CariBuild CMS : la technologie derrière nos sites ultra-performants

Pourquoi nous avons abandonné WordPress

WordPress propulse environ 40 % du web. C'est un outil formidable pour bloguer, mais quand on l'utilise comme CMS d'entreprise, les chiffres parlent d'eux-mêmes :

• Performance médiocre : chaque visite déclenche des requêtes serveur. Ajoutez un constructeur de page et quelques plugins, et votre temps de chargement dépasse les 3 secondes. Or, 53 % des visiteurs mobiles quittent un site qui met plus de 3 secondes à charger (Google, 2023). Concrètement, vous perdez un visiteur sur deux avant même qu'il voie votre contenu.
• Surface d'attaque énorme : 60 % des vulnérabilités WordPress proviennent des plugins tiers (Patchstack 2024). Un site moyen utilise 20 à 30 plugins — autant de portes d'entrée potentielles pour les pirates. En 2024, plus de 150 000 sites WordPress ont été compromis via des failles de plugins.
• Maintenance permanente : mises à jour du cœur, des thèmes, des plugins, compatibilité entre versions... 43 % des sites WordPress tournent sur des versions obsolètes (W3Techs). Le moindre oubli peut casser le site ou l'exposer à une attaque.
• Dépendance aux plugins : formulaire de contact, SEO, cache, sécurité, sauvegarde, 2FA... Chaque fonctionnalité de base nécessite un plugin tiers, souvent payant, avec sa propre logique de mise à jour et ses propres failles.
• Cibles connues : /wp-admin et /wp-login.php sont attaqués par des bots automatisés 24h/24. xmlrpc.php, activé par défaut, permet des attaques par amplification. L'API REST expose la liste de vos utilisateurs sans authentification.

Nous avions besoin d'un outil taillé sur mesure pour nos clients : rapide, sûr, simple à utiliser, et qui ne nécessite aucune maintenance de leur part.

Comment fonctionne CariBuild

CariBuild sépare complètement la gestion de vos contenus et le site visible par vos clients. Le terme technique est « headless » — la partie administration et la partie visiteur sont deux systèmes indépendants.

Concrètement, le système repose sur trois couches :

1. Votre back-office — c'est l'interface où vous gérez tout : pages, articles, images, menus, paramètres. Accessible depuis n'importe quel navigateur, il fournit les données au format structuré via une API sécurisée.
2. Le site de vos visiteurs — propulsé par un framework spécialisé dans la génération de sites ultra-rapides. Il consomme les données du back-office et produit des pages HTML pures, prêtes à être servies instantanément.
3. Votre base de données — vos contenus sont stockés en sécurité, avec un système de cache intégré pour les requêtes fréquentes. Aucune donnée sensible n'est exposée côté visiteur.

En pratique, quand vous publiez un contenu, CariBuild déclenche automatiquement une reconstruction du site. En quelques secondes, vos pages sont régénérées et prêtes à être servies.

« Vos visiteurs ne chargent jamais de code serveur. Ils reçoivent du HTML pur. »

Des performances que vos visiteurs ressentent

Les sites CariBuild obtiennent systématiquement un score Lighthouse de 95 à 100/100 sur les quatre critères : Performance, Accessibilité, Bonnes pratiques et SEO. Ce n'est pas un objectif marketing — c'est une conséquence directe de l'architecture.

• Pages servies instantanément : aucune exécution serveur au moment de la visite. Le fichier HTML existe déjà, il est simplement envoyé au navigateur.
• Images optimisées automatiquement : chaque image uploadée est redimensionnée, compressée et convertie en format nouvelle génération (WebP). Elle s'adapte à chaque écran sans que vous n'ayez rien à faire.
• Polices hébergées chez vous : aucune requête vers Google Fonts. Plus rapide et plus respectueux de la vie privée de vos visiteurs.
• Aucun JavaScript superflu : le strict minimum pour les interactions essentielles — menu mobile, bannière cookies. Pas de librairies lourdes qui ralentissent le chargement.

Temps de chargement typique d'un site CariBuild : moins d'une seconde, même sur connexion mobile 4G. Un site WordPress moyen ? Entre 3 et 6 secondes.

Sécurité de niveau entreprise, intégrée par conception

La sécurité de CariBuild n'est pas un plugin ajouté après coup. Elle est structurelle — chaque couche du système est protégée. Nous avons soumis CariBuild à un audit de sécurité complet selon les standards internationaux OWASP. Résultat : 93/100. Un site WordPress moyen, avec ses plugins et sa configuration par défaut ? 42/100.

Côté visiteur : rien à pirater

Votre site est constitué de fichiers HTML statiques. Il n'y a littéralement aucune surface d'attaque : pas de base de données exposée, pas de formulaire de connexion accessible, pas de code serveur exécuté. Même en cas de compromission du serveur, il n'y a aucune donnée sensible à voler.

