📌 En 30 secondes
Une maintenance WordPress mensuelle digne de ce nom couvre 4 piliers fondamentaux : les sauvegardes externalisées (jamais sur le même serveur que le site), les mises à jour testées en pré-production (cœur de WordPress, thème, plugins), le nettoyage de la base de données (spams, révisions, données orphelines) et la surveillance 24/7 (uptime, sécurité, performances). Pour une TPE/PME, comptez à partir de 50 €/mois pour un forfait professionnel — un investissement bien inférieur au coût moyen d’une intervention d’urgence après piratage (entre 800 € et 4 000 €).
📊 La maintenance WordPress en chiffres
– Plus de 90 000 attaques par minute visent les sites WordPress dans le monde (source : Wordfence Annual Threat Report).
– Près de 60 % des sites WordPress piratés présentaient un plugin ou un thème non mis à jour (source : Sucuri Hacked Website Report).
– 52 % des sites WordPress hackés en 2024 utilisaient une version obsolète du cœur, des thèmes ou des plugins (source : Patchstack Annual Security Report).
– 1 site WordPress sur 25 contiendrait au moins un plugin avec une vulnérabilité connue mais non patchée (source : Patchstack).
– Délai moyen entre la publication d’un correctif de sécurité et la première exploitation par des robots : moins de 24 heures (source : Wordfence).
« Ça y est Frédérique, le site est en ligne, on a bien travaillé ! Maintenant, on n’a plus besoin d’y toucher, n’est-ce pas ? »
Si je gagnais un euro à chaque fois qu’un client me pose cette question, je pourrais vous offrir le café à vie ! C’est une idée reçue très courante, et — soyons honnêtes — pas si bête au premier abord. On a souvent tendance à comparer un site internet à une plaquette commerciale imprimée : une fois qu’elle est chez l’imprimeur, c’est terminé.
Mais un site WordPress, ce n’est pas du papier. C’est un outil vivant, connecté en permanence au reste du monde — donc exposé en permanence aux mises à jour, aux attaques automatisées et aux évolutions techniques.
Pour bien comprendre, j’utilise souvent la métaphore de la voiture. Vous viendrait-il à l’idée d’acheter un magnifique véhicule neuf pour votre entreprise, de rouler tous les jours avec, mais de ne jamais faire la vidange, ni le contrôle technique, ni de vérifier la pression des pneus ? Bien sûr que non. Vous attendriez-vous à ce qu’il roule encore parfaitement bien dans 5 ans dans ces conditions ? Évidemment pas.
Pour votre site web, c’est exactement la même logique. En 2026, avec les évolutions technologiques constantes et l’industrialisation des cyberattaques, un site laissé à l’abandon n’est pas seulement un site qui vieillit mal — c’est un site en danger.
Voici ma checklist de webmaster senior pour comprendre ce qu’est une vraie maintenance WordPress mensuelle, et pourquoi c’est probablement le meilleur investissement « tranquillité » pour votre TPE/PME.
1. Les sauvegardes (Backups) : votre gilet de sauvetage numérique
C’est la règle d’or numéro un, et c’est tellement fondamental que ça mérite d’ouvrir cet article. Avant même de toucher à quoi que ce soit sur un site, je fais une sauvegarde complète.
Pourquoi cette obsession des sauvegardes ? Parce qu’un accident est vite arrivé. Un serveur qui tombe en panne (ça arrive même chez les meilleurs hébergeurs), une mauvaise manipulation de votre part en voulant modifier un texte (le fameux « Oups, j’ai cliqué sur le mauvais bouton ! »), une mise à jour qui se passe mal, un piratage. Sans sauvegarde fraîche, c’est la catastrophe assurée.
Une bonne maintenance implique de sauvegarder deux choses techniquement distinctes :
- Les fichiers du site : vos images, le design, le code, les plugins, le thème. C’est la « partie matérielle » de votre site.
- La base de données : vos textes, vos articles de blog, vos paramètres, vos commandes clients (si vous avez une boutique e-commerce WooCommerce), vos utilisateurs. C’est la « partie cerveau » du site.
Si vous ne sauvegardez que l’un des deux, vous ne pourrez jamais restaurer le site complet. C’est une erreur fréquente quand on bricole soi-même.
💡 Mon conseil d’experte sur les sauvegardes
Ces sauvegardes ne doivent JAMAIS être stockées uniquement sur le même serveur que votre site. Si le serveur plante, vous perdez le site ET la sauvegarde. C’est une règle absolue que beaucoup de hosters négligent.
