3 830 sites d’entreprises analysés en Pays de la Loire : un sur sept sur un PHP abandonné

Le site web d’une entreprise est souvent la première pièce que consulte un acheteur, et la dernière que l’entreprise regarde. Pour mesurer l’écart, web2b a analysé, depuis l’extérieur et sans rien forcer, 3 830 sites d’entreprises dont le siège est en Pays de la Loire. Le résultat le plus solide tient en une ligne : sur ces 3 830 sites, au moins 564 fonctionnent sur une version de PHP qui ne reçoit plus aucun correctif de sécurité, soit un site sur sept.

Le reste du tableau est plus nuancé. Les fondamentaux visibles — HTTPS, affichage mobile — sont presque partout en place. Ce qui se voit moins, la mise à jour du socle technique et les protections, l’est beaucoup moins.

Méthode : 3 830 sites lus depuis l’extérieur

• Périmètre. 84 350 entreprises actives de la base web2b dont le siège est en Loire-Atlantique, Maine-et-Loire, Mayenne, Sarthe ou Vendée. Leur site principal a été retrouvé et jugé joignable pour 3 830 d’entre elles.
• Mesure. Une lecture de la page d’accueil et des réponses du serveur, comme le ferait un navigateur : technologie du site, versions annoncées, certificat, en-têtes de sécurité, date des contenus, temps de réponse. Aucune tentative d’intrusion, aucune page protégée.
• Date. Dernières analyses le 29 septembre 2026, chiffres calculés le 30 septembre.
• Précision. Chaque taux est donné avec sa base, et un intervalle de confiance à 95 % a été calculé pour chacun (méthode de Wilson). Sur la base régionale, la marge est de l’ordre de 1 à 3 points.

Un point de lecture, avant les chiffres : ils décrivent les sites analysés, pas l’ensemble des entreprises de la région. Les sites ont été retrouvés à partir du nom des entreprises, ce qui couvre moins d’une entreprise sur vingt de la base : les structures qui ont un site identifiable, et plutôt les plus grandes.

Les chiffres clés

PHP : un site sur sept tourne sur une version abandonnée

PHP est le langage qui fait tourner WordPress et une bonne partie des sites d’entreprise. Chaque version reçoit des correctifs pendant quatre ans, puis plus rien : une faille découverte ensuite reste ouverte. Au 30 septembre 2026, seules les branches 8.2 à 8.5 sont encore suivies, selon le calendrier officiel publié par php.net.

Sur les 3 830 sites, 1 194 affichent leur version de PHP dans les réponses du serveur. Parmi eux, 564 annoncent une version sans correctif : PHP 8.1 ou plus ancien, jusqu’à des branches 5.x arrêtées depuis huit à douze ans. PHP 7.4, à lui seul, en compte 243.

Deux précisions changent la lecture de ce chiffre. D’abord, c’est un plancher : les deux tiers des sites ne disent pas quelle version ils utilisent, et rien n’indique qu’ils soient tous à jour. Ensuite, le chiffre va mécaniquement grimper : PHP 8.2 sort du support le 31 décembre 2026. Si rien ne bouge d’ici là, les 190 sites qui l’affichent rejoindront le groupe, et la part des versions abandonnées passera de 47 % à 63 % des versions affichées.

WordPress : plus d’un tiers des versions lisibles en retard d’une branche

WordPress équipe 57 % des sites analysés, et 84 % de ceux dont la technologie a pu être identifiée. Sa version est lisible sur 1 398 d’entre eux. Parmi ces derniers, 63,2 % sont sur la branche 7.1, la plus récente ; 36,8 % sont restés en arrière, dont 28,1 % encore sur une version 6.x ou plus ancienne, et 7,4 % sur une version antérieure à 6.0.

Ce taux de retard est probablement lui aussi un plafond, mais dans l’autre sens : les sites qui masquent leur version sont souvent ceux dont l’équipe technique a appliqué une consigne de sécurité, et donc plutôt mieux entretenus. C’est une inférence, pas une mesure. Elle invite à lire les 36,8 % comme une limite haute pour l’ensemble des sites WordPress, et comme une mesure juste pour ceux qui affichent leur version.

