Un sitio limpiado tras un ataque arranca limpio y vuelve a caer. Este estudio mira lo que la limpieza nunca cambia: el número de proveedores de los que depende el sitio.
Aquí la media no dice nada, porque mezcla dos poblaciones. La distribución se lee de un vistazo.
| Extensiones detectadas | Sitios | Proporción |
|---|---|---|
| Ninguna visible | 395 | 11 % |
| 1 a 2 | 713 | 20 % |
| 3 a 5 | 1195 | 34 % |
| 6 a 10 | 1007 | 28 % |
| 11 y más | 233 | 7 % |
El sitio mediano lleva 4 extensiones. En el decil más cargado lleva 9, y el máximo registrado es de 28. La mitad del parque es sobria y una minoría clara carga con algo de otro orden.
Una evolución solo se mide en los mismos sitios. De los 540 sitios WordPress de pymes medidos en septiembre, 417 se han vuelto a medir en octubre, calificados de la misma manera. La comparación se centra solo en ellos: los sitios añadidos por la ampliación del marco no entran en ella, y las dos columnas se calculan con la misma regla de lectura, descrita en el método.
| En los mismos 417 sitios | Septiembre de 2026 | Octubre de 2026 |
|---|---|---|
| Extensiones del sitio mediano | 4 | 4 |
| Extensiones por sitio, de media | 4,7 | 4,7 |
| Sitios con diez extensiones o más | 14,6 % | 13,9 % |
| Sitios con una extensión ajena al repositorio | 66,9 % | 67,9 % |
| Sitios con cinco editores identificados o más | 22,5 % | 22,8 % |
368 sitios llevan exactamente las mismas extensiones que en septiembre, 26 llevan más y 23 llevan menos.
La carga es estable: de un estudio al siguiente, las altas y las bajas casi se compensan. El único movimiento en un solo sentido va hacia la dependencia: 4 sitios han incorporado una extensión ajena al repositorio público, y ninguno ha dejado de depender de una. Una carga que se mantiene por sí sola se trata en origen, en la forma en que se construye el sitio.
La lista Tranco clasifica los dominios más visitados. Para dar su lugar a los sitios más modestos, el estudio de octubre le añade 120.000 dominios sorteados al azar entre los nombres .fr activos del registro, leídos de la misma manera. Las dos partes se presentan aquí una al lado de la otra.
| Octubre de 2026 | Lista Tranco | Sorteo aleatorio | Conjunto |
|---|---|---|---|
| Pymes con WordPress medidas | 551 | 2992 | 3543 |
| Proporción de WordPress entre las pymes identificadas | 29,3 % | 46,0 % | 42,3 % |
| Extensiones del sitio mediano | 4 | 4 | 4 |
| Sitios con diez extensiones o más | 13,2 % | 8,7 % | 9,4 % |
| Sitios con una extensión ajena al repositorio | 67,3 % | 66,3 % | 66,4 % |
Los sitios sorteados al azar, menos visitados, usan WordPress con una frecuencia claramente mayor que los de la lista Tranco. Su carga tiene la misma forma: el mismo sitio mediano, algo menos sitios muy cargados y la misma dependencia ajena al repositorio, dos de cada tres sitios en ambas partes.
Una extensión publicada en el repositorio oficial de WordPress tiene una página pública, un editor identificable y una fecha de última actualización que cualquiera puede consultar. El 66 % de los sitios medidos lleva al menos una extensión ausente de ese repositorio: una extensión de pago, una entregada por una agencia o un desarrollo a medida.
Su actualización no llega por el canal público. Llega por un contrato, una factura anual o el correo de alguien que quizá ya no trabaje en la empresa. Entre las extensiones con editor identificable, el 23 % de los sitios depende ya de cinco sociedades distintas o más, y esa cifra es un suelo.
Cuando un sitio es atacado, lo que se pide al proveedor es limpiarlo: retirar los archivos añadidos, reinstalar el núcleo, cambiar todos los accesos, restaurar una copia sana. Ese trabajo es necesario y funciona, el sitio arranca limpio.
Actúa sobre lo que entró. Las tablas de esta página describen otra cosa: el número de puertas. Un sitio limpiado el lunes depende el martes de los mismos proveedores, cuyas publicaciones futuras nadie conoce. La probabilidad de que ninguno publique un fallo en el año no se calcula sobre un sorteo, sino sobre tantos sorteos como proveedores haya.
