Quand un artisan ou un indépendant veut se lancer sur internet, on lui propose presque toujours la même chose : un site WordPress. C'est le choix par défaut de la majorité des agences web en Belgique, et la question de la sécurité WordPress revient rarement dans la discussion. On comprend pourquoi : WordPress existe depuis plus de 20 ans, il fait tourner une grande partie du web, et tout le monde connaît.
Mais est-ce que "tout le monde l'utilise" veut dire que c'est le meilleur choix pour vous en 2026 ? Pas forcément. Voici ce qu'on ne vous dit pas toujours avant de signer un devis.
WordPress, c'est aussi la cible n°1 des pirates
C'est le revers de la médaille de sa popularité. Selon le rapport annuel de Sucuri, une entreprise spécialisée en cybersécurité, plus de 95 % des sites infectés qu'ils détectent tournent sous WordPress. En 2025, plus de 11 000 failles de sécurité ont été découvertes dans l'écosystème WordPress - soit 42 % de plus que l'année précédente.
Concrètement, ça veut dire quoi pour vous ? Que votre site de plomberie, de garage ou de salon de coiffure peut se retrouver avec des publicités douteuses, des liens vers des sites malveillants, ou tout simplement hors ligne pendant plusieurs jours. Le coût d'un nettoyage après un piratage ? Il peut facilement dépasser 1 000 €. Et pendant ce temps-là, vos clients tombent sur une page d'erreur au lieu de votre numéro de téléphone.
Le problème vient surtout des plugins - ces petites extensions qu'on ajoute pour chaque fonctionnalité (formulaire de contact, galerie photo, SEO...). Chaque plugin est une porte d'entrée potentielle. Et un site WordPress classique en utilise facilement une dizaine.
Un site lent, c'est un site qui perd des clients
L'autre problème qu'on rencontre souvent avec WordPress, c'est la lenteur. Entre le thème, les plugins, la base de données et l'hébergement mutualisé que proposent la plupart des agences, un site WordPress met en moyenne 3 à 6 secondes à s'afficher.
Ça paraît peu. Mais les chiffres sont sans appel : quand un site met plus de 3 secondes à charger, la probabilité qu'un visiteur quitte la page augmente de 32 %. À 5 secondes, la probabilité de rebond augmente de 90 %. Presque un visiteur sur deux s'attend à ce que votre site s'affiche en moins de 2 secondes.
Pour un artisan dont chaque visite peut se transformer en appel ou en demande de devis, chaque seconde de chargement est une opportunité perdue. Si vous voulez creuser le mécanisme exact - combien de visiteurs partent à 3, 5 ou 7 secondes - on en parle en détail dans un site lent vous coûte des clients.
Combien coûte vraiment un WordPress après l'installation
Le prix d'achat d'un site WordPress n'est qu'une partie de la facture. Ce qui revient régulièrement, mois après mois et année après année, c'est la maintenance - et elle est rarement annoncée dans le devis initial.
Le premier poste, c'est l'hébergement. Un hébergement mutualisé bas de gamme coûte 5 à 8 €/mois et fait ramer votre site. Un hébergement WordPress dédié, qui tient la charge sans s'écrouler à 18h le vendredi, monte à 15-30 €/mois - soit 180 à 360 € par an juste pour que votre site reste en ligne.
Vient ensuite l'écosystème de plugins. Beaucoup sont gratuits, mais les plus utiles (formulaire avancé, sauvegarde automatique, optimisation SEO, cache, sécurité) ont une version pro entre 50 et 200 € par an, chacun. Si vous en cumulez quatre ou cinq - ce qui est la norme - on est entre 250 et 800 € par an de licences.
Troisième poste, la maintenance proprement dite. WordPress publie une mise à jour majeure tous les deux à trois mois, et chaque plugin sort des correctifs en continu. Si vous laissez traîner, vous vous exposez aux failles évoquées plus haut. Si vous payez une agence pour s'en occuper, comptez 30 à 80 € par mois de contrat de maintenance - soit 360 à 960 € par an.
