Hallucination IA : 175 € pour réparer des erreurs qui n’existent pas (anatomie d’un faux audit WordPress)

14h03. Jeudi 28 mai. Un mail arrive dans ma boite avec ce sujet en gras : "Optimisation urgente pour wpformation.com : erreurs critiques détectées". Cinq problèmes graves listés. Devis 175 €. Erreur PHP fatale. 500 Internal Server Error. Connexion à la base de données impossible. Mode maintenance bloqué. Debug WordPress en clair.

Sauf que mon site marche… Tous les voyants au vert. 200 OK partout. Aucun écran rouge nulle part.

Bon. Ce mail est une hallucination IA, vendue 175 €. Je vais le disséquer ici, en détail, pour montrer comment ces audits sont fabriqués, comment les reconnaître en 90 secondes, et à quoi devrait ressembler un VRAI audit assisté par IA. Parce que vous allez en recevoir, des messages du même genre… Promis.

---

Le mail tel qu’il est arrivé

Le mail est court. Structuré. Propre. Pas de fautes d’orthographe, pas de pièce jointe louche, pas de signature en Comic Sans. La signature en bas indique un développeur web "spécialisé WordPress et automatisations IA", avec un lien vers un site vitrine sérieux. Pas un escroc évident.

Premier signal qui devrait alerter quiconque a un peu d’expérience : le mail est envoyé en Markdown brut. Vous voyez les ### en début de titres, les **gras** non interprétés, les [Preuve](URL) à la place de liens cliquables. C’est la sortie textuelle directe d’un LLM, copiée-collée dans un mail HTML sans aucun rendu. Un développeur qui revendique l’expertise "automatisations IA" envoie son outreach sans même savoir convertir du Markdown en HTML… ça en dit déjà long sur la maîtrise du sujet.

Cinq erreurs sont listées, chacune assortie d’un lien "Preuve" :

1. Erreur PHP fatale : des pages renvoient 404
2. Erreur critique WordPress : 500 Internal Server Error visible
3. Erreur de connexion à la base de données : message affiché sur toutes les pages
4. Mode maintenance bloqué : site indisponible
5. Mode debug WordPress visible : informations techniques exposées

Je clique sur les cinq liens "Preuve". Surprise : ils pointent tous vers la même URL. Une seule page, présentée comme la preuve simultanée de cinq erreurs distinctes… Pourquoi cinq erreurs distinctes partagent-elles une seule preuve ? Parce qu’aucune n’existe vraiment. C’est un script qui a scrapé une page de mon site et fabriqué cinq diagnostics dessus.

Et voilà à quoi ressemble la vitrine de l’expéditeur. Une agence web qui se positionne comme "spécialiste WordPress et automatisations IA" :

On l’oublie trop souvent dans la prospection automatisée par IA : ces cinq diagnostics ne décrivent pas le même état d’une page au même instant. Une requête donnée renvoie un statut HTTP et un contenu précis. Certaines pannes peuvent se succéder ou toucher des URLs différentes, bien sûr. Mais les empiler sans heure, sans URL distincte et sans trace technique ne prouve absolument rien.

Comment repérer les signaux qui ne trompent pas ?

Signal 1 : la même URL pour cinq erreurs

Une même URL peut parfaitement cumuler plusieurs défauts : un problème de performance, une balise SEO absente et une erreur JavaScript, par exemple. Ce qui devient suspect, c’est de lui attribuer cinq pannes incompatibles sans horodatage, sans code HTTP, sans capture et sans contexte. Une seule URL répétée cinq fois n’est donc pas une preuve de fraude. C’est un signal qui impose de demander les éléments de reproduction.

Signal 2 : zéro métadonnée technique

Aucune capture horodatée. Aucun User-Agent. Aucun code HTTP retourné. Aucune trace de log. Un humain qui inspecte vraiment un site écrit : "le 28/05/2026 à 11h42, depuis Mozilla/5.0 Chrome 126, j’ai obtenu HTTP 500 sur cette page, voici le PNG et le header complet". Un script halluciné écrit : "Erreur 500 visible". Et c’est tout. Le vide.

Signal 3 : un prix template pour tout

Cinq problèmes à 35 € pièce. Pas 35 / 50 / 80 / 60 / 45 selon la gravité réelle. Cinq fois le même tarif. Ce n’est pas un diagnostic facturé par effort réel : c’est un template de devis rempli automatiquement. La facture vient AVANT le diagnostic. Pas l’inverse. Le devis n’est même pas adapté à la situation supposée détectée.

