Chaque mise à jour de sécurité publiée par WordPress, PrestaShop ou n'importe quel plugin s'accompagne souvent d'un changelog qui décrit, parfois en détail, la faille corrigée. Ce changelog est public. Les pirates le lisent aussi vite que vous, sinon plus vite, et savent exactement quels sites n'ont pas encore appliqué le correctif. Un site qui traîne trois mois sans mise à jour n'est pas simplement "un peu en retard", il affiche publiquement la liste des failles par lesquelles on peut entrer.
Comment fonctionne l'exploitation d'une faille connue
Le scénario est presque toujours le même : un chercheur en sécurité ou l'éditeur du logiciel découvre une faille, publie un correctif et documente le problème. Des robots automatisés scannent alors le web à la recherche de sites utilisant encore la version vulnérable, identifiable simplement en regardant le code source de la page ou les métadonnées du site. En quelques jours, parfois quelques heures pour les failles critiques, des dizaines de milliers de sites sont testés automatiquement. Ce n'est pas du piratage ciblé, c'est de la pêche au chalut : le robot ne sait même pas quel est votre métier, il sait juste que votre version de plugin est vulnérable.
CMS, plugins, thèmes : tout compte, pas seulement le cœur
Beaucoup de dirigeants pensent que mettre à jour WordPress suffit. En réalité, la majorité des piratages passent par un plugin ou un thème tiers, pas par le cœur du CMS lui-même, qui est généralement bien maintenu par son éditeur. Un site avec 25 plugins actifs, dont certains n'ont pas été mis à jour depuis deux ans par leur développeur, multiplie les surfaces d'attaque potentielles. Un principe simple : moins de plugins, mieux maintenus, valent mieux qu'une collection d'extensions installées "au cas où" et jamais utilisées.
Pourquoi on ne peut pas juste "cliquer sur mettre à jour" sans vérifier
Une mise à jour mal testée peut casser une fonctionnalité du site : un plugin de paiement qui devient incompatible avec une nouvelle version du CMS, un thème qui affiche mal certaines pages après une mise à jour majeure. C'est la raison pour laquelle les mises à jour sérieuses suivent une méthode :
- Sauvegarde complète avant toute mise à jour (voir notre guide sur les sauvegardes)
- Application sur un environnement de test si le site a un trafic ou un chiffre d'affaires important
- Vérification des fonctionnalités critiques après mise à jour (formulaires, paiement, affichage mobile)
- Application en production seulement une fois le test validé
Pour un site e-commerce, cette étape de test n'est pas du luxe : une mise à jour qui casse le tunnel de commande pendant quelques heures représente une perte de chiffre d'affaires directe et mesurable.
Quelle fréquence de mise à jour appliquer
Les correctifs de sécurité critiques (faille activement exploitée) doivent être appliqués sous 48 heures. Les mises à jour mineures de routine peuvent être groupées et appliquées toutes les deux à quatre semaines. Les mises à jour majeures de version (changement de version du CMS lui-même) méritent un test préalable et une planification, car elles cassent parfois la compatibilité avec certains plugins. Un site laissé sans surveillance pendant six mois accumule un retard qui rend la mise à jour finale plus risquée qu'une série de petites mises à jour régulières.
Ce qu'on recommande
Si vous gérez votre site vous-même, bloquez quinze minutes par mois dans votre agenda pour vérifier et appliquer les mises à jour disponibles, en commençant toujours par une sauvegarde. Si vous n'avez ni le temps ni l'envie de le faire, c'est exactement le rôle d'un contrat de maintenance et sécurité : on suit les mises à jour, on les teste avant de les appliquer en production, et on documente ce qui a été fait. C'est souvent moins cher que les heures perdues à gérer un site piraté après coup.