Faites le calcul sur 3 ans : hébergement (540 €), plugins (1 500 €), maintenance (1 800 €). On arrive facilement à 3 800 € de frais récurrents, en plus du prix initial du site. Un site moderne servi en statique tourne à quelques euros par mois et n'a pas de plugins à maintenir - l'écart se compte en milliers d'euros sur la durée.
Comment savoir si votre WordPress est déjà compromis
Une infection WordPress est rarement visible immédiatement. Le pirate n'a aucun intérêt à casser votre site - il préfère qu'il continue à tourner pour pouvoir l'exploiter discrètement (envoi de spam, redirections cachées, minage de crypto en arrière-plan). Voici les signaux à surveiller.
D'abord, tapez le nom de votre site sur Google, en mode navigation privée. Si vous voyez "Ce site peut contenir des logiciels malveillants" sous votre résultat, c'est trop tard - Google vous a déjà flaggué. Récupérer cette mention prend des semaines, et pendant ce temps, plus aucun client n'osera cliquer.
Ensuite, regardez votre version mobile sur un téléphone que vous n'utilisez jamais (celui d'un proche, par exemple). Les piratages modernes ciblent souvent uniquement les visiteurs mobiles, parce que c'est plus difficile à repérer pour le propriétaire qui consulte son site sur ordinateur. Si une publicité bizarre s'affiche ou si vous êtes redirigé vers un autre site, c'est une infection.
Enfin, demandez à votre hébergeur le rapport de trafic du dernier mois. Une pointe inexpliquée à 3h du matin, ou un volume anormal de requêtes vers la page de connexion WordPress (l'URL "/wp-login.php"), c'est souvent le signe qu'un bot teste vos identifiants en boucle. C'est aussi le genre de problème qui pousse beaucoup d'artisans à éviter ce CMS dès le départ - voir les 5 erreurs qui font fuir les visiteurs d'un site.
Il existe une autre façon de faire
Depuis quelques années, de nouvelles technologies permettent de créer des sites internet autrement. Au lieu de dépendre d'une base de données, de dizaines de plugins et d'un système lourd, ces outils génèrent des pages ultra-légères, prêtes à s'afficher instantanément. On a d'ailleurs testé Wix, un outil IA et le sur-mesure côte à côte dans notre comparatif honnête pour artisans.
Le principe est simple : plutôt que de reconstruire votre page à chaque visite (comme le fait WordPress), le site est préparé à l'avance et distribué depuis des serveurs répartis partout dans le monde. Quand quelqu'un à Mons, Liège ou Namur tape le nom de votre entreprise sur Google, la page s'affiche en une fraction de seconde - parce qu'elle est déjà prête et servie depuis le point le plus proche. C'est exactement la technique qu'on détaille dans un site qui charge en 1 seconde.
Résultat concret :
- Temps de chargement : moins d'une seconde, contre 3 à 6 pour WordPress
- Score Google (PageSpeed) : entre 95 et 100 sur 100, contre 50 à 75 pour la plupart des sites WordPress
- Sécurité : pas de base de données exposée, pas de plugins vulnérables, pas de tableau d'administration à pirater
- Coût d'hébergement : souvent gratuit ou quelques euros par mois, contre 5 à 20 €/mois pour un hébergement WordPress correct
Et pour modifier mon site, je fais comment ?
C'est la question légitime. Avec WordPress, vous avez un tableau de bord pour changer un texte ou une photo. Avec un site moderne, ce n'est pas aussi direct - mais ce n'est pas un problème pour autant.
Deux options s'offrent à vous : soit votre agence gère les petites modifications pour vous (c'est ce que préfèrent la majorité des artisans, qui n'ont pas le temps de se connecter à un back-office), soit on connecte un éditeur visuel simple qui vous permet de modifier vos contenus sans toucher au code.
Dans les deux cas, vous gardez le contrôle sur votre site. La différence, c'est que votre site reste rapide, sécurisé et bien référencé - sans les compromis de WordPress.