Le test à faire chez vous en 90 secondes

Le réflexe le plus simple ne demande aucune connaissance technique. Il fonctionne pour tout site web, pas seulement WordPress. Et il prend littéralement moins de temps que de rédiger une réponse polie à l’expéditeur.

Pour confirmer techniquement, ouvre un terminal :

curl -sS -I https://votre-site.fr/

La première ligne donne le statut de cette requête : 200 signifie que le serveur a répondu, 500 signale une erreur serveur, 503 une indisponibilité. Un 200 ne garantit pas que le contenu est correct : une page d’erreur peut elle-même répondre 200. Et si curl n’affiche rien, ne concluez surtout pas que tout va bien : regardez le message d’erreur et le code de sortie. DNS, TLS ou réseau peuvent avoir échoué.

J’ai fait le test sur wpformation.com pour les cinq affirmations du mail. Verdict confronté :

Affirmation du mail	Réalité vérifiable
Pages en 404	HTTP 200 OK partout
"500 Internal Server Error" visible	HTTP 200 OK, page rendue normalement
Erreur de connexion à la base de données	Page charge, aucun message DB
Mode maintenance bloqué	Site servi normalement
Debug WordPress visible	Aucun message PHP exposé

Bref. Le verdict prend moins de temps que rédiger une réponse polie à l’expéditeur. Et il est gratuit.

Comment l’IA s’est-elle plantée exactement ?

Reconstitution probable des cinq étapes qui ont produit ce mail :

1. Un outil de prospection automatisée scrape la home wpformation.com et suit deux ou trois liens internes.
2. Le bot tombe sur un article du site titré "Les 10 erreurs WordPress les plus courantes et comment les résoudre".
3. Il envoie le HTML de cette page à un modèle de langage, avec une instruction du type : "identifie les erreurs critiques sur ce site et chiffre la réparation".
4. Le modèle, sans accès au runtime du site, confond les MENTIONS textuelles dans l’article ("si vous voyez 500 Internal Server Error, voici comment résoudre…") avec des erreurs RÉELLEMENT affichées.
5. Un template de mail se remplit automatiquement, un devis à 35 € par finding se génère, et le tout part en envoi de masse… en Markdown brut.

Le phénomène a un nom technique précis : c’est une hallucination. Wikipedia la décrit comme une réponse fausse ou trompeuse présentée comme un fait. Un modèle de langage sans ancrage factuel, c’est-à-dire sans logs serveur, codes HTTP authentiques ni vérification en conditions réelles, produit surtout la suite de texte la plus plausible. Si vous lui demandez de trouver des erreurs critiques, il peut en fabriquer même quand le site fonctionne.

Le point à retenir : une réponse plausible n’est pas une mesure. Un LLM peut aider à formuler des hypothèses, mais il faut relier chacune d’elles à une requête, une date, une capture ou un log avant de la vendre comme un constat.

Et l’ironie dans tout ça ? L’expéditeur du mail revendique l’expertise "automatisations IA" dans sa signature. C’est précisément son automatisation IA qui a généré le bug. Et le rendu Markdown brut prouve qu’il n’a même pas configuré la chaîne d’envoi correctement. Le bonhomme vend une expertise qu’il ne maîtrise pas, avec un outil qu’il n’a pas compris, sur des cibles qu’il n’a pas vérifiées. Triple zéro.

Le pire ? Cette approche ne convertit pas. Le mail est alarmiste au possible ("urgent", "erreurs critiques", "perte de leads ou de commandes", "détérioration continue"). Le vocabulaire panique-marketing fait fuir tout prospect qualifié qui prend trois secondes pour vérifier. Les seuls qui paient sont ceux qui paniquent SANS vérifier. C’est une stratégie qui sélectionne les naïfs, et qui détruit la réputation de l’expéditeur auprès de tous les autres. CQFD.

Pourquoi ce pattern va exploser en 2026-2027

Quatre forces convergent :

1. Les outils SaaS de prospection IA sont accessibles. Lemlist, Apollo, Instantly ou Smartlead ont banalisé l’envoi automatisé et la personnalisation par IA. Leurs tarifs et leurs quotas évoluent, mais la barrière à l’entrée est devenue très basse.
2. Les prompts d’audit auto circulent partout. Marketplaces, vidéos et groupes privés proposent des recettes prêtes à copier. Le problème n’est pas le prompt : c’est l’absence de contrôle factuel avant l’envoi.
3. L’économie unitaire semble favorable sur le papier. Un volume élevé et quelques réponses peuvent donner l’illusion d’un modèle rentable. Mais ce calcul théorique ignore le taux de conversion réel, les remboursements, le temps de support et le coût de réputation quand la cible vérifie.
4. Les LLM sans grounding produiront toujours des hallucinations sur du factuel vérifiable. Le problème n’est pas technique. Il est méthodologique : utiliser un outil non-vérificateur pour produire des affirmations factuelles vérifiables.

