Um site limpo depois de um ataque recomeça limpo e volta a ser tomado. Este levantamento olha para aquilo que a limpeza nunca altera: o número de fornecedores de que o site depende.
Aqui a média não diz nada, porque mistura duas populações. A distribuição lê-se num relance.
| Extensões detetadas | Sites | Proporção |
|---|---|---|
| Nenhuma visível | 395 | 11 % |
| 1 a 2 | 713 | 20 % |
| 3 a 5 | 1.195 | 34 % |
| 6 a 10 | 1.007 | 28 % |
| 11 e mais | 233 | 7 % |
O número de extensões do site mediano é de 4. No decil mais carregado é de 9, e o máximo registado é de 28. Metade do parque é sóbria, e uma minoria clara transporta uma carga de outra ordem.
Uma evolução só se mede nos mesmos sites. Dos 540 sites de PME em WordPress levantados em setembro, 417 voltaram a ser levantados em outubro, qualificados da mesma forma. A comparação incide apenas sobre eles: os sites acrescentados pelo alargamento da base não entram nela, e as duas colunas são calculadas segundo a mesma regra de leitura, descrita no método.
| Nos mesmos 417 sites | Setembro de 2026 | Outubro de 2026 |
|---|---|---|
| Extensões do site mediano | 4 | 4 |
| Extensões por site, em média | 4,7 | 4,7 |
| Sites com dez extensões ou mais | 14,6 % | 13,9 % |
| Sites com uma extensão fora do repositório | 66,9 % | 67,9 % |
| Sites com cinco editores identificados ou mais | 22,5 % | 22,8 % |
O número de sites com exatamente as mesmas extensões que em setembro é de 368, com mais extensões é de 26 e com menos extensões é de 23.
A carga é estável: de um levantamento para o seguinte, as adições e as remoções quase se compensam. O único movimento num só sentido vai para a dependência: o número de sites que passaram a ter uma extensão fora do repositório público é de 4, e nenhum saiu dessa dependência. Uma carga que se mantém por si própria trata-se na origem, na forma como o site é construído.
A lista Tranco classifica os domínios mais visitados. Para dar o seu lugar aos sites mais modestos, o levantamento de outubro acrescenta-lhe 120.000 domínios sorteados ao acaso entre os nomes .fr ativos do registo, lidos da mesma forma. As duas partes leem-se aqui lado a lado.
| Outubro de 2026 | Lista Tranco | Sorteio ao acaso | Conjunto |
|---|---|---|---|
| PME em WordPress levantadas | 551 | 2.992 | 3.543 |
| Proporção do WordPress entre as PME identificadas | 29,3 % | 46,0 % | 42,3 % |
| Extensões do site mediano | 4 | 4 | 4 |
| Sites com dez extensões ou mais | 13,2 % | 8,7 % | 9,4 % |
| Sites com uma extensão fora do repositório | 67,3 % | 66,3 % | 66,4 % |
Os sites sorteados ao acaso, menos visitados, funcionam em WordPress com uma frequência nitidamente maior do que os da lista Tranco. A sua carga tem a mesma forma: o mesmo site mediano, um pouco menos sites muito carregados, e a mesma dependência de extensões fora do repositório, dois sites em cada três em ambas as partes.
Uma extensão publicada no repositório oficial do WordPress tem uma página pública, um editor identificável e uma data de última atualização que qualquer pessoa pode consultar. 66 % dos sites levantados transportam pelo menos uma extensão ausente desse repositório: uma extensão paga, uma entregue por uma agência, ou um desenvolvimento à medida.
A sua atualização não chega pelo canal público. Chega por um contrato, uma fatura anual, ou a caixa de correio de alguém que talvez já tenha saído da empresa. Entre as extensões com editor identificável, 23 % dos sites dependem já de cinco sociedades distintas ou mais, e esse número é um mínimo.
Quando um site é atacado, o que se pede ao prestador é que o limpe: retirar os ficheiros acrescentados, reinstalar o núcleo, mudar todos os acessos, repartir de uma cópia de segurança sã. Esse trabalho é necessário e funciona, o site recomeça limpo.
Ele age sobre o que entrou. As tabelas desta página descrevem outra coisa: o número de portas. Um site limpo na segunda-feira depende na terça dos mesmos fornecedores, cujas publicações futuras ninguém conhece. A probabilidade de nenhum deles publicar uma falha durante o ano não se calcula sobre um sorteio, mas sobre tantos sorteios quantos os fornecedores.
