Um site limpo depois de uma invasão recomeça limpo e volta a ser tomado. Este levantamento olha para aquilo que a limpeza nunca muda: o número de fornecedores dos quais o site depende.
A média não diz nada aqui, porque mistura duas populações. A distribuição se lê num relance.
| Extensões detectadas | Sites | Proporção |
|---|---|---|
| Nenhuma visível | 395 | 11 % |
| 1 a 2 | 713 | 20 % |
| 3 a 5 | 1.195 | 34 % |
| 6 a 10 | 1.007 | 28 % |
| 11 e mais | 233 | 7 % |
O site mediano carrega 4 extensões. No decil mais carregado carrega 9, e o máximo registrado é de 28. Metade do parque é sóbria, e uma minoria clara carrega um peso de outra ordem.
Uma evolução só se mede nos mesmos sites. Dos 540 sites de PMEs em WordPress levantados em setembro, 417 foram levantados de novo em outubro, qualificados da mesma forma. A comparação incide apenas sobre eles: os sites acrescentados pela ampliação da base não entram nela, e as duas colunas são calculadas pela mesma regra de leitura, descrita no método.
| Nos mesmos 417 sites | Setembro de 2026 | Outubro de 2026 |
|---|---|---|
| Extensões do site mediano | 4 | 4 |
| Extensões por site, em média | 4,7 | 4,7 |
| Sites com dez extensões ou mais | 14,6 % | 13,9 % |
| Sites com uma extensão fora do repositório | 66,9 % | 67,9 % |
| Sites com cinco editores identificados ou mais | 22,5 % | 22,8 % |
368 sites carregam exatamente as mesmas extensões que em setembro, 26 carregam mais e 23 carregam menos.
A carga é estável: de um levantamento ao outro, os acréscimos e as remoções quase se compensam. O único movimento de mão única vai na direção da dependência: 4 sites passaram a ter uma extensão fora do repositório público, e nenhum deixou de ter. Uma carga que se mantém sozinha se trata na origem, na forma como o site é construído.
A lista Tranco classifica os domínios mais visitados. Para dar lugar aos sites mais modestos, o levantamento de outubro acrescenta a ela 120.000 domínios sorteados entre os nomes .fr ativos do registro, lidos da mesma forma. As duas partes aparecem aqui lado a lado.
| Outubro de 2026 | Lista Tranco | Sorteio aleatório | Conjunto |
|---|---|---|---|
| PMEs em WordPress levantadas | 551 | 2.992 | 3.543 |
| Proporção do WordPress entre as PMEs identificadas | 29,3 % | 46,0 % | 42,3 % |
| Extensões do site mediano | 4 | 4 | 4 |
| Sites com dez extensões ou mais | 13,2 % | 8,7 % | 9,4 % |
| Sites com uma extensão fora do repositório | 67,3 % | 66,3 % | 66,4 % |
Os sites sorteados, menos visitados, usam WordPress com frequência bem maior do que os da lista Tranco. Sua carga tem a mesma forma: o mesmo site mediano, um pouco menos sites muito carregados e a mesma dependência fora do repositório, dois em cada três sites nas duas partes.
Uma extensão publicada no repositório oficial do WordPress tem página pública, editor identificável e data de última atualização que qualquer pessoa pode consultar. 66 % dos sites levantados carregam pelo menos uma extensão ausente desse repositório: uma extensão paga, uma entregue por uma agência, ou um desenvolvimento sob medida.
Sua atualização não chega pelo canal público. Chega por um contrato, uma fatura anual, ou a caixa de entrada de alguém que talvez já tenha saído da empresa. Entre as extensões com editor identificável, 23 % dos sites já dependem de cinco empresas distintas ou mais, e esse número é um piso.
Quando um site é invadido, o que se pede ao prestador é limpá-lo: retirar os arquivos acrescentados, reinstalar o núcleo, trocar todos os acessos, voltar a um backup são. Esse trabalho é necessário e funciona, o site recomeça limpo.
Ele age sobre o que entrou. As tabelas desta página descrevem outra coisa: o número de portas. Um site limpo na segunda-feira depende na terça dos mesmos fornecedores, cujas publicações futuras ninguém conhece. A probabilidade de nenhum deles publicar uma falha no ano não se calcula sobre um sorteio, mas sobre tantos sorteios quantos forem os fornecedores.
