La maintenance WordPress se distingue par le nombre d’éléments à surveiller : le cœur de WordPress, le thème, chaque extension et la version de PHP du serveur évoluent chacun à leur rythme et doivent rester compatibles entre eux. À cela s’ajoutent la sécurité, très exposée parce que WordPress est massivement utilisé, et des sauvegardes testées. En pratique, un site WordPress demande une vérification au minimum mensuelle, et plus fréquente pour un site e-commerce ou riche en extensions.
Pourquoi un site WordPress demande-t-il une maintenance spécifique ?
WordPress est un système modulaire : son cœur est complété par un thème, qui gère l’apparence, et par des extensions, qui ajoutent des fonctions (formulaires, référencement, boutique, réservation, multilingue). Cette souplesse a une contrepartie : chaque composant est développé par un éditeur différent, avec son propre calendrier de mises à jour. Un site d’entreprise courant combine souvent une vingtaine d’extensions, parfois davantage.
Sa grande popularité en fait aussi une cible privilégiée des attaques automatisées, qui exploitent les failles connues des versions non mises à jour.
Les points clés de la maintenance WordPress
Le cœur de WordPress
Les mises à jour mineures, qui corrigent surtout des failles, s’installