À retenir. WordPress équipe environ 43 pourcent du web public en 2026, et concentre mécaniquement le volume d'attaques. Pour un retailer e-commerce sous WordPress + WooCommerce, la sécurité n'est pas un module qu'on coche, c'est un poste budgétaire récurrent à cinq lignes : hébergement managé durci, plugin sécurité premium, audit annuel, maintenance proactive, formation. L'ordre de grandeur défendable en CODIR : 8 000 à 25 000 EUR par an, hors agence et hors incident. Sur Shopify Plus, ce poste disparaît du P&L retailer : il est transféré contractuellement à l'éditeur via PCI-DSS niveau 1, ISO 27001 et SOC 2.
1. WordPress, plateforme la plus attaquée du web : un fait d'écosystème
WordPress équipe environ 43 pourcent des sites du web public en 2026, selon les relevés W3Techs. C'est un effet de masse : la plateforme étant largement déployée, elle concentre le volume des tentatives d'intrusion. Les rapports trimestriels de WPScan et de Patchstack font ressortir un schéma stable depuis 2022 : la grande majorité des vulnérabilités critiques touche des plugins tiers, pas le core WordPress lui-même.
Trois faits structurants pour le décideur :
- Le core WordPress est plutôt bien tenu, avec un cycle de mises à jour mineures automatiques depuis la version 5.6. La surface d'attaque ne vient pas du core, elle vient de l'écosystème.
- Les plugins concentrent 90 pourcent des vulnérabilités exploitées en 2024-2025 selon les rapports Patchstack et WPScan. Un site WordPress e-commerce mid-market porte typiquement 25 à 60 plugins actifs.
- WooCommerce ajoute une surface paiement qui rend le retailer responsable au sens PCI-DSS, là où une vitrine non-marchande ne l'est pas. Ce changement de périmètre est souvent sous-estimé en phase d'audit.
Le pattern défendable en CODIR n'est pas "WordPress est dangereux". C'est : WordPress est la plateforme la plus exposée par son volume d'usage, et son architecture en plugins tiers transfère la responsabilité sécurité au retailer. Sur une vitrine, c'est gérable. Sur un site qui prend du paiement, c'est un poste budgétaire dédié.
2. Plugins WordPress : la mécanique des CVE 2024-2025
L'écosystème plugin WordPress fonctionne par marketplace ouverte. N'importe quel éditeur peut publier, et la maintenance dépend du modèle économique de l'éditeur. Trois patterns récurrents observés en audit chez les retailers mid-market FR :
- Plugins très diffusés, vulnérabilités à fort impact. Une faille sur Elementor, WPBakery, Yoast SEO, ou un builder de formulaires touche des centaines de milliers de sites simultanément. Les exploits sont industrialisés en quelques jours.
- Plugins abandonnés en stack. Sur 30 plugins moyens, 3 à 6 sont typiquement non maintenus depuis plus de 18 mois. Ils restent fonctionnels mais cumulent les CVE non patchées.
- Plugins de paiement et de check-out. Le périmètre PCI-DSS s'étend dès qu'un plugin touche au flux de paiement. Une faille XSS sur un plugin d'avis client peut suffire à compromettre un panier.
Le rapport State of WordPress Security publié par Patchstack indique plusieurs milliers de vulnérabilités plugins divulguées sur l'année. Pour un retailer, le suivi de ces CVE n'est pas un travail occasionnel, c'est une fonction continue. C'est ce que les agences spécialisées facturent en "maintenance sécurité", typiquement 200 à 600 EUR par mois.
Côté décideur, le chiffre défendable est : sur WordPress, la sécurité plugin est un risque distribué que personne d'autre que le retailer ne porte. Sur Shopify Plus, l'App Store applique un processus de validation et l'éditeur retire les apps non conformes du marketplace. La responsabilité n'est pas la même.
3. PCI-DSS sur WordPress : qui porte quoi
Dès qu'un site WordPress prend du paiement carte, le retailer entre dans le périmètre PCI-DSS. La version en vigueur en 2026 est PCI-DSS v4.0.1, avec un durcissement de plusieurs exigences (authentification multi-facteurs, segmentation, gestion des scripts client).
Le périmètre est partagé. La répartition pratique sur une stack WordPress + WooCommerce + passerelle (Stripe, Mollie, Adyen) :
- Le retailer porte : sécurisation du serveur, gestion des comptes admin, journalisation, mises à jour, pen-tests éventuels, chiffrement TLS, gestion des accès, segmentation réseau si applicable.
- L'hébergeur porte : sécurité physique du datacenter, isolation infrastructure, certifications conformes (selon offre managée souscrite).
- La passerelle de paiement porte : le stockage des données carte, la conformité PCI-DSS niveau 1 sur la couche paiement. Le retailer reste responsable de ce qu'il fait du retour de la passerelle dans son tunnel.
