Sites WordPress de PME francesas: o que transportam de facto

Name: Superfície de ataque dos sites WordPress de PME francesas, setembro de 2026
Creator: Simafri
License: https://creativecommons.org/licenses/by/4.0/

Um site limpo depois de um ataque recomeça limpo e volta a ser tomado. Este levantamento olha para aquilo que a limpeza nunca altera: o número de fornecedores de que o site depende.

Publicado a 1 de setembro de 2026 540 sites de PME francesas, levantados a 1 de setembro de 2026

30 %dos sites de PME francesas identificados funcionam em WordPress

13 %desses sites transportam dez extensões ou mais

66 %transportam pelo menos uma extensão ausente do repositório público

Metade dos sites é leve, a cauda é pesada

Aqui a média não diz nada, porque mistura duas populações. A distribuição lê-se num relance.

Extensões detetadas	Sites	Proporção
Nenhuma visível	115	21 %
1 a 2	122	23 %
3 a 5	142	26 %
6 a 10	107	20 %
11 e mais	54	10 %

O site mediano transporta 3 extensões. No decil mais carregado transporta 11, e o máximo registado é de 28. Metade do parque é sóbria, e uma minoria clara transporta uma carga de outra ordem.

Dois terços dos sites dependem de um fornecedor que ninguém consegue seguir

Uma extensão publicada no repositório oficial do WordPress tem uma página pública, um editor identificável e uma data de última atualização que qualquer pessoa pode consultar. 66 % dos sites levantados transportam pelo menos uma extensão ausente desse repositório: uma extensão paga, uma entregue por uma agência, ou um desenvolvimento à medida.

A sua atualização não chega pelo canal público. Chega por um contrato, uma fatura anual, ou a caixa de correio de alguém que talvez já tenha saído da empresa. Entre as extensões com editor identificável, 20 % dos sites dependem já de cinco sociedades distintas ou mais, e esse número é um mínimo.

Porque é que um site limpo volta a ser tomado

Quando um site é atacado, o que se pede ao prestador é que o limpe: retirar os ficheiros acrescentados, reinstalar o núcleo, mudar todos os acessos, repartir de uma cópia de segurança sã. Esse trabalho é necessário e funciona, o site recomeça limpo.

Ele age sobre o que entrou. As tabelas desta página descrevem outra coisa: o número de portas. Um site limpo na segunda-feira depende na terça dos mesmos fornecedores, cujas publicações futuras ninguém conhece. A probabilidade de nenhum deles publicar uma falha durante o ano não se calcula sobre um sorteio, mas sobre tantos sorteios quantos os fornecedores.

É isso que explica a reinfeção sem supor um erro de limpeza. Dois sites limpos com o mesmo cuidado não têm o mesmo ano pela frente se um transporta três extensões e o outro vinte e oito.

As extensões mais divulgadas

Extensão	Sites
Contact Form 7	102
Elementor	87
WP Rocket	82
Elementor Pro	61
WooCommerce	58
WPML	37
Complianz	35
Brevo	33

Nenhuma destas extensões está em causa. Descrevem o que um site de PME faz realmente: um formulário de contacto, uma paginação, cache, uma loja, tradução, um aviso de consentimento, uma newsletter. Cada uma é mais um fornecedor.

Serenity, em claro

Serenity é um site criado, alojado, protegido e mantido atualizado pela Simafri, que cria, aloja e mantém sites de empresas desde 2002. O nome de domínio é registado em nome do cliente, e uma conta Simafri Suite está incluída.

As páginas servidas não transportam qualquer componente de terceiros a atualizar.
Nenhuma administração está exposta no site público.
As atualizações, a segurança e as cópias de segurança são feitas pela Simafri, sem qualquer gesto do cliente.
O domínio pertence ao cliente, que o pode transferir quando decidir.

Ver a oferta e os preços

Método

Base de amostragem: os 10 662 domínios .fr da lista Tranco GQJJK, estabelecida a 31 de agosto de 2026. Os 9 144 primeiros por classificação foram percorridos a 1 de setembro de 2026, ou seja 86 % da base.

Cadeia de qualificação: cada site acessível (6 791) foi lido como página pública. O número SIREN foi procurado nas menções legais que a lei francesa obriga a publicar, e depois resolvido na API pública das empresas, o que liga 3 061 sites a uma empresa real. Foram afastados 157 organismos públicos, bem como 27 sites atribuídos ao seu alojador, que as menções legais têm obrigatoriamente de nomear. Restam 1 778 PME de 1 a 249 trabalhadores, das quais 540 em WordPress.

O que foi lido: as extensões e os temas cuja presença aparece no código público da página inicial e, para cada extensão, o editor declarado no repositório oficial do WordPress.

O que não foi lido: nada que exija acesso ao site, à sua administração ou ao seu alojamento. Nenhum teste de intrusão, um único pedido por site.

Alcance: uma extensão que não carrega script nem folha de estilo na página inicial permanece invisível, pelo que os números desta página são mínimos e a carga real é superior. Sendo a base uma lista dos domínios mais visitados, os sites muito pequenos estão sub-representados. O próximo levantamento alargará a base e lerá o SIREN do editor em vez do alojador quando ambos figurarem.

Dados e reutilização

O levantamento completo está publicado, uma linha por empresa, com o domínio, o SIREN, o escalão de trabalhadores e as extensões detetadas. Estes números são reutilizáveis com atribuição à Simafri e ligação para esta página.

Descarregar o levantamento completo (CSV)

Próximo levantamento previsto para 1 de outubro de 2026, sobre uma base alargada, o que permitirá dizer se a carga sobe ou desce.

Deixar o seu site a nosso cargo

A Simafri é o aliado técnico das empresas desde 2002: criamos o seu site, alojamo-lo, mantemo-lo e conservamo-lo atualizado, com o seu nome de domínio registado em seu nome. Escreva-nos, vemos o seu caso em conjunto.