Je les externalise toujours sur un espace sécurisé tiers (Amazon S3, Backblaze, ou serveur dédié sauvegarde) avec rétention de 30 jours minimum. Comme ça, même si vous découvrez un piratage discret 3 semaines après l’intrusion, j’ai une sauvegarde saine antérieure à la compromission.
2. Les mises à jour : le bouclier anti-piratage
C’est souvent là que le bât blesse. WordPress (le cœur du logiciel), ainsi que les thèmes (le design) et les plugins (les extensions qui ajoutent des fonctionnalités, comme un formulaire de contact ou une boutique en ligne), évoluent constamment.
Ces mises à jour n’apportent pas seulement de nouvelles fonctionnalités gadget. À environ 90 %, ce sont des correctifs de sécurité — des patches qui colmatent des failles découvertes dans le code. Et c’est un enjeu critique : selon Wordfence, le délai moyen entre la publication d’un correctif de sécurité et la première exploitation par des robots est inférieur à 24 heures. Concrètement : si vous attendez 3 mois pour faire vos mises à jour, vous laissez 90 jours d’opportunité aux pirates.
Les pirates informatiques utilisent des robots automatiques qui scannent le web 24h/24 à la recherche de sites non mis à jour pour s’y infiltrer. Faire vos mises à jour mensuellement (au minimum), c’est tout simplement fermer la porte à double tour.
⚠️ Attention au bouton « Mettre à jour tout » !
C’est la cause numéro un des fameuses « pages blanches » qui terrorisent les propriétaires de site. Une extension mise à jour peut parfois être incompatible avec une autre, ou avec la version actuelle de votre thème, ou avec la version de PHP de votre hébergeur.
C’est tout l’intérêt de me déléguer cette tâche : je teste systématiquement les mises à jour dans un environnement de pré-production (staging) qui clone votre site. Si une incompatibilité apparaît, je la résous AVANT de la déployer en production. Vous, vous ne voyez rien — et c’est précisément le but : zéro interruption de service.
Si quelque chose casse malgré tout, je suis là pour réparer immédiatement grâce à la sauvegarde de l’étape 1.
3. Le nettoyage de printemps (tous les mois)
Un site WordPress a tendance à stocker beaucoup de choses inutiles au fil du temps, ce qui finit par le ralentir. Or, un site lent, c’est un double problème :
- Vos visiteurs partent avant même que la page ait fini de charger (Google estime qu’au-delà de 3 secondes de temps de chargement, plus de la moitié des mobinautes abandonnent).
- Google rétrograde votre site dans les résultats de recherche : depuis 2021, la vitesse fait partie des Core Web Vitals, des critères officiels de référencement.
Lors de ma maintenance mensuelle, je passe un grand coup de balai sur 5 zones :
- Suppression des commentaires indésirables (spams) : sur un site populaire, on parle parfois de plusieurs milliers d’entrées par mois.
- Nettoyage des révisions d’articles : par défaut, WordPress enregistre chaque modification que vous faites sur un article ou une page. Au bout de quelques années, ça représente parfois des milliers d’enregistrements qui alourdissent considérablement la base de données.
- Suppression des extensions et thèmes inutilisés : chaque plugin désactivé mais non supprimé est une porte d’entrée potentielle pour les pirates. Mieux vaut les éliminer.
- Optimisation des images : compression, conversion au format WebP, dimensionnement adapté. Un site avec 200 photos non optimisées peut peser 50 fois plus lourd qu’il ne devrait.
- Optimisation de la vitesse de chargement : configuration du cache, minification des fichiers CSS/JS, vérification des Core Web Vitals via PageSpeed Insights de Google.
4. La surveillance (Monitoring) : prévenir plutôt que guérir
La quatrième étape de la checklist, et probablement la plus discrète, c’est la mise en place d’outils de surveillance qui tournent 24h/24 et 7j/7 — y compris pendant que vous dormez, que vous êtes en vacances ou que vous fêtez Noël en famille.
Voici ce que je surveille en continu sur les sites de mes clients :
📍 Disponibilité (uptime)
Si votre site devient subitement inaccessible un dimanche à 3 h du matin, je reçois une alerte SMS et email automatique. Cela me permet d’intervenir rapidement (souvent en contactant directement votre hébergeur) avant même que vos clients ou que vous-même ne vous en rendiez compte le lundi matin. Sur l’année passée, ça m’a évité 3 incidents majeurs chez mes clients, dont un Black Friday particulièrement intense pour une e-commerçante de la région.
📍 Sécurité
Scan hebdomadaire des fichiers à la recherche de modifications suspectes ou de malwares (avec des outils comme Wordfence ou Sucuri en version Pro). Surveillance des tentatives de connexion suspectes au tableau de bord administrateur. Alerte automatique si un nouveau compte administrateur est créé sans que je sois au courant (signal classique de piratage).