Pour la grande majorité des retailers WordPress, l'option utilisée est SAQ A ou SAQ A-EP, qui réduit le périmètre déclaratif mais ne supprime pas la responsabilité opérationnelle. Le passage en SAQ A-EP impose un scan trimestriel par un ASV (Approved Scanning Vendor), facturé 500 à 2 000 EUR par an selon le périmètre.
Sur Shopify Plus, la plateforme est PCI-DSS niveau 1 service provider, le niveau le plus élevé, audité annuellement (Shopify Compliance). Le retailer reste responsable de ses propres pratiques, mais l'environnement de paiement est porté par l'éditeur. Le transfert contractuel de risque est documenté.
4. RGPD sur WordPress : les angles morts
Le RGPD s'applique à toute donnée personnelle traitée. Sur un WordPress e-commerce, le périmètre couvre les comptes client, les paniers, le tracking marketing, les avis, les newsletters. Trois angles morts récurrents en audit :
- Le consentement cookies. Beaucoup de sites WordPress utilisent un bandeau qui ne bloque pas réellement les scripts tiers avant consentement. La CNIL a sanctionné plusieurs e-commerçants entre 2022 et 2025 sur ce point précis. L'ordre de grandeur des sanctions : 50 000 à 600 000 EUR sur un retailer mid-market.
- Les plugins qui exposent des données. Un plugin de formulaire de contact qui envoie en clair vers une boîte mail tierce, un plugin d'analytics qui transmet à un tracker non déclaré, un plugin chat qui stocke les conversations hors UE : autant de zones grises qui ne ressortent pas sans audit dédié.
- Le registre des traitements. Le retailer doit pouvoir documenter ce que fait chaque plugin avec les données. Sur 30 à 60 plugins actifs, ce travail n'est pas trivial. Il est rarement à jour.
Le coût RGPD pratique sur WordPress se chiffre en : (1) audit initial 3 000 à 10 000 EUR, (2) revue annuelle 2 000 à 6 000 EUR, (3) ajustements et plugins de gestion consentement (Cookiebot, Tarteaucitron, Axeptio) 500 à 3 000 EUR par an. Sur Shopify Plus, le périmètre fonctionnel natif (Customer Privacy API, journalisation, exports RGPD) couvre la majorité des cas d'usage retailer, et réduit la zone d'audit aux apps tierces installées.
5. Le coût annuel sécurité WordPress mid-market : les cinq lignes
Sur un retailer FR mid-market sous WordPress + WooCommerce, le poste sécurité dédié, hors agence build, hors incident, se décompose typiquement en cinq lignes :
- Hébergement managé durci (Kinsta, WP Engine, o2switch managé, Hostinger Cloud) : 1 800 à 6 000 EUR par an pour un site qui encaisse 10 000 à 100 000 sessions par mois. C'est le différentiel entre un hébergement mutualisé et un hébergement WordPress géré avec patching, WAF intégré, backups quotidiens. Ordres de grandeur publics côté Kinsta et WP Engine.
- Plugin sécurité premium (Wordfence Premium, Sucuri Platform, MalCare Pro) : 200 à 1 000 EUR par an et par site. Wordfence Premium est facturé 119 USD par an et par site, Sucuri démarre à 199 USD, les offres entreprise montent à plusieurs milliers.
- Maintenance proactive et veille CVE : 2 400 à 9 000 EUR par an, soit 200 à 750 EUR par mois en agence ou prestataire dédié. C'est la ligne qui couvre la mise à jour mensuelle des plugins, le suivi des CVE divulguées, les rollbacks quand une mise à jour casse.
- Audit annuel et scan ASV : 2 000 à 6 000 EUR par an. Inclut scan trimestriel obligatoire SAQ A-EP, audit annuel des plugins critiques, revue des comptes admin, test de restauration.
- Formation équipe et politique d'accès : 1 000 à 3 000 EUR par an. Gestion des comptes éditeurs, MFA, sensibilisation phishing, rotation des mots de passe. C'est la ligne la plus souvent sous-estimée.
Total défendable en CODIR : 8 000 à 25 000 EUR par an, hors agence build et hors incident. Sur 3 ans, 24 000 à 75 000 EUR. C'est un poste budgétaire dédié, qui n'apparaît pas dans la majorité des P&L car il est dilué entre "agence" et "hébergement". Le rendre visible est un préalable au comparatif avec Shopify Plus.
6. Ce que coûte vraiment une attaque WordPress
Le poste sécurité ne se mesure pas seulement par les dépenses préventives, il se mesure par le risque non valorisé d'un incident. Sur la période 2022-2025, plusieurs cas documentés permettent de poser des ordres de grandeur défendables :
- Downtime e-commerce : pour un retailer FR à 5 M EUR de chiffre annuel, le manque à gagner d'une indisponibilité de 48 heures est de l'ordre de 25 000 à 35 000 EUR de CA net. C'est avant d'inclure le coût de l'équipe mobilisée pour récupération.
