deux extensions ne sont plus maintenues, et la personne qui l’a construit est partie. La peur est devenue le mode d’exploitation : on ne met plus à jour parce qu’on ne sait pas ce qui va casser.
Un client vous a envoyé un questionnaire de sécurité
Un tableau de quarante questions arrivé par le service achats, avec une date de retour. Votre client durcit ses exigences envers ses fournisseurs, et son seul levier sur vous, c’est le contrat. Ne pas répondre vous met hors course, répondre au hasard vous engage sur ce que vous ne faites pas.
Vous avez été nettoyé une fois, jamais sécurisé
Le site a été remis en ligne, la porte d’entrée a peut-être été refermée, et rien d’autre n’a changé. Les mêmes extensions, les mêmes accès, la même absence de sauvegarde vérifiée. Un nettoyage traite l’incident ; il ne traite pas ce qui l’a rendu possible.
Vous ne savez pas dire ce qui tourne
Ni quelle version, ni quelles extensions, ni qui possède encore un accès administrateur, ni où sont les sauvegardes — ni si elles se restaurent. Ce n’est pas de la négligence, c’est le fonctionnement normal d’un site vivant dont personne n’a jamais eu la charge explicite.
Ce qu’on corrige
Six chantiers, dans cet ordre
L’ordre n’est pas décoratif : c’est lui qui distingue une sécurisation d’un empilement de protections. Poser un pare-feu devant un site pas à jour déplace le problème ; mettre à jour un site dont on n’a pas fait l’inventaire, c’est casser sans savoir quoi.
L’inventaire, avant toute correction
Ce qui tourne, dans quelle version, avec quelles extensions, qui détient un accès, quelles données le site collecte et où elles partent. Sans cet état des lieux, chaque correction est un pari — et c’est aussi le seul document qui permette de répondre sérieusement à un questionnaire client.
Les versions d’abord, le reste ensuite
La plupart des failles que je trouve ne sont pas des failles : ce sont des versions. Cœur, extensions, thème et surtout PHP, repris par vagues, avec une sauvegarde avant chaque étape et un retour arrière possible. C’est le geste le moins spectaculaire et de loin le plus rentable.
Réduire la surface exposée
Retirer ce qui ne sert plus : extensions abandonnées, thèmes inactifs, comptes d’administration de prestataires partis depuis longtemps, fichiers de sauvegarde oubliés à la racine, énumération des comptes laissée ouverte. Ce qui n’est pas installé ne peut pas être exploité.
Les accès, un par un
Un compte nominatif par personne au lieu d’un identifiant partagé, des droits ajustés au rôle réel, une authentification à deux facteurs sur les comptes d’administration, et la révocation de tout ce qui traîne. La plupart des intrusions n’exploitent pas une faille : elles se connectent.
Filtrage et détection, une fois le reste fait
Pare-feu applicatif, limitation des tentatives de connexion, en-têtes de sécurité, contrôle d’intégrité des fichiers pour repérer une modification anormale. Dans cet ordre, et pas avant : un pare-feu posé devant un site pas à jour déplace le problème au lieu de le traiter.
Des sauvegardes qui se restaurent
Copies chiffrées, déposées hors du serveur qu’elles sauvegardent et dans l’Union européenne, avec rotation. Et une restauration réellement essayée pendant le chantier : une sauvegarde jamais restaurée est une hypothèse, pas une garantie. C’est ce qui décide si un incident reste un incident.
Méthode
Vous savez avant de payer la suite
Le diagnostic est vendu séparément du chantier, et c’est volontaire : c’est ce qui vous permet de vous arrêter là, ou de confier la correction à quelqu’un d’autre. Un plan qu’on ne peut pas emporter ailleurs n’est pas un plan, c’est un devis déguisé.
1. Le diagnostic, avant tout engagement
Une journée d’examen et un rapport écrit, priorisé par le risque et lisible sans être technicien. Vous savez ce qui est exposé, ce qui est urgent, ce qui peut attendre — et ce que chaque poste coûtera à corriger.
2. Vous arbitrez, ligne par ligne
Le plan est chiffré poste par poste, précisément pour que vous puissiez en retirer. Rien n’oblige à tout faire, ni à me le confier : le rapport est rédigé pour être exploitable par votre équipe ou par un autre prestataire. C’est la condition pour qu’il soit honnête.
3. Le chantier, dans l’ordre du risque
On commence par ce qui expose le plus, pas par ce qui se voit le mieux. Sauvegarde avant chaque étape, retour arrière possible à chacune, et le site reste en ligne. Les interventions qui présentent un risque de casse se préparent sur une copie avant d’être appliquées.
4. La preuve, puis la suite
Restauration testée devant vous, rapport de fin de chantier comparant l’état initial et l’état livré, et la documentation de ce qui a été changé. Ensuite, soit votre équipe reprend la main avec ce document, soit on met en place ce qui empêche la rechute — ce n’est pas une condition.