É isso que explica a reinfeção sem supor um erro de limpeza. Dois sites limpos com o mesmo cuidado não têm o mesmo ano pela frente se um transporta três extensões e o outro 28.
| Extensão | Sites |
|---|---|
| Elementor | 1.148 |
| Contact Form 7 | 977 |
| Elementor Pro | 706 |
| Complianz | 536 |
| WooCommerce | 412 |
| WP Rocket | 348 |
| Slider Revolution | 341 |
| Cookie Notice | 296 |
Nenhuma destas extensões está em causa. Descrevem o que um site de PME faz realmente: um formulário de contacto, uma paginação, cache, uma loja, uma apresentação de diapositivos, um aviso de consentimento. Cada uma é mais um fornecedor.
Serenity é um site criado, alojado, protegido e mantido atualizado pela Simafri, que cria, aloja e mantém sites de empresas desde 2012. O nome de domínio é registado em nome do cliente, e uma conta Simafri Suite está incluída.
Base de amostragem, em duas partes. A primeira retoma a de setembro: os 10.662 domínios .fr da lista Tranco GQJJK, estabelecida a 31 de agosto de 2026, percorridos desta vez na íntegra. É sobre esta parte que incide a comparação com setembro.
A segunda alarga a base: 120.000 domínios sorteados ao acaso entre os 4.607.211 nomes .fr ativos do ficheiro aberto da Afnic, estado de agosto de 2026. O sorteio é reproduzível, e as duas partes serão relidas de forma idêntica todos os meses. Percurso a 23 de setembro de 2026.
Cadeia de qualificação: cada site acessível (66.183) foi lido como página pública. O número SIREN foi procurado nas menções legais que a lei francesa obriga a publicar, retendo o do editor do site e não o do seu alojador ou do seu prestador, e depois resolvido na API pública das empresas, o que liga 20.474 sites a uma empresa real. Foram afastados os 292 organismos públicos, bem como os sites (437) cujo número lido é o de um alojador, de uma agência ou de uma plataforma de sites, encontrado em vários domínios sem ligação entre si. Uma empresa conta uma vez, pelo primeiro dos seus sites levantados. Restam 8.380 PME de 1 a 249 trabalhadores, das quais 3.543 em WordPress.
O que foi lido: as extensões e os temas cuja presença aparece no código público da página inicial e, para cada extensão, o editor declarado no repositório oficial do WordPress. Só contam os vestígios servidos pelo próprio site ou pela sua rede de distribuição: um módulo de avaliações de clientes carregado a partir do site WordPress do seu editor não faz do site que o apresenta um site WordPress. Desde outubro, cada levantamento aplica esta regra, e a coluna de setembro da tabela de evolução é recalculada segundo ela.
O que não foi lido: nada que exija acesso ao site, à sua administração ou ao seu alojamento. Nenhum teste de intrusão, um único pedido por site.
Alcance: uma extensão que não carrega script nem folha de estilo na página inicial permanece invisível, pelo que os números desta página são mínimos e a carga real é superior. Uma evolução lê-se nos sites presentes em dois levantamentos sucessivos: um site que se tornou inacessível, que saiu do WordPress ou que passou a estar ligado ao seu verdadeiro editor sai da comparação.
Cada levantamento é publicado na íntegra, uma linha por empresa, com o domínio, o SIREN, o escalão de trabalhadores, as extensões detetadas e a parte da base de onde provém. Estes números são reutilizáveis com atribuição à Simafri e ligação para esta página.
Descarregar o levantamento de outubro de 2026 (CSV)
Descarregar o levantamento de setembro de 2026 (CSV)
Próximo levantamento previsto para 1 de novembro de 2026, sobre a mesma base, o que dirá se a carga sobe ou desce no conjunto dos sites.
A Simafri é o aliado técnico das empresas desde 2012: criamos o seu site, alojamo-lo, mantemo-lo e conservamo-lo atualizado, com o seu nome de domínio registado em seu nome. Escreva-nos, vemos o seu caso em conjunto.
Simafri
Vamos falar do seu projeto
Diga-nos em poucas palavras o que precisa: respondemos-lhe rapidamente.
Obrigado! O seu pedido foi enviado. Responderemos em breve.
Prefere o email? Escreva-nos para support@simafri.com.