Combien coûte vraiment le piratage d'un site de TPE ou de PME ?
Le piratage d'un site coûte presque toujours plus cher que la facture de nettoyage. Pour une TPE ou une PME, la vraie addition mélange des coûts visibles, comme l'intervention technique, et des coûts cachés : ventes perdues, référencement dégradé, temps du dirigeant. Plutôt que de vous donner des chiffres moyens qui ne correspondent à aucune entreprise réelle, cet article vous fournit une méthode pour estimer votre propre coût, poste par poste, et décider en connaissance de cause du budget de prévention.
Pourquoi le coût d'un piratage est mal estimé
La plupart des dirigeants découvrent le coût d'un piratage au moment où il se produit. Le site redirige vers un casino en ligne, l'hébergeur suspend le compte, ou Google affiche un écran rouge. Dans l'urgence, on appelle un prestataire, on paie, et l'on considère l'affaire close.
L'erreur fréquente est de réduire l'incident à cette facture. Or un site compromis continue de coûter pendant des semaines : clients qui ne reviennent pas, campagnes publicitaires stoppées, pages désindexées. Les attaques visant WordPress sont en grande majorité automatisées : des robots cherchent des extensions vulnérables sans se soucier de la taille de l'entreprise. Une TPE n'est donc pas « trop petite pour intéresser les pirates ». Elle est simplement moins préparée.
Autre biais courant : on raisonne en « pire cas » spectaculaire, comme un rançongiciel qui bloque toute l'entreprise, et l'on conclut que cela n'arrivera pas. Le scénario le plus probable pour un site de TPE est plus banal : une infection discrète, découverte tard, qui grignote les ventes et la réputation pendant des semaines. C'est ce scénario ordinaire qu'il faut chiffrer en priorité.
Estimer ce coût à froid, avant tout incident, permet deux choses : dimensionner la prévention et savoir quoi demander à un assureur ou à un prestataire de maintenance.
Les postes de coût à additionner
Un piratage se décompose en six familles de coûts. Toutes ne s'appliquent pas à chaque entreprise, mais il faut les passer en revue.
- Intervention technique : nettoyage des fichiers et de la base, recherche de la porte d'entrée, remplacement des comptes, durcissement. C'est le seul poste qui arrive avec une facture.
- Perte de chiffre d'affaires directe : commandes non passées pendant l'indisponibilité ou pendant l'affichage d'un avertissement de sécurité.
- Perte de prospects : formulaires de contact hors service, appels qui ne viennent plus, devis non demandés.
- Coûts marketing gaspillés : budget publicitaire dépensé vers un site bloqué, campagnes e-mail à reprogrammer.
- Référencement : positions perdues sur Google, pages de spam indexées, délai de récupération.
- Temps interne et conformité : heures du dirigeant et des salariés, échanges avec l'hébergeur, éventuelle notification à la CNIL si des données personnelles sont touchées.
Les sources publiques comme cybermalveillance.gouv.fr ou l'ANSSI insistent sur le même point : l'impact d'une cyberattaque sur une petite structure tient autant à la désorganisation qu'aux frais techniques.
Cas concrets
Un artisan avec un site vitrine
Un plombier chauffagiste reçoit l'essentiel de ses demandes de devis par son site. Une extension de formulaire non mise à jour est exploitée, et le site redirige les visiteurs mobiles vers des pages frauduleuses. Il s'en aperçoit au bout de dix jours, quand un client le prévient. Son coût principal n'est pas le nettoyage, mais les demandes de devis perdues pendant cette période, qu'il peut estimer à partir de son historique.
Une boutique WooCommerce
Une boutique de produits locaux réalise une part importante de ses ventes en ligne. Après une infection, l'hébergeur suspend le compte pendant le nettoyage. Pendant ce temps, ses annonces publicitaires continuent de tourner vers une page d'erreur. Le coût cumule ventes perdues, budget publicitaire gaspillé et remboursement de quelques commandes passées juste avant l'incident.
Un cabinet libéral
Un cabinet de kinésithérapie utilise un module de prise de rendez-vous en ligne. Le piratage expose potentiellement les noms et numéros de téléphone des patients. Au coût technique s'ajoutent l'analyse du risque, la documentation de la violation dans le registre, peut-être une notification à la CNIL, et du temps passé à rassurer la patientèle.
Une association
Une association culturelle découvre que son site sert à héberger des pages de phishing. Son hébergeur la prévient et menace de fermer le compte. Le coût est surtout en temps bénévole et en réputation auprès de ses adhérents et partenaires financeurs.
Méthode pas à pas pour chiffrer votre coût
- Calculez votre chiffre d'affaires en ligne par jour : prenez le chiffre d'affaires réalisé via le site sur les douze derniers mois et divisez-le par 365. Pour un site vitrine, remplacez-le par le nombre moyen de demandes par jour multiplié par votre taux de transformation et votre panier moyen.
- Choisissez une durée d'incident réaliste : comptez le temps de détection (souvent plusieurs jours sans surveillance), le temps de nettoyage et le temps de retour à la normale. Multipliez par votre valeur journalière.
- Ajoutez le coût technique : demandez un devis de nettoyage à un ou deux prestataires pour un site comme le vôtre. Prévoyez aussi le coût d'une seconde intervention en cas de réinfection.