Et parfois, c’est vous que l’IA invente

Le faux audit invente des bugs. Le même type de moteur de prospection automatisée sait aussi inventer son destinataire. Voici un autre spécimen, d’un genre différent : un mail qui m’appelle Kévin.

Trois erreurs en quatre lignes. Le prénom d’abord : je m’appelle Fabrice, et n’importe qui ayant passé dix secondes sur WPFormation le sait. La mention " WPFormation (Kévin) " trahit le gabarit : deux variables de fusion mal renseignées, recrachées telles quelles. Le métier ensuite : " vous construisez des sites WordPress ", " les sites que vous livrez déjà ". Je forme, j’audite, je conseille ; je ne livre pas de sites clients. L’abonnement enfin : " vous recevez ce message parce que vous dirigez WPFormation ". Je ne me suis jamais inscrit chez cet expéditeur.

Aucun de ces trois éléments n’a été vérifié, les trois sont faux. Et le résultat rejoint celui du faux audit : l’offre se disqualifie toute seule dès la première ligne. Quand l’outil m’est présenté par une IA qui ne sait même pas à qui elle parle, je n’ai aucune envie d’aller voir l’outil.

Trois réflexes pour détecter un faux audit IA

Réflexe 1 : compter les URLs uniques citées

Comptez les URLs, puis regardez surtout si chaque constat possède son propre contexte. Une même page peut avoir plusieurs défauts, mais pas cinq pannes contradictoires prouvées par le même lien nu. Si l’expéditeur ne fournit ni heure, ni statut, ni capture, ni méthode, demandez-les avant d’aller plus loin.

Réflexe 2 : demander les métadonnées techniques

Répondez avec ce message :

"Bonjour, merci pour votre signalement. Avant intervention, je voudrais reproduire vos tests. Pouvez-vous m’envoyer pour chaque erreur : la capture horodatée, le code HTTP retourné, et le User-Agent utilisé lors du test ? Cordialement."

Un auditeur sérieux doit pouvoir fournir ces éléments ou expliquer précisément pourquoi il ne les a pas. Une réponse vague, une redirection vers le devis ou l’absence totale de trace suffit à suspendre toute décision. Pas besoin d’inventer un pourcentage : sans preuve reproductible, le diagnostic n’est simplement pas établi.

Réflexe 3 : reproduire en 90 secondes

Ouvrez un onglet privé et visitez les URLs citées. Si tout charge normalement, notez l’heure et poursuivez le contrôle au lieu de déclarer automatiquement l’audit faux. Pour aller plus loin sans connaissance technique, utilisez mon outil Score WordPress : il évalue plus de 60 critères de performance, sécurité, SEO et bonnes pratiques en une minute. Vous obtenez une première base factuelle à confronter au mail reçu.

Mon conseil : double le test avec le Vérificateur de Plugins (score de confiance sur 100 par extension installée) et PageSpeed Insights (Google, gratuit). Trois sources gratuites = baseline solide et indépendante de l’expéditeur du mail.

À quoi ressemble un VRAI audit IA bien fait ?

J’utilise l’IA tous les jours pour auditer WordPress. Génération de schémas JSON-LD validés contre Google Rich Results. Sous-agents qui parsent les logs PHP. Scripts d’audit SEO multi-sources qui croisent Google Search Console, Google Analytics, DataForSEO et Bing Webmaster Tools. L’IA accélère le travail. Elle ne le remplace pas. Sans méthode humaine derrière, elle accélère la production de faux. Point.