É isso que explica a reinfecção sem supor um erro de limpeza. Dois sites limpos com o mesmo cuidado não têm o mesmo ano pela frente se um carrega três extensões e o outro 28.
| Extensão | Sites |
|---|---|
| Elementor | 1.148 |
| Contact Form 7 | 977 |
| Elementor Pro | 706 |
| Complianz | 536 |
| WooCommerce | 412 |
| WP Rocket | 348 |
| Slider Revolution | 341 |
| Cookie Notice | 296 |
Nenhuma dessas extensões está em causa. Elas descrevem o que um site de PME faz de fato: um formulário de contato, uma diagramação, cache, uma loja, um carrossel de imagens, um aviso de consentimento. Cada uma é mais um fornecedor.
Serenity é um site criado, hospedado, protegido e mantido atualizado pela Simafri, que cria, hospeda e mantém sites de empresas desde 2012. O nome de domínio é registrado em nome do cliente, e uma conta Simafri Suite está incluída.
Base de amostragem, em duas partes. A primeira retoma a de setembro: os 10.662 domínios .fr da lista Tranco GQJJK, estabelecida em 31 de agosto de 2026, percorridos desta vez por inteiro. É sobre ela que se faz a comparação com setembro.
A segunda amplia a base: 120.000 domínios sorteados entre os 4.607.211 nomes .fr ativos do arquivo aberto da Afnic, situação de agosto de 2026. O sorteio é reproduzível, e as duas partes serão relidas de forma idêntica todo mês. Varredura realizada em 23 de setembro de 2026.
Cadeia de qualificação: cada site acessível (66.183) foi lido como página pública. O número SIREN foi procurado nas menções legais que a lei francesa obriga a publicar, considerando o do editor do site e não o do provedor de hospedagem ou do prestador, e depois resolvido na API pública das empresas, o que liga 20.474 sites a uma empresa real. Os 292 organismos públicos foram afastados, assim como 437 sites cujo número lido é o de um provedor de hospedagem, de uma agência ou de uma plataforma de sites, encontrado em vários domínios sem relação entre si. Cada empresa conta uma vez, por seu primeiro site levantado. Restam 8.380 PMEs de 1 a 249 funcionários, das quais 3.543 em WordPress.
O que foi lido: as extensões e temas cuja presença aparece no código público da página inicial e, para cada extensão, o editor declarado no repositório oficial do WordPress. Só contam os vestígios servidos pelo próprio site ou por sua rede de distribuição: um módulo de avaliações de clientes carregado a partir do site WordPress de seu editor não faz do site que o exibe um site WordPress. Desde outubro, cada levantamento aplica essa regra, e a coluna de setembro da tabela de evolução foi recalculada segundo ela.
O que não foi lido: nada que exija acesso ao site, à administração ou à hospedagem. Nenhum teste de invasão, uma única requisição por site.
Alcance: uma extensão que não carrega script nem folha de estilo na página inicial permanece invisível, portanto os números desta página são pisos e a carga real é maior. Uma evolução se lê nos sites presentes em dois levantamentos sucessivos: um site que ficou inacessível, saiu do WordPress ou passou a ser ligado a seu verdadeiro editor sai da comparação.
Cada levantamento é publicado por inteiro, uma linha por empresa, com domínio, SIREN, faixa de funcionários, as extensões detectadas e a parte da base de onde vem. Esses números são reutilizáveis com atribuição à Simafri e link para esta página.
Baixar o levantamento de outubro de 2026 (CSV)
Baixar o levantamento de setembro de 2026 (CSV)
Próximo levantamento previsto para 1 de novembro de 2026, sobre a mesma base, o que dirá se a carga sobe ou desce no conjunto dos sites.
A Simafri é a aliada técnica das empresas desde 2012: criamos seu site, hospedamos, mantemos e conservamos atualizado, com seu nome de domínio registrado em seu nome. Escreva para nós, vemos seu caso juntos.
Simafri
Vamos falar de seu site
Conte para a gente sobre seu projeto em poucas palavras: responderemos rapidamente.
Obrigado! O seu pedido foi enviado. Responderemos em breve.
Prefere o e-mail? Escreva para a gente em support@simafri.com.