Protections : peu de garde-fous visibles

Les éléments que tout visiteur remarque sont en place : 99,3 % des sites passent en HTTPS, 96,4 % s’affichent correctement sur mobile, et seuls 1,4 % des certificats étaient expirés au moment de l’analyse. Les protections qui ne se voient pas à l’écran sont beaucoup plus rares.

• Pare-feu applicatif. Sur les 641 sites WordPress où la mesure est possible, 87,2 % ne présentent aucune protection détectée depuis l’extérieur. La formule compte : un filtrage peut exister en amont sans laisser de trace visible, et cette mesure ne vaut que pour WordPress.
• En-têtes de sécurité. Ce sont de courtes consignes que le serveur envoie au navigateur (forcer le HTTPS, limiter les scripts autorisés, empêcher l’intégration du site dans une page tierce). 45,8 % des sites mesurés n’en envoient aucune des six usuelles ; 85,5 % n’ont pas de politique CSP.

Contenus : un site datable sur six n’a rien publié depuis deux ans

Sur les 2 960 sites dont les contenus portent une date lisible, 15,8 % n’affichent rien de plus récent que 24 mois. Un acheteur qui arrive sur une page d’actualités arrêtée en 2024 en tire rarement la conclusion que l’entreprise se porte bien. C’est aussi une question de visibilité : les assistants d’IA générative puisent dans ce que les sites exposent, et un site figé leur donne peu de matière — un sujet que nous avions abordé sous l’angle de la visibilité des marques B2B dans les IA génératives.

Côté performance, la situation est correcte : le temps de réponse médian du serveur est de 949 millisecondes, et 5,5 % seulement des sites dépassent 2,5 secondes.

Pourquoi ces chiffres concernent les équipes commerciales

Pour une entreprise qui vend, le site est un argument de sérieux au moment où l’acheteur compare. Chez les grands comptes, l’homologation d’un fournisseur commence par l’évaluation du risque, et le prix n’arrive qu’ensuite, comme le montrait notre article sur l’homologation des fournisseurs chez un grand compte. Un site sur une version de PHP abandonnée ne fait pas perdre un référencement à lui seul ; c’est un indice de risque de plus, lisible par n’importe quel acheteur outillé.

Pour une entreprise qui vend des services — agences web, infogérance, cybersécurité, hébergement —, ces données sont d’une autre nature : publiques, datées et vérifiables, elles ont les propriétés des signaux d’affaires. Un site en retard de deux branches ou sans aucun en-tête de sécurité désigne un besoin concret, que l’on peut aborder avec un constat précis plutôt qu’avec un argumentaire générique. C’est précisément ce qui sépare une prise de contact utile d’une sollicitation de plus, dans un contexte où 64 % des dirigeants de TPE-PME citent l’insuffisance de la demande comme premier frein, comme le rappelait notre article sur les freins des TPE-PME.

Les limites de l’étude

• Représentativité. Les taux portent sur les sites analysés. Ils ne disent rien des entreprises sans site, ni de celles dont le site n’a pas été retrouvé à partir de leur nom.
• Versions masquées. La version de WordPress n’est lisible que sur 64 % des sites WordPress, et celle de PHP sur 31 % des sites. Les taux de retard portent sur ces sous-ensembles.
• Protections invisibles. L’absence de pare-feu ou d’en-tête détecté ne prouve pas l’absence de toute protection : elle signifie que rien n’est visible depuis l’extérieur.
• Instantané. Un site analysé le 29 septembre peut avoir été mis à jour le lendemain. Les chiffres seront recalculés à chaque nouvelle vague d’analyse.

Vérifier son propre site

L’outil utilisé pour cette étude est ouvert : l’analyse de site web2b applique les mêmes contrôles à une adresse, en quelques secondes, et restitue le résultat à l’écran sans inscription. Un rapport plus détaillé — performances mesurées, cookies déposés avant consentement, extensions WordPress à mettre à jour — peut ensuite être reçu par e-mail.