Name: Superficie de ataque de los sitios WordPress de pymes francesas, septiembre de 2026
Creator: Simafri
License: https://creativecommons.org/licenses/by/4.0/

30 %de los sitios de pymes francesas identificados funcionan con WordPress

13 %de esos sitios llevan diez extensiones o más

66 %llevan al menos una extensión ausente del repositorio público

La mitad de los sitios es ligera, la cola es pesada

Aquí la media no dice nada, porque mezcla dos poblaciones. La distribución se lee de un vistazo.

Extensiones detectadas	Sitios	Proporción
Ninguna visible	115	21 %
1 a 2	122	23 %
3 a 5	142	26 %
6 a 10	107	20 %
11 y más	54	10 %

El sitio mediano lleva 3 extensiones. En el decil más cargado lleva 11, y el máximo registrado es de 28. La mitad del parque es sobria y una minoría clara carga con algo de otro orden.

Dos tercios de los sitios dependen de un proveedor imposible de seguir

Una extensión publicada en el repositorio oficial de WordPress tiene una página pública, un editor identificable y una fecha de última actualización que cualquiera puede consultar. El 66 % de los sitios medidos lleva al menos una extensión ausente de ese repositorio: una extensión de pago, una entregada por una agencia o un desarrollo a medida.

Su actualización no llega por el canal público. Llega por un contrato, una factura anual o el correo de alguien que quizá ya no trabaje en la empresa. Entre las extensiones con editor identificable, el 20 % de los sitios depende ya de cinco sociedades distintas o más, y esa cifra es un suelo.

Por qué un sitio limpiado vuelve a caer

Cuando un sitio es atacado, lo que se pide al proveedor es limpiarlo: retirar los archivos añadidos, reinstalar el núcleo, cambiar todos los accesos, restaurar una copia sana. Ese trabajo es necesario y funciona, el sitio arranca limpio.

Actúa sobre lo que entró. Las tablas de esta página describen otra cosa: el número de puertas. Un sitio limpiado el lunes depende el martes de los mismos proveedores, cuyas publicaciones futuras nadie conoce. La probabilidad de que ninguno publique un fallo en el año no se calcula sobre un sorteo, sino sobre tantos sorteos como proveedores haya.

Eso explica la reinfección sin suponer un error de limpieza. Dos sitios limpiados con el mismo cuidado no tienen el mismo año por delante si uno lleva tres extensiones y el otro veintiocho.

Las extensiones más extendidas

Extensión	Sitios
Contact Form 7	102
Elementor	87
WP Rocket	82
Elementor Pro	61
WooCommerce	58
WPML	37
Complianz	35
Brevo	33

Ninguna de estas extensiones está en cuestión. Describen lo que un sitio de pyme hace realmente: un formulario de contacto, una maquetación, caché, una tienda, traducción, un aviso de consentimiento, un boletín. Cada una es un proveedor más.

Serenity, en claro

Serenity es un sitio web creado, alojado, protegido y mantenido al día por Simafri, que crea, aloja y mantiene sitios de empresa desde 2002. El nombre de dominio se registra a nombre del cliente y se incluye una cuenta Simafri Suite.

Las páginas servidas no llevan ningún componente de terceros que actualizar.
No hay ninguna administración expuesta en el sitio público.
Las actualizaciones, la seguridad y las copias las hace Simafri, sin ninguna gestión del cliente.
El dominio pertenece al cliente, que puede transferirlo cuando lo decida.

Ver la oferta y las tarifas

Método

Marco de muestreo: los 10 662 dominios .fr de la lista Tranco GQJJK, establecida el 31 de agosto de 2026. Los 9 144 primeros por rango se recorrieron el 1 de septiembre de 2026, es decir el 86 % del marco.

Cadena de calificación: cada sitio accesible (6 791) se leyó como página pública. El número SIREN se buscó en el aviso legal que la ley francesa obliga a publicar y luego se resolvió en la API pública de empresas, lo que vincula 3 061 sitios a una empresa real. Se descartaron 157 organismos públicos y 27 sitios atribuidos a su alojador, a quien el aviso legal debe nombrar. Quedan 1 778 pymes de 1 a 249 empleados, de las cuales 540 con WordPress.

Lo que se leyó: las extensiones y temas cuya presencia aparece en el código público de la página de inicio y, para cada extensión, el editor declarado en el repositorio oficial de WordPress.

Lo que no se leyó: nada que exija acceso al sitio, a su administración o a su alojamiento. Ninguna prueba de intrusión, una sola petición por sitio.

Alcance: una extensión que no carga ni script ni hoja de estilo en la página de inicio permanece invisible, por lo que las cifras de esta página son suelos y la carga real es mayor. Al ser el marco una lista de los dominios más visitados, los sitios muy pequeños están infrarrepresentados. El próximo estudio ampliará el marco y leerá el SIREN del editor en lugar del alojador cuando aparezcan ambos.

Datos y reutilización

El estudio completo está publicado, una fila por empresa, con su dominio, su SIREN, su tramo de plantilla y las extensiones detectadas. Estas cifras son reutilizables citando a Simafri y enlazando esta página.

Descargar el estudio completo (CSV)

Próximo estudio previsto para el 1 de octubre de 2026, sobre un marco ampliado, lo que permitirá decir si la carga sube o baja.

Que su sitio lo llevemos nosotros

Simafri es el aliado técnico de las empresas desde 2002: creamos su sitio, lo alojamos, lo mantenemos y lo tenemos al día, con su nombre de dominio registrado a su nombre. Escríbanos y vemos su caso juntos.

Sitios WordPress de pymes francesas: lo que llevan de verdad