- Intégrez le marketing perdu : additionnez les dépenses publicitaires engagées pendant la période d'incident et le coût de reprogrammation de vos campagnes.
- Estimez l'effet sur le référencement : regardez dans Google Search Console la part de trafic organique de vos pages principales. Une baisse de quelques semaines sur ce trafic se chiffre avec la même valeur par visite que précédemment.
- Valorisez le temps interne : comptez les heures du dirigeant et des salariés mobilisés, multipliées par leur coût horaire chargé ou par la valeur d'une heure facturable perdue.
- Ajoutez le risque de conformité : si le site traite des données personnelles, prévoyez le temps d'analyse et, le cas échéant, l'appui d'un conseil juridique.
- Faites la somme et comparez : placez ce total en face du coût annuel d'une protection et d'une maintenance. Vous obtenez un ordre de grandeur personnel, bien plus utile qu'une moyenne nationale.
Pour la partie indisponibilité, l'article sur la surveillance de disponibilité d'un site WordPress explique comment raccourcir le délai de détection, qui est souvent le multiplicateur principal.
Bonnes pratiques
- Tenez à jour une fiche de crise : accès hébergeur, registrar du nom de domaine, prestataire à appeler, emplacement des sauvegardes.
- Gardez des sauvegardes hors de votre hébergement : une sauvegarde stockée sur le même serveur peut être chiffrée ou supprimée en même temps que le site.
- Surveillez plutôt que de découvrir : une alerte dans l'heure coûte infiniment moins qu'une découverte par un client au bout de dix jours.
- Appliquez les mises à jour rapidement : la majorité des infections exploitent des failles connues et déjà corrigées.
- Recalculez votre coût une fois par an : votre chiffre d'affaires en ligne évolue, votre budget de prévention doit suivre.
Erreurs fréquentes à éviter
- Considérer que la facture du prestataire représente le coût total de l'incident.
- Laisser tourner les campagnes publicitaires pendant que le site est bloqué ou redirigé.
- Restaurer une sauvegarde sans chercher la porte d'entrée, ce qui conduit souvent à une réinfection et à une seconde facture.
- Oublier la dimension données personnelles et découvrir trop tard l'obligation de documenter la violation.
Comment V-Shield vous aide
V-Shield agit sur les multiplicateurs du coût. Le monitoring vérifie la disponibilité de votre site toutes les 5 minutes et vous alerte par e-mail, ce qui réduit fortement le délai de détection. Le scan automatique, quotidien en Essentiel et toutes les 6 heures en Pro, détecte portes dérobées, comptes administrateurs frauduleux et injections en base, avec une analyse ClamAV et YARA côté serveur V-Shield.
En cas d'infection, le nettoyage s'accompagne d'une quarantaine réversible, et vos sauvegardes sont stockées hors de votre hébergement. Consultez le détail des fonctionnalités de protection et les formules à partir de 69 € par an. Pour aller plus loin, lisez notre checklist sécurité WordPress et notre guide pour mettre en place des sauvegardes fiables.
Vous préférez comparer ce coût à celui d'une protection active ? Démarrez avec la formule Pro, satisfait ou remboursé pendant 30 jours.
Questions fréquentes
Combien coûte le nettoyage d'un site WordPress piraté ?
Il n'existe pas de prix unique : le coût dépend de l'ampleur de l'infection, de la présence d'une sauvegarde saine, de la taille du site et du prestataire choisi. Demandez toujours un devis qui précise le périmètre : nettoyage des fichiers, de la base, recherche de la porte d'entrée, durcissement et garantie en cas de réinfection.
Le nettoyage est-il le poste le plus coûteux après un piratage ?
Rarement. Pour beaucoup d'entreprises, les coûts indirects pèsent davantage : ventes perdues pendant l'indisponibilité, publicité payée vers un site bloqué, positions Google perdues, temps du dirigeant et des salariés mobilisés. C'est pourquoi il faut chiffrer chaque poste séparément plutôt que de regarder seulement la facture du prestataire.
Mon assurance peut-elle prendre en charge le coût d'un piratage ?
Une assurance cyber peut couvrir une partie des frais, comme l'expertise, la restauration ou la perte d'exploitation, selon les garanties souscrites. Les contrats multirisques classiques couvrent rarement ce risque. Relisez vos conditions générales et particulières, les exclusions et les obligations de sécurité avant tout sinistre, et interrogez votre assureur en cas de doute.
Un petit site vitrine sans boutique a-t-il vraiment quelque chose à perdre ?
Oui. Un site vitrine apporte des demandes de devis, des appels et de la crédibilité. S'il redirige vers des arnaques ou affiche un avertissement Google, les prospects partent chez un concurrent. Il faut aussi compter le temps passé à gérer la crise et le risque de voir votre domaine utilisé pour envoyer du spam.
Comment comparer le coût d'un piratage à celui d'une protection ?
Estimez d'abord le coût d'un incident réaliste avec la méthode poste par poste de cet article, puis comparez-le au coût annuel de la prévention : sauvegardes externes, mises à jour, surveillance et pare-feu. L'objectif n'est pas le risque zéro, mais de rendre un incident rare, court et peu coûteux à réparer.