Eso explica la reinfección sin suponer un error de limpieza. Dos sitios limpiados con el mismo cuidado no tienen el mismo año por delante si uno lleva tres extensiones y el otro 28.
| Extensión | Sitios |
|---|---|
| Elementor | 1148 |
| Contact Form 7 | 977 |
| Elementor Pro | 706 |
| Complianz | 536 |
| WooCommerce | 412 |
| WP Rocket | 348 |
| Slider Revolution | 341 |
| Cookie Notice | 296 |
Ninguna de estas extensiones está en cuestión. Describen lo que un sitio de pyme hace realmente: un formulario de contacto, una maquetación, caché, una tienda, un carrusel de imágenes, un aviso de consentimiento. Cada una es un proveedor más.
Serenity es un sitio web creado, alojado, protegido y mantenido al día por Simafri, que crea, aloja y mantiene sitios de empresa desde 2012. El nombre de dominio se registra a nombre del cliente y se incluye una cuenta Simafri Suite.
Marco de muestreo, en dos partes. La primera retoma la de septiembre: los 10.662 dominios .fr de la lista Tranco GQJJK, establecida el 31 de agosto de 2026, recorridos esta vez en su totalidad. La comparación con septiembre se hace sobre esta parte.
La segunda amplía el marco: 120.000 dominios sorteados al azar entre los 4.607.211 nombres .fr activos del fichero de datos abiertos de la Afnic, con datos de agosto de 2026. El sorteo es reproducible, y las dos partes se volverán a leer de forma idéntica cada mes. Recorrido realizado el 23 de septiembre de 2026.
Cadena de calificación: cada sitio accesible (66.183) se leyó como página pública. El número SIREN se buscó en el aviso legal que la ley francesa obliga a publicar, tomando el del editor del sitio y no el de su alojador o su proveedor, y luego se resolvió en la API pública de empresas, lo que vincula 20.474 sitios a una empresa real. Se descartaron los 292 organismos públicos, así como 437 sitios cuyo número leído es el de un alojador, una agencia o una plataforma de sitios web, presente en varios dominios sin relación entre sí. Una empresa cuenta una sola vez, por su primer sitio medido. Quedan 8380 pymes de 1 a 249 empleados, de las cuales 3543 con WordPress.
Lo que se leyó: las extensiones y temas cuya presencia aparece en el código público de la página de inicio y, para cada extensión, el editor declarado en el repositorio oficial de WordPress. Solo cuentan las huellas servidas por el propio sitio o por su red de distribución de contenidos: un módulo de opiniones de clientes cargado desde el sitio WordPress de su editor no convierte en sitio WordPress al sitio que lo muestra. Desde octubre, cada estudio aplica esta regla, y la columna de septiembre de la tabla de evolución se ha recalculado según ella.
Lo que no se leyó: nada que exija acceso al sitio, a su administración o a su alojamiento. Ninguna prueba de intrusión, una sola petición por sitio.
Alcance: una extensión que no carga ni script ni hoja de estilo en la página de inicio permanece invisible, por lo que las cifras de esta página son suelos y la carga real es mayor. Una evolución se lee en los sitios presentes en dos estudios sucesivos: un sitio que ha dejado de ser accesible, ha salido de WordPress o ahora está vinculado a su verdadero editor sale de la comparación.
Cada estudio se publica completo, una fila por empresa, con su dominio, su SIREN, su tramo de plantilla, las extensiones detectadas y la parte del marco de la que procede. Estas cifras son reutilizables citando a Simafri y enlazando esta página.
Descargar el estudio de octubre de 2026 (CSV)
Descargar el estudio de septiembre de 2026 (CSV)
Próximo estudio previsto para el 1 de noviembre de 2026, sobre el mismo marco, lo que dirá si la carga sube o baja en el conjunto de los sitios.
Simafri es el aliado técnico de las empresas desde 2012: creamos su sitio, lo alojamos, lo mantenemos y lo tenemos al día, con su nombre de dominio registrado a su nombre. Escríbanos y vemos su caso juntos.
Simafri
Hablemos de su proyecto
Díganos en pocas palabras lo que necesita: le respondemos rápidamente.
¡Gracias! Su solicitud ha sido enviada. Le responderemos en breve.
¿Prefiere el correo? Escríbanos a support@simafri.com.