Un site web avec un CMS comme WordPress paraît économique à l'installation. L'installation elle-même est gratuite, les hébergements mutualisés coûtent quelques euros par mois. Mais cette vision ignore la facture récurrente qui s'amorce dès la première année : la sécurité, la maintenance et la dette technique accumulée. En 2026, ces coûts cachés représentent le vrai budget à prévoir.
La sécurité : le poste de dépense principal
L'argument marketing de WordPress est sa gratuité. La réalité est que l'ensemble des outils nécessaires pour sécuriser correctement un site en 2026 coûte entre 400 et 2 000 dollars par an. Cela inclut des services comme Patchstack ou Wordfence Premium, un pare-feu applicatif web comme Cloudflare, des sauvegardes automatisées et une surveillance. Ce n'est pas un luxe, mais un minimum pour faire face au volume de menaces.
WordPress est la cible par défaut. Il propulse 43 % du web, mais représente 96 % des divulgations de vulnérabilités liées à un CMS. L'écosystème de plugins en est la cause première : plus de 250 nouvelles failles sont divulguées chaque semaine. La menace est à la fois massive et industrialisée.
Une menace accélérée par l'intelligence artificielle
L'effort d'attaque évolue plus vite que la défense. Les chercheurs en sécurité utilisent désormais l'IA pour trouver des failles à grande échelle. Entre la fin 2025 et avril 2026, la part des soumissions de vulnérabilités au programme de récompenses Wordfence impliquant une assistance IA est passée de 16 % à 66 %. Sur la même période, le volume total de ces soumissions a augmenté de 453 %. Cette automatisation de la détection de failles signifie que les propriétaires de sites doivent aussi automatiser et renforcer leur défense, ce qui alourdit la facture.
La dette technique : un tiers des plugins potentiellement obsolètes
La sécurité n'est pas le seul poste caché. La maintenance ordinaire se heurte à une masse de composants non maintenus. En 2026, environ 35 % des plugins disponibles sur le dépôt officiel de WordPress n'ont pas été mis à jour depuis plus de 12 mois. Beaucoup de ces extensions comptent encore des centaines de milliers d'installations actives. Un plugin non mis à jour est un passif : il peut cesser de fonctionner avec les versions récentes de WordPress ou PHP, devenir non auditable, ou surtout, contenir des failles de sécurité qui ne seront jamais corrigées. C'est une dette technique qui s'accumule silencieusement.
WordPress vs Drupal : une exposition disproportionnée
On pourrait penser que ces problèmes sont simplement proportionnels à la popularité d'un CMS. La comparaison avec Drupal montre le contraire. WordPress a environ 270 fois plus de sites que Drupal, mais le nombre de vulnérabilités divulguées est 54 fois supérieur. Site par site, WordPress génère donc plus de vulnérabilités que sa seule part de marché ne l'explique. L'écosystème fragmenté de plugins, où chacun développe sa propre sécurité, en est le facteur déterminant.
Un budget annuel à anticiper
Un propriétaire de site WordPress doit intégrer ces postes dans son budget annuel. Héberger le site est la dépense la plus visible, mais elle ne représente souvent qu'une fraction du coût réel. La sécurité professionnelle, les mises à jour régulières, la vérification de la compatibilité des plugins et la gestion de la dette technique absorbent des ressources, qu'elles soient financières ou en temps. Avant de comparer des offres d'hébergement au centime près, il est plus judicieux d'évaluer la santé technique de son installation et de provisionner un budget de sécurité adéquat. L'alternative est de porter un risque inutile, car le "gratuit" de l'installation initiale est le mirage le plus coûteux du web en 2026.