Conformité
Le questionnaire de sécurité de votre client
C’est devenu la porte d’entrée la plus fréquente, et elle n’a rien à voir avec une peur du piratage : un tableau de questions arrive du service achats d’un client, avec une date de retour et un contrat en jeu. Vos clients qui relèvent des nouvelles exigences européennes doivent répondre de la sécurité de leurs fournisseurs, et leur seul levier sur vous, c’est le contrat.
Ce que je traite
- L’inventaire de ce qui tourne, des accès existants et des données que le site collecte
- Les mesures réellement en place, avec de quoi le prouver plutôt que des cases cochées
- La correction de ce qui ne passerait pas, chiffrée avant d’être engagée
- Le volet RGPD du site : sous-traitants nommés, consentement, durées de conservation
Ce qui ne m’appartient pas
- La sécurité des postes de travail et du réseau interne
- Les ressources humaines, la sensibilisation et les habilitations
- La continuité d’activité de l’entreprise au-delà du site
- Toute attestation ou certification : je fournis des éléments, pas un tampon
Où en est vraiment NIS 2, en France
La directive européenne n’est pas transposée. Le texte français qui doit le faire, la loi Résilience, a été voté au Sénat le 12 mars 2025 puis adopté à l’unanimité en commission à l’Assemblée en septembre 2025 — mais il n’a jamais été inscrit en séance publique, un désaccord sur le chiffrement des messageries bloquant son examen. La Commission européenne a saisi la Cour de justice de l’Union européenne le 8 juillet 2026 pour ce retard.Aucune obligation NIS 2 n’est donc opposable aujourd’hui à une entreprise française, et vous pouvez vous méfier de qui vous dira le contraire pour vous vendre quelque chose.
Ce qui existe déjà, en revanche : le Référentiel Cyber France publié par l’ANSSI le 17 mars 2026 — en version de travail et sans caractère obligatoire — pour ceux qui veulent prendre de l’avance, et surtout les exigences que vos donneurs d’ordre répercutent dès maintenant par contrat. C’est cette demande-là que je traite. Le jour où la loi sortira, le travail déjà fait comptera ; il ne sera simplement plus facultatif.
Situation vérifiée le . Ce dossier bouge vite : si vous lisez ceci longtemps après, vérifiez que la loi n’est pas passée entre temps.
Tarifs
On sait ce qu’on paie, à chaque étape
Deux niveaux d’examen selon ce que porte le site, puis une correction chiffrée poste par poste dans le rapport. Vous connaissez le montant du chantier avant de le lancer, et vous restez libre de n’en retenir qu’une partie.
Le plus courant
Diagnostic
590 € HT
une journée, rendu sous 3 jours ouvrés
Vous voulez savoir où vous en êtes avant d’engager quoi que ce soit. C’est le point de départ de la plupart des dossiers.
- Versions de WordPress, de PHP et des extensions, failles publiées les concernant
- Extensions abandonnées, comptes d’administration dormants, fichiers exposés
- Existence et emplacement réel des sauvegardes, exposition du site vue de l’extérieur
- Rapport écrit priorisé par le risque, lisible par un non-technicien
Plan de remise en état chiffré, poste par poste.
Audit complet
1 200 € HT
deux jours, rendu sous 5 jours ouvrés
Le site porte votre activité, ou un client vous a envoyé un questionnaire de sécurité auquel il faut répondre avec des éléments vérifiables.
- Tout le diagnostic, plus le code du thème et des extensions sur-mesure
- Base de données, configuration du serveur et de l’hébergement
- Restauration d’une sauvegarde réellement essayée, pas seulement constatée
- Revue des accès, des données collectées et du volet RGPD du site
Rapport détaillé, plan chiffré et éléments de réponse à un questionnaire fournisseur.
Ensuite, si vous le décidez
Chantier de remise en état
500 € HT / jour
3 à 8 jours dans la plupart des cas, soit 1 500 à 4 000 € HT
La correction elle-même, dans l’ordre du risque établi au rapport. Chiffrée poste par poste avant de commencer, pas au fil de l’eau.
- Sauvegarde avant chaque étape, retour arrière possible à chacune
- Le site reste en ligne ; ce qui risque de casser se prépare sur une copie
- Restauration testée et rapport de fin de chantier comparant avant et après
- Documentation de ce qui a été changé, pour que votre équipe reprenne la main
Le montant de l’audit est déduit du chantier si vous me confiez la remise en état.
Ce que je ne fais pas
- Je ne fais pas de test d’intrusion : ce métier a ses certifications, je ne les ai pas, et je vous orienterai si c’est vraiment ce qu’il vous faut
- Je ne délivre aucune attestation de conformité — je ne suis ni qualifié PASSI ni organisme certificateur
- Je traite le volet web d’un questionnaire de sécurité, pas la sécurité physique, les ressources humaines ni la continuité d’activité de l’entreprise
- Je ne revends ni licence, ni abonnement, ni extension de sécurité : ce qui est installé reste à votre nom
- Un site en cours d’attaque ou déjà hors service relève du dépannage d’urgence, pas d’un diagnostic
Le premier point mérite d’être dit avant qu’on me le demande : un test d’intrusion commandé sur un site dont les extensions ne sont pas à jour vous coûtera plusieurs milliers d’euros pour vous apprendre ce qu’un scan gratuit vous aurait déjà dit. Il a du sens après la remise en état, pas avant.