Un audit WordPress assisté par IA correctement cadré présente cinq caractéristiques :

1. Il "groundé" ses affirmations sur des sources vérifiables. Log serveur, scan technique réel, capture horodatée, headers HTTP authentifiés. Pas "je pense qu’il y a une erreur 500", mais "le 28/05 à 14h03, Mozilla/5.0 Chrome 126 sur cette URL retourne HTTP 500 avec ce stack trace, voici le PNG".
2. Il cite des URLs distinctes par finding, chacune avec timestamp et code HTTP. Trois problèmes détectés = trois URLs différentes fournies, chacune avec son contexte propre.
3. Il distingue les mentions textuelles des manifestations runtime. Un article qui PARLE d’une erreur n’est pas une erreur AFFICHÉE. Distinction élémentaire pour un humain, invisible pour un modèle de langage mal cadré.
4. Il présente ses limites explicitement. "L’IA a détecté X, je l’ai re-vérifié manuellement, voici la trace." La transparence sur le workflow remplace la fausse autorité.
5. Il hiérarchise par sévérité réelle avec preuve d’impact mesurable. Pas "5 problèmes à 35 €", mais "1 critique (perte de trafic estimée à X depuis Google Search Console le mois dernier), 2 moyens, 1 amélioration". Avec chiffres sourcés.

Nota : treize années d’expertise WordPress (j’ai démarré WPFormation en 2012), Activateur France Num depuis mai 2026, formation Jedha en IA et Prompt Engineering fin 2025. Je détaille les 13 points de contrôle d’un audit WordPress sérieux dans mon article Audit WordPress : 13 points de contrôle (avec un cas réel). Pour l’usage légitime de l’IA dans la sphère WordPress, voir aussi mes papiers sur les boutons "Interroger l’IA" et l’IA appliquée à la formation.

Les recours après avoir payé un audit douteux

Trois recours pratiques, dans l’ordre :

1. Demandez les preuves techniques. Captures horodatées, logs serveur, codes HTTP, User-Agent et méthode de test. Conservez le devis, la facture et tous les échanges.
2. Contactez rapidement votre banque si vous avez payé par carte. Le chargeback n’est ni un droit automatique ni soumis à un délai universel de 30 jours. C’est une offre contractuelle dont les motifs et les délais dépendent de votre carte et de votre contrat. Demandez la procédure applicable et fournissez vos justificatifs.
3. Utilisez le bon canal. Signal Spam permet de signaler un message indésirable. Pour un litige contractuel, la juridiction compétente dépend de la nature du litige et des parties, pas d’un seuil de 5 000 €. Ce montant correspond au taux de ressort du tribunal de commerce, donc à la possibilité d’appel, pas à sa compétence.

À noter avant tout signalement :

Pour les futurs mails du même genre… conserve-les comme preuve avant tout règlement. Une capture, une copie texte. Ça ne coûte rien et ça peut tout changer.

Ce qu’il faut retenir

Quatre signaux suffisent à disqualifier un audit en moins d’une minute :

Ces mails vont se multiplier en 2026-2027. La bonne nouvelle, c’est que 90 secondes suffisent pour les disséquer. La moins bonne ? Vous allez en recevoir beaucoup. Trop. Et chaque mail vous coûte du temps d’arbitrage, même quand vous ne payez pas. La vraie question n’est donc pas "comment éviter ce type de message". C’est plutôt : voulez-vous gérer ça vous-même chaque semaine, ou voulez-vous qu’on s’en occupe ?

Deux façons d’en finir avec ce type de mail

D’un côté, mes forfaits Maintenance WordPress (de 590 à 2 990 €/mois selon la criticité) : je m’occupe de tout, mises à jour, sauvegardes, monitoring, sécurité, support. Si un site sous maintenance reçoit ce genre de mail, je le filtre. Vous ne le voyez même pas. Plus de devis à 175 € à arbitrer en panique.

De l’autre, mon offre Expert WordPress à 190 €/heure (ou en forfaits 5h / 10h / 20h) : un vrai audit. Livrable horodaté complet, captures, logs, headers HTTP, hiérarchisation par sévérité avec preuve d’impact mesurable, plan d’action chiffré. Pas un template à 35 € par finding. Du sur-mesure documenté, avec un délai annoncé de 5 à 10 jours ouvrés.

Pas encore prêt à déléguer ? Faites votre propre check gratuit en une minute via Score WordPress (plus de 60 critères évalués, sans création de compte). Vous aurez votre première base factuelle pour confronter n’importe quel audit reçu.

Sources vérifiées

• Documentation officielle de curl sur les options -I, -s et -S.
• Fiche DGCCRF sur la rétrofacturation ou chargeback, offre contractuelle aux conditions variables.
• Article L721-3 du Code de commerce sur la compétence du tribunal de commerce.
• Article R721-6 du Code de commerce sur le taux de ressort fixé à 5 000 €.

Article original sur WPFormation