Un site qu'on ne met jamais à jour : ce que vous risquez vraiment

« Mon site marche, pourquoi je paierais une maintenance ? » C'est une question légitime, et je l'entends souvent. Le problème, c'est qu'un site n'est pas une plaquette imprimée. C'est un logiciel connecté en permanence à Internet, qui repose sur des dizaines de briques qui vieillissent. Laissé seul, il ne reste pas stable : il se dégrade, lentement, puis d'un coup.

Un site n'est pas un objet fini, c'est un logiciel vivant

Votre site tourne sur un serveur, un langage (PHP, Node), un CMS ou un framework, et souvent une couche de plugins ou de dépendances. Chacune de ces briques publie régulièrement des mises à jour, dont une bonne partie corrige des failles de sécurité. Le jour où vous mettez le site en ligne, tout est à jour. Six mois plus tard, plus rien ne l'est. Et le décalage ne fait que grandir.

Risque n°1 : la faille de sécurité

C'est le risque le plus concret, surtout sous WordPress qui équipe une large part du web et concentre donc l'attention des attaquants. La plupart des piratages n'ont rien de ciblé : ce sont des robots qui scannent des millions de sites à la recherche d'une version de plugin connue pour être vulnérable. Si la vôtre traîne depuis huit mois, vous êtes une cible facile.

Les chiffres confirment où se situe le danger. Dans son rapport annuel sur la sécurité WordPress, Patchstack recense que plus de 90 % des failles de l'écosystème WordPress proviennent des extensions, pas du cœur du CMS. Autrement dit, ce sont vos plugins non mis à jour qui ouvrent la porte, bien plus que WordPress lui-même.

• Injection de spam : votre site se met à rediriger vers des pages douteuses ou des pharmacies en ligne, à votre insu.
• Défacement : la page d'accueil est remplacée par un message d'attaquant.
• Vol de données : si vous avez des comptes clients ou un formulaire, les données peuvent fuiter.
• Blacklist Google : un site infecté est signalé « site dangereux » dans les résultats, et le trafic s'effondre du jour au lendemain.

Risque n°2 : la panne au pire moment

Une mise à jour de PHP côté hébergeur, un plugin qui n'est plus compatible, un certificat SSL expiré : il suffit d'un maillon pour que le site tombe. Et il ne tombe jamais un mardi tranquille. Il tombe pendant une promo, la veille d'un rendez-vous important, ou quand un client cherche justement à vous contacter. Sans maintenance, personne ne surveille, et vous découvrez la panne quand un proche vous prévient que « votre site ne s'ouvre plus ».

Risque n°3 : le référencement qui glisse

Google favorise les sites rapides, sûrs et à jour. Un site non maintenu accumule les signaux négatifs : temps de chargement qui augmente à mesure que la base de données gonfle, erreurs techniques non corrigées, Core Web Vitals qui repassent au rouge. La chute n'est pas brutale, elle est progressive, ce qui la rend d'autant plus insidieuse : vous perdez des positions sans jamais avoir de moment déclencheur clair.

Risque n°4 : la réparation coûte plus cher que la prévention

C'est le calcul que beaucoup font à l'envers. Économiser 80 à 150 € par mois de maintenance semble raisonnable, jusqu'au jour où il faut nettoyer un site piraté, restaurer une sauvegarde qui n'existe pas, ou remettre à niveau deux ans de mises à jour d'un coup. À ce stade, la facture de réparation dépasse souvent une année entière de maintenance, et le site reste hors ligne pendant l'opération.

« La maintenance ne se voit pas quand tout va bien. C'est exactement pour ça qu'elle est efficace : son travail, c'est que rien n'arrive. »

Ce que couvre une vraie maintenance

1. 01Mises à jour régulières du cœur, des extensions et des dépendances, testées avant d'être appliquées.
2. 02Sauvegardes automatiques et vérifiées, avec une restauration possible en quelques minutes.
3. 03Surveillance de la disponibilité et des performances, pour détecter une panne avant vos visiteurs.
4. 04Veille de sécurité et correction des failles connues dès leur publication.
5. 05Renouvellement et vérification des certificats SSL et des accès.

Faut-il une maintenance pour tous les sites ?

Non, et il faut être honnête là-dessus. Un site statique en Next.js hébergé sur Vercel, sans base de données ni plugins, demande beaucoup moins de suivi qu'un WordPress bourré d'extensions. C'est d'ailleurs un des arguments du débat WordPress ou Next.js : la surface d'attaque et la charge de maintenance ne sont pas les mêmes. Mais « moins » ne veut pas dire « zéro » : même un site simple a besoin de sauvegardes et d'un œil de temps en temps.

Pour aller plus loin

Si vous voulez creuser le sujet par vous-même, voici trois ressources fiables. Les deux premières viennent du dispositif public Cybermalveillance.gouv.fr, la troisième est le rapport de référence sur les failles WordPress.

• Cybermalveillance.gouv.fr : Pourquoi et comment bien gérer ses mises à jour : les bons réflexes pour ne pas laisser un logiciel prendre du retard.
• Cybermalveillance.gouv.fr : Comment sécuriser son site Internet : un guide clair, écrit pour des non-spécialistes.
• Patchstack : State of WordPress Security : le rapport annuel qui détaille d'où viennent réellement les failles.

En résumé

Un site non maintenu ne reste pas dans son état du jour de la livraison. Il vieillit, s'expose et ralentit, sans que rien ne le montre à l'écran. La maintenance n'est pas une rente déguisée : c'est l'assurance que le site pour lequel vous avez payé continue de faire son travail. Si vous ne savez pas dans quel état est le vôtre, écrivez-moi : je le regarde et je vous dis franchement s'il tient la route ou s'il est en train de vous coûter du trafic en silence.