Questions
Ce qu’on me demande avant un diagnostic
Quelle différence avec le dépannage à 190 € ?
Le dépannage répond à une panne : le site est cassé, piraté ou hors ligne, et il faut le remettre en état aujourd’hui. La sécurisation s’adresse à un site qui fonctionne mais dont plus personne ne répond, et elle traite ce qui a rendu la panne possible plutôt que la panne elle-même. Si votre site est actuellement en difficulté, commencez par le dépannage : on regardera le reste une fois le feu éteint.
Le diagnostic à 590 € ou l’audit complet à 1 200 €, lequel me faut-il ?
Le diagnostic suffit dans la grande majorité des cas : il regarde le site de l’extérieur et depuis son administration, et il produit déjà le plan chiffré. L’audit complet s’impose quand le site porte réellement votre activité, quand il a été développé sur-mesure, ou quand vous devez fournir des éléments vérifiables à un client — il ouvre le code, la base, le serveur, et va jusqu’à restaurer une sauvegarde pour vérifier qu’elle fonctionne. Dans le doute, on commence par le diagnostic et on complète si besoin.
Combien coûte la correction ?
Elle est chiffrée poste par poste dans le rapport, donc vous connaissez le montant avant de vous engager, et le montant de l’audit en est déduit si vous me confiez le chantier. Pour situer l’ordre de grandeur : la plupart des chantiers tiennent entre trois et huit jours à 500 € HT la journée, soit 1 500 à 4 000 €. Un site à reprendre entièrement sort de ce cadre, et c’est alors une refonte qu’il faut comparer, pas une correction.
Un client m’envoie un questionnaire de sécurité. Vous répondez à ma place ?
Je réponds au volet qui concerne le site, son hébergement, ses sauvegardes, ses accès et les données qu’il traite — avec des éléments vérifiables plutôt que des cases cochées, et en corrigeant d’abord ce qui ne passerait pas. Le reste du questionnaire ne m’appartient pas : la sécurité des postes de travail, les ressources humaines, la continuité d’activité de l’entreprise relèvent de vous ou d’un prestataire spécialisé. Je vous dirai clairement quelles questions je ne peux pas traiter.
Est-ce que NIS 2 s’applique à mon entreprise ?
Aujourd’hui, en France, probablement pas directement : la directive européenne n’est toujours pas transposée, la loi Résilience qui doit le faire est encore en discussion au Parlement, et aucune obligation n’est donc opposable en l’état. Ce qui vous arrive en revanche déjà, c’est la répercussion par contrat : vos clients qui seront assujettis doivent maîtriser la sécurité de leurs fournisseurs, et ils l’exigent par questionnaire et par clause. C’est cette demande-là que je traite, pas une mise en conformité réglementaire.
Vous faites des tests d’intrusion ?
Non, et je préfère le dire franchement plutôt que de m’en approcher : c’est un métier distinct, avec ses certifications, que je n’ai pas. J’ajoute une chose utile pour votre budget — un test d’intrusion à plusieurs milliers d’euros sur un site dont les extensions ne sont pas à jour vous dira ce qu’un scan gratuit vous aurait déjà dit. Il prend tout son sens après la remise en état, pas avant, et je vous orienterai à ce moment-là.
Vous garantissez que je ne serai plus piraté ?
Non, et méfiez-vous de qui le promet. Ce qui se garantit, c’est qu’une faille connue ne reste pas ouverte, que la surface exposée a été réduite, que les accès sont nominatifs, et surtout qu’une sauvegarde récente se restaure — parce que c’est ce qui décide si un incident vous coûte une matinée ou votre trimestre. La sécurité absolue n’existe pas ; la capacité à revenir en arrière, si.
Et une fois le chantier terminé ?
Un site sécurisé se dégrade tout seul : les extensions publient des correctifs, les versions vieillissent, les failles se découvrent après coup. Vous pouvez reprendre la main avec la documentation remise en fin de chantier, ou souscrire un contrat de maintenance à partir de 29 € HT par mois pour que ce soit tenu sans y penser. Ce n’est pas une condition, et je ne conditionne pas le chantier à un abonnement.
Plusieurs sites plutôt qu’un seul ? Au-delà de 10, l’industrialisation traite le problème par des règles communes, pas site par site. En dessous, une maintenance mensuelle suffit à tenir ce que le chantier a remis d’aplomb.
Contact
Dites-moi ce qui coince
Un appel de quinze minutes suffit généralement à savoir si le sujet est pour moi. Si ce n’est pas le cas, je vous le dis franchement — et j’oriente quand je peux.