Un site nettoyé après un piratage repart propre, puis se refait prendre. Ce relevé regarde ce qui ne change pas au nettoyage : le nombre de fournisseurs dont dépend le site.
La moyenne ne dit rien ici, parce qu'elle mélange deux populations. La distribution, elle, se lit d'un coup d'œil.
| Extensions détectées | Sites | Part |
|---|---|---|
| Aucune visible | 115 | 21 % |
| 1 à 2 | 122 | 23 % |
| 3 à 5 | 142 | 26 % |
| 6 à 10 | 107 | 20 % |
| 11 et plus | 54 | 10 % |
Le site médian porte 3 extensions. Au décile le plus chargé il en porte 11, et le maximum relevé est de 28. La moitié du parc est sobre, une minorité nette porte une charge sans commune mesure.
Une extension publiée sur le répertoire officiel de WordPress a une page publique, un éditeur identifiable et une date de dernière mise à jour que n'importe qui peut consulter. 66 % des sites relevés portent au moins une extension absente de ce répertoire : extension payante, extension livrée par une agence, développement fait sur mesure.
Sa mise à jour n'arrive pas par le canal public. Elle arrive par un contrat, une facture annuelle, ou la boîte mail d'une personne qui a peut-être quitté l'entreprise. Parmi les extensions dont l'éditeur est identifiable, 20 % des sites dépendent déjà de cinq sociétés distinctes ou plus, et ce nombre est un plancher.
Quand un site est piraté, ce qui est demandé au prestataire est de le nettoyer : retirer les fichiers ajoutés, réinstaller le cœur, changer les accès, repartir d'une sauvegarde saine. Ce travail est nécessaire et il fonctionne, le site repart propre.
Il agit sur ce qui est entré. Les tableaux de cette page décrivent autre chose : le nombre de portes. Un site nettoyé le lundi dépend le mardi des mêmes fournisseurs, dont les publications futures ne sont connues de personne. La probabilité qu'aucun d'eux ne publie de faille dans l'année ne se calcule pas sur un tirage, mais sur autant de tirages qu'il y a de fournisseurs.
C'est ce qui explique la réinfection sans supposer une erreur de nettoyage. Deux sites nettoyés avec le même soin n'ont pas le même avenir si l'un porte trois extensions et l'autre vingt-huit.
| Extension | Sites |
|---|---|
| Contact Form 7 | 102 |
| Elementor | 87 |
| WP Rocket | 82 |
| Elementor Pro | 61 |
| WooCommerce | 58 |
| WPML | 37 |
| Complianz | 35 |
| Brevo | 33 |
Aucune de ces extensions n'est en cause. Elles décrivent ce qu'un site de PME fait réellement : un formulaire de contact, une mise en page, du cache, une boutique, une traduction, un bandeau de consentement, une infolettre. Chacune est un fournisseur de plus.
Serenity est un site web créé, hébergé, sécurisé et tenu à jour par Simafri, qui crée, héberge et maintient les sites d'entreprises depuis 2002. Le nom de domaine est déposé au nom du client, et un compte Simafri Suite est inclus.
Cadre de tirage : les 10 662 domaines en .fr de la liste Tranco GQJJK, établie le 31 août 2026. Les 9 144 premiers par rang ont été balayés le 1er septembre 2026, soit 86 % du cadre.
Chaîne de qualification : chaque site joignable (6 791) a été lu en page publique. Le numéro SIREN a été cherché dans les mentions légales, que la loi française impose de publier, puis résolu sur l'API publique des entreprises, ce qui rattache 3 061 sites à une entreprise réelle. Les 157 organismes publics ont été écartés, ainsi que 27 sites attribués à leur hébergeur, que les mentions légales nomment obligatoirement. Restent 1 778 PME de 1 à 249 salariés, dont 540 sous WordPress.
Ce qui a été lu : les extensions et thèmes dont la présence apparaît dans le code public de la page d'accueil, et pour chaque extension, l'éditeur déclaré sur le répertoire officiel de WordPress.
Ce qui n'a pas été lu : rien qui demande un accès au site, à son administration ou à son hébergement. Aucun test d'intrusion, une seule requête par site.
Portée : une extension qui ne charge ni script ni feuille de style sur la page d'accueil reste invisible, donc les nombres de cette page sont des planchers et la charge réelle est supérieure. Le cadre étant une liste des domaines les plus fréquentés, les très petits sites y sont sous-représentés. Le relevé suivant élargira le cadre et lira le SIREN de l'éditeur plutôt que celui de l'hébergeur lorsque les deux figurent.
Le relevé complet est publié, une ligne par entreprise, avec son domaine, son SIREN, sa tranche d'effectif et les extensions détectées. Ces chiffres sont réutilisables avec attribution à Simafri et lien vers cette page.
Télécharger le relevé complet (CSV)
Relevé suivant prévu le 1er octobre 2026, sur un cadre élargi, ce qui permettra de dire si la charge monte ou descend.
Simafri est l'allié technique de votre entreprise depuis 2002 : nous créons votre site, l'hébergeons, le maintenons et le tenons à jour, avec votre nom de domaine déposé à votre nom. Écrivez-nous, on regarde votre cas ensemble.