Un site nettoyé après un piratage repart propre, puis se refait prendre. Ce relevé regarde ce qui ne change pas au nettoyage : le nombre de fournisseurs dont dépend le site.
La moyenne ne dit rien ici, parce qu'elle mélange deux populations. La distribution, elle, se lit d'un coup d'œil.
| Extensions détectées | Sites | Part |
|---|---|---|
| Aucune visible | 395 | 11 % |
| 1 à 2 | 713 | 20 % |
| 3 à 5 | 1 195 | 34 % |
| 6 à 10 | 1 007 | 28 % |
| 11 et plus | 233 | 7 % |
Le site médian porte 4 extensions. Au décile le plus chargé il en porte 9, et le maximum relevé est de 28. La moitié du parc est sobre, une minorité nette porte une charge sans commune mesure.
Une évolution ne se mesure que sur les mêmes sites. Des 540 sites de PME sous WordPress relevés en septembre, 417 le sont de nouveau en octobre, qualifiés de la même façon. La comparaison porte sur eux seuls, les sites ajoutés par l'élargissement du cadre n'y entrent pas, et les deux colonnes sont calculées selon la même règle de lecture, décrite dans la méthode.
| Sur les mêmes 417 sites | Septembre 2026 | Octobre 2026 |
|---|---|---|
| Extensions du site médian | 4 | 4 |
| Extensions par site, en moyenne | 4,7 | 4,7 |
| Sites à dix extensions et plus | 14,6 % | 13,9 % |
| Sites avec une extension hors répertoire | 66,9 % | 67,9 % |
| Sites à cinq éditeurs identifiés et plus | 22,5 % | 22,8 % |
368 sites portent exactement les mêmes extensions qu'en septembre, 26 en portent davantage et 23 en portent moins.
La charge est stable : d'un relevé à l'autre, les ajouts et les retraits se compensent presque. Le seul mouvement à sens unique va vers la dépendance : 4 sites ont pris une extension hors du répertoire public, et aucun n'en est sorti. Une charge qui se maintient d'elle-même se traite à la source, dans la manière dont le site est construit.
La liste Tranco classe les domaines les plus fréquentés. Pour donner leur place aux sites plus modestes, le relevé d'octobre lui ajoute 120 000 domaines tirés au hasard parmi les noms en .fr actifs du registre, lus de la même façon. Les deux parties se lisent ici côte à côte.
| Octobre 2026 | Liste Tranco | Tirage au hasard | Ensemble |
|---|---|---|---|
| PME sous WordPress relevées | 551 | 2 992 | 3 543 |
| Part de WordPress parmi les PME identifiées | 29,3 % | 46,0 % | 42,3 % |
| Extensions du site médian | 4 | 4 | 4 |
| Sites à dix extensions et plus | 13,2 % | 8,7 % | 9,4 % |
| Sites avec une extension hors répertoire | 67,3 % | 66,3 % | 66,4 % |
Les sites tirés au hasard, moins fréquentés, tournent nettement plus souvent sous WordPress que ceux de la liste Tranco. Leur charge a la même forme : le même site médian, un peu moins de sites très chargés, et la même dépendance hors répertoire, deux sites sur trois de chaque côté.
Une extension publiée sur le répertoire officiel de WordPress a une page publique, un éditeur identifiable et une date de dernière mise à jour que n'importe qui peut consulter. 66 % des sites relevés portent au moins une extension absente de ce répertoire : extension payante, extension livrée par une agence, développement fait sur mesure.
Sa mise à jour n'arrive pas par le canal public. Elle arrive par un contrat, une facture annuelle, ou la boîte mail d'une personne qui a peut-être quitté l'entreprise. Parmi les extensions dont l'éditeur est identifiable, 23 % des sites dépendent déjà de cinq sociétés distinctes ou plus, et ce nombre est un plancher.
Quand un site est piraté, ce qui est demandé au prestataire est de le nettoyer : retirer les fichiers ajoutés, réinstaller le cœur, changer les accès, repartir d'une sauvegarde saine. Ce travail est nécessaire et il fonctionne, le site repart propre.
Il agit sur ce qui est entré. Les tableaux de cette page décrivent autre chose : le nombre de portes. Un site nettoyé le lundi dépend le mardi des mêmes fournisseurs, dont les publications futures ne sont connues de personne. La probabilité qu'aucun d'eux ne publie de faille dans l'année ne se calcule pas sur un tirage, mais sur autant de tirages qu'il y a de fournisseurs.