- Récupération technique : intervention agence spécialisée incident, restauration backup propre, nettoyage base, post-mortem. 5 000 à 30 000 EUR selon complexité.
- Communication et notification : si compromission de données client, obligation RGPD de notifier la CNIL sous 72 heures et les personnes concernées si risque élevé. Coût juridique et communication 3 000 à 15 000 EUR.
- Sanction CNIL éventuelle : 50 000 à 600 000 EUR sur un mid-market, échelle observée 2022-2025 sur les cas de défaut de sécurité documentés.
- Perte de confiance : la part la plus difficile à chiffrer. Les retailers qui ont publié des incidents observent typiquement une baisse temporaire du taux de conversion de 5 à 15 pourcent sur les 60 jours qui suivent.
Soit, pour un incident de gravité moyenne, un coût total 40 000 à 200 000 EUR hors sanction. Le calcul de risque défendable en CODIR n'est pas "ça n'arrivera pas", c'est "quelle est la probabilité annualisée d'un incident sur 3 ans, et combien coûte de se couvrir". Ce raisonnement bascule rapidement en faveur d'un transfert de risque côté éditeur quand le chiffre d'affaires monte.
7. Shopify Plus : le transfert contractuel de risque sécurité
Sur Shopify Plus, la sécurité paiement et plateforme est portée par l'éditeur, avec des engagements contractuels documentés (Shopify Security) :
- PCI-DSS niveau 1 service provider : le niveau le plus élevé, audité annuellement par un QSA. Le retailer hérite du niveau de la plateforme sur la partie paiement.
- ISO 27001 et SOC 2 Type II : système de management de la sécurité de l'information audité, processus internes contrôlés.
- Patching plateforme : géré par Shopify, sans action retailer. Pas de cycle "version 4.0 obligatoire en mars 2026".
- App Store curé : process de validation, retrait des apps malveillantes, mises à jour gérées par les éditeurs avec validation Shopify.
- SLA disponibilité : 99,99 pourcent contractuel sur Shopify Plus.
Cela ne supprime pas toute responsabilité retailer. Restent à la charge du retailer : gestion des comptes staff, politique MFA, gouvernance des apps installées, qualité des intégrations sortantes vers le SI (ERP, WMS, CRM), conformité RGPD côté collecte. Mais le périmètre se réduit drastiquement, et il est documenté contractuellement.
Sur le P&L, l'effet est mécanique : les cinq lignes WordPress (8 000 à 25 000 EUR par an) fondent à environ 2 000 à 6 000 EUR par an de gouvernance résiduelle, et le risque non valorisé d'incident plateforme est porté par l'éditeur. C'est l'effet "SaaS multi-tenant audité" qu'on retrouve sur le comparatif architecture headless.
8. Trois constats décideur pour 2026
Un. Sur WordPress e-commerce, la sécurité est un poste budgétaire dédié de 8 000 à 25 000 EUR par an, hors agence et hors incident. Cette ligne est rarement isolée dans le P&L des retailers mid-market, mais elle existe. La rendre visible est le préalable à toute discussion de TCO honnête.
Deux. Le risque non valorisé d'un incident est la part la plus délicate. Un incident de gravité moyenne coûte 40 000 à 200 000 EUR hors sanction CNIL. La probabilité annualisée n'est pas nulle sur une plateforme qui concentre 43 pourcent des sites web. Le décideur ne peut pas l'écarter, il doit la chiffrer ou la transférer.
Trois. Sur Shopify Plus, le transfert contractuel de risque ne supprime pas toute responsabilité retailer, mais il réduit le périmètre opérationnel à la gouvernance des accès et des apps. Le poste sécurité dédié WordPress disparaît du P&L à hauteur de 70 à 80 pourcent. Sur 3 ans, l'écart est de 18 000 à 60 000 EUR en faveur de Shopify Plus sur ce seul poste, avant de compter l'incident évité.
Pour cadrer cet écart sur votre stack actuelle, le point d'entrée est notre calculateur TCO. La page comparatif WordPress vs Shopify Plus détaille les axes par poste. Pour l'angle international et multilingue, voir l'article WordPress multilingue vs Shopify Markets. Pour la checklist projet de migration, voir Migrer de WordPress vers Shopify Plus, checklist CODIR.
La règle de décision n'est pas "WordPress n'est pas sécurisable". Il l'est, des milliers de sites e-commerce le démontrent. La règle est : est-ce que ce poste a sa place dans votre P&L récurrent, ou est-ce qu'on mesure avant de promettre que le transfert contractuel à un éditeur SaaS multi-tenant audité est plus défendable en CODIR. Pas une opinion, un ordre de grandeur sourcé.