📍 Performances
Mesure mensuelle des Core Web Vitals (LCP, INP, CLS — les 3 critères officiels de Google pour la vitesse). Si un de ces critères se dégrade, j’identifie la cause (un plugin lourd, une image non optimisée, un script externe…) et je corrige avant que ça impacte votre référencement Google.
📍 Sauvegardes
Vérification automatique que les sauvegardes quotidiennes ont bien été effectuées et qu’elles sont restaurables (test mensuel). Une sauvegarde corrompue qui ne sert à rien le jour J est l’un des cauchemars les plus fréquents — je m’assure que ça n’arrive pas.
5. La checklist complète, en un coup d’œil
Pour les dirigeants pressés (et pour vous permettre de comparer mon offre avec celle d’un concurrent), voici un résumé synthétique de ce que devrait inclure une vraie maintenance WordPress mensuelle pour TPE/PME :
| Pilier | Fréquence | Points de contrôle |
|---|---|---|
| 1. Sauvegardes | Quotidien | Sauvegarde complète fichiers + base de données, externalisée chez un tiers, rétention 30 jours minimum, test de restauration mensuel |
| 2. Mises à jour | Mensuel | Cœur WordPress, thème, plugins. Test en pré-production (staging) avant déploiement en production. Documentation des changements |
| 3. Nettoyage BDD | Mensuel | Spams, révisions, transients, plugins inutilisés, optimisation des tables MySQL, optimisation des images |
| 4. Sécurité | Hebdomadaire | Scan malwares, surveillance des connexions admin, vérification des comptes utilisateurs, durcissement wp-config, mots de passe forts + 2FA |
| 5. Performances | Mensuel | Mesure Core Web Vitals, configuration du cache, optimisation images (WebP), audit Lighthouse |
| 6. Uptime | 24/7 | Alerte SMS+email si site inaccessible, intervention prioritaire en cas d’incident |
| 7. Reporting | Mensuel | Rapport synthétique avec les actions menées, les alertes traitées, les indicateurs clés |
Si votre prestataire actuel ne couvre pas ces 7 points, ce n’est pas vraiment une maintenance préventive : c’est au mieux du dépannage à la demande. Et c’est précisément ce qui finit par coûter cher.
6. Combien ça coûte ? Et surtout : combien ça rapporte ?
Soyons transparents sur les chiffres, parce que c’est souvent la première question qu’on me pose.
Les fourchettes du marché
Pour une TPE/PME en France, les forfaits de maintenance WordPress professionnelle se situent généralement dans ces plages :
- Site vitrine 5-10 pages : 50 € à 90 € HT/mois.
- Site vitrine + blog actif : 80 € à 130 € HT/mois.
- Boutique e-commerce WooCommerce : 130 € à 250 € HT/mois (selon le volume de commandes).
- Sites complexes ou multilingues : à partir de 200 € HT/mois.
Méfiez-vous des offres en dessous de 30 €/mois : à ce tarif, le prestataire ne peut pas matériellement faire un travail sérieux. Au mieux, c’est un script automatique qui pousse les mises à jour sans test (avec tous les risques que ça comporte). Au pire, c’est un argument commercial sans contenu réel.
Le calcul du retour sur investissement
💡 Le calcul honnête (à faire absolument)
Maintenance préventive professionnelle : 50 à 130 €/mois, soit 600 à 1 560 € par an.
Intervention d’urgence après piratage WordPress : 800 € à 4 000 € en moyenne, sans compter la perte d’activité, le manque à gagner et la perte de confiance des clients qui ont vu le site infecté.
Sur 5 ans, la maintenance vous aura coûté entre 3 000 € et 7 800 €. Un seul piratage évité paie la maintenance sur plusieurs années.
Sans même parler du fait que dormir tranquille n’a pas de prix.
(Si vous voulez voir à quoi ressemble concrètement un sauvetage post-piratage, j’ai détaillé un cas client réel à Chalon-sur-Saône.)
🛡️ Votre site WordPress est-il vraiment en sécurité aujourd’hui ?
Si la dernière mise à jour de votre site remonte à la dernière victoire de la France en Coupe du Monde, il est temps d’en parler ! Basée à Chalon-sur-Saône, j’accompagne des TPE et PME dans toute la France pour sécuriser leur outil de travail digital.
Contactez-moi pour un audit gratuit de l’état de santé de votre site : je vous dis honnêtement où vous en êtes, sans agenda commercial.