C'est ce qui explique la réinfection sans supposer une erreur de nettoyage. Deux sites nettoyés avec le même soin n'ont pas le même avenir si l'un porte trois extensions et l'autre 28.
| Extension | Sites |
|---|---|
| Elementor | 1 148 |
| Contact Form 7 | 977 |
| Elementor Pro | 706 |
| Complianz | 536 |
| WooCommerce | 412 |
| WP Rocket | 348 |
| Slider Revolution | 341 |
| Cookie Notice | 296 |
Aucune de ces extensions n'est en cause. Elles décrivent ce qu'un site de PME fait réellement : un formulaire de contact, une mise en page, du cache, une boutique, un diaporama, un bandeau de consentement. Chacune est un fournisseur de plus.
Serenity est un site web créé, hébergé, sécurisé et tenu à jour par Simafri, qui crée, héberge et maintient les sites d'entreprises depuis 2012. Le nom de domaine est déposé au nom du client, et un compte Simafri Suite est inclus.
Cadre de tirage, en deux parties. La première reprend celle de septembre : les 10 662 domaines en .fr de la liste Tranco GQJJK, établie le 31 août 2026, balayés cette fois en entier. C'est sur elle que porte la comparaison avec septembre.
La seconde élargit le cadre : 120 000 domaines tirés au hasard parmi les 4 607 211 noms en .fr actifs du fichier ouvert de l'Afnic, état d'août 2026. Le tirage est reproductible, et les deux parties seront relues à l'identique chaque mois. Balayage le 23 septembre 2026.
Chaîne de qualification : chaque site joignable (66 183) a été lu en page publique. Le numéro SIREN a été cherché dans les mentions légales, que la loi française impose de publier, en retenant celui de l'éditeur du site plutôt que celui de son hébergeur ou de son prestataire, puis résolu sur l'API publique des entreprises, ce qui rattache 20 474 sites à une entreprise réelle. Les 292 organismes publics ont été écartés, ainsi que 437 sites dont le numéro lu est celui d'un hébergeur, d'une agence ou d'une plateforme de sites, retenu pour plusieurs domaines sans lien entre eux. Une entreprise compte une fois, par son premier site relevé. Restent 8 380 PME de 1 à 249 salariés, dont 3 543 sous WordPress.
Ce qui a été lu : les extensions et thèmes dont la présence apparaît dans le code public de la page d'accueil, et pour chaque extension, l'éditeur déclaré sur le répertoire officiel de WordPress. Seules comptent les traces servies par le site lui-même ou par son réseau de diffusion : un module d'avis clients chargé depuis le site WordPress de son éditeur ne fait pas du site qui l'affiche un site WordPress. Depuis octobre, chaque relevé applique cette règle, et la colonne de septembre du tableau d'évolution est recalculée selon elle.
Ce qui n'a pas été lu : rien qui demande un accès au site, à son administration ou à son hébergement. Aucun test d'intrusion, une seule requête par site.
Portée : une extension qui ne charge ni script ni feuille de style sur la page d'accueil reste invisible, donc les nombres de cette page sont des planchers et la charge réelle est supérieure. Une évolution se lit sur les sites présents dans deux relevés successifs : un site devenu injoignable, sorti de WordPress ou désormais rattaché à son véritable éditeur quitte la comparaison.
Chaque relevé est publié en entier, une ligne par entreprise, avec son domaine, son SIREN, sa tranche d'effectif, les extensions détectées et la partie du cadre dont il vient. Ces chiffres sont réutilisables avec attribution à Simafri et lien vers cette page.
Télécharger le relevé d'octobre 2026 (CSV)
Télécharger le relevé de septembre 2026 (CSV)
Relevé suivant prévu le 1er novembre 2026, sur le même cadre, ce qui dira si la charge monte ou descend sur l'ensemble des sites.
Simafri est l'allié technique de votre entreprise depuis 2012 : nous créons votre site, l'hébergeons, le maintenons et le tenons à jour, avec votre nom de domaine déposé à votre nom. Écrivez-nous, on regarde votre cas ensemble.
Simafri
Parlons de votre projet
Dites-nous en deux mots ce qu'il vous faut : on revient vers vous rapidement.
Merci ! Votre demande a bien été envoyée. Nous vous répondrons rapidement.
Vous préférez l'email ? Écrivez-nous à support@simafri.com.