Côté administration : 15 couches de protection

• Double vérification d'identité (2FA) : chaque administrateur est protégé par un mot de passe et un code temporaire généré par une application (Google Authenticator, Authy, 1Password...). Même si quelqu'un vole votre mot de passe, il ne peut pas se connecter sans votre téléphone. Obligatoire pour les super-administrateurs.
• Blocage automatique : après 5 tentatives de connexion échouées, le compte est bloqué pendant 15 minutes. Les robots qui essaient des milliers de mots de passe sont stoppés net.
• 8 limiteurs de débit : connexion, API, paramètres, formulaires, builds — chaque point d'accès est protégé indépendamment. Un attaquant ne peut pas submerger le système.
• Vérification email obligatoire : aucun compte ne peut accéder à l'administration sans avoir confirmé son adresse.
• 14 politiques d'autorisation : chaque action — voir, créer, modifier, supprimer, publier — est contrôlée par une politique dédiée. Un éditeur ne peut pas modifier les paramètres. Un rédacteur ne peut pas supprimer une page.
• Validation stricte : chaque donnée soumise passe par des règles de validation dédiées. Rien n'entre dans la base sans être vérifié et typé.
• Injection de code impossible : le système utilise exclusivement une couche d'abstraction qui empêche structurellement l'injection de code malveillant dans la base de données.
• En-têtes de sécurité complets : le navigateur reçoit des instructions strictes — pas de scripts non autorisés, pas d'intégration dans des iframes tierces, connexion chiffrée obligatoire. Les API navigateur sensibles (caméra, micro, géolocalisation) sont désactivées par défaut.
• Chiffrement de niveau bancaire (AES-256) : les secrets d'authentification et tokens sont chiffrés avec le même standard utilisé par les banques. Même en cas d'accès à la base de données, ces données restent illisibles.
• Journal d'audit complet : chaque connexion, modification de contenu et action sensible est enregistrée avec l'adresse IP, l'horodatage et l'identité de l'utilisateur. Vous savez toujours qui a fait quoi.
• Protection contre les requêtes frauduleuses : chaque requête est vérifiée pour s'assurer qu'elle provient bien de votre navigateur. Les cookies sont chiffrés et ne peuvent pas être interceptés.
• Upload sécurisé : les fichiers sont validés par type, limités en taille, renommés automatiquement. Les fichiers SVG sont nettoyés de tout code malveillant.
• Analyse de code avant déploiement : chaque ligne de code est analysée automatiquement par des outils de détection de failles au niveau le plus strict. Les vulnérabilités sont détectées avant que le code n'atteigne votre serveur.
• Aucun plugin tiers : zéro dépendance à du code externe non audité. Chaque ligne de code est sous notre contrôle.
• Nettoyage automatique du contenu : le contenu riche est systématiquement nettoyé — les scripts, iframes et attributs dangereux sont supprimés automatiquement.

Trouvé par Google, cité par ChatGPT

Le référencement n'est pas un module ajouté après coup dans CariBuild. C'est un pilier fondamental — chaque page est optimisée pour être trouvée, comprise et recommandée.

SEO classique

• Balises meta générées automatiquement : title, description, canonical, robots, Open Graph et Twitter Cards — tout est rempli à partir de vos contenus, et personnalisable page par page.
• Données structurées complètes : un graphe JSON-LD contenant votre Organisation, votre Site et vos informations LocalBusiness est injecté sur chaque page. Les articles génèrent un schema BlogPosting complet. Résultat : Google affiche vos contenus enrichis directement dans les résultats de recherche.
• Sitemap XML intelligente : générée avec des priorités adaptées — maximum pour l'accueil, élevée pour les pages principales, standard pour les articles. Google sait exactement quoi indexer en priorité.

GEO : visible par les intelligences artificielles

Au-delà du SEO traditionnel, CariBuild intègre nativement la GEO (Generative Engine Optimization) — l'optimisation pour les moteurs de réponse alimentés par l'IA. Quand quelqu'un demande à ChatGPT ou Perplexity « quel est le meilleur artisan plombier à Fort-de-France ? », votre site a toutes les chances d'être cité.

• Fichiers llms.txt dédiés aux IA : des fichiers spéciaux fournissent un résumé structuré de votre site aux grands modèles de langage (ChatGPT, Claude, Perplexity). Le fichier llms.txt liste vos pages principales. Le fichier llms-full.txt extrait le contenu textuel complet de chaque page.
• Contrôle des crawlers IA : vous décidez quel crawler a accès à votre contenu — GPTBot, ClaudeBot, PerplexityBot, Google-Extended... Tout se configure depuis le back-office, sans toucher un fichier technique.
• Flux RSS et Atom complets : deux formats de syndication avec le contenu intégral de vos articles, autodécouverts par les navigateurs et les agrégateurs.
• Schemas contextuels automatiques : vos blocs FAQ génèrent un schema FAQPage. Vos blocs Étapes génèrent un schema HowTo. Vos blocs Services génèrent un schema Service. Google affiche vos contenus enrichis directement dans les résultats.

En résumé, votre site est lisible aussi bien par Googlebot que par ChatGPT. Dans un monde où de plus en plus de recherches passent par des IA conversationnelles, c'est un avantage concurrentiel décisif.

Simple à utiliser, sans formation

Toute cette technologie serait inutile si le back-office était compliqué. CariBuild a été conçu pour que n'importe qui puisse gérer son site — sans compétence technique, sans formation de 3 heures, sans appeler un développeur à chaque modification.

• Glisser-déposer : construisez vos pages en assemblant des blocs visuels — texte, images, colonnes, FAQ, témoignages, boutons d'appel à l'action — par simple drag & drop.
• Prévisualisation en direct : voyez le rendu exact de votre page avant de la publier. Ce que vous voyez est ce que vos visiteurs verront.
• Blog intégré : articles avec catégories, auteur, image de couverture — automatiquement inclus dans le sitemap, les flux RSS et les données structurées.
• Images optimisées sans effort : uploadez vos images, le système les redimensionne, les compresse et génère toutes les variantes nécessaires automatiquement.
• Tout configurable au même endroit : couleurs, polices, informations de contact, réseaux sociaux, données LocalBusiness, cookies RGPD, tracking — un seul panneau de configuration.

Pour qui est CariBuild ?

CariBuild est conçu pour les entreprises qui veulent un site professionnel sans les inconvénients de WordPress :

Conclusion

Avec CariBuild, vous obtenez un site sur mesure, rapide dès le premier jour, sécurisé par conception, et optimisé pour être trouvé — par les humains comme par les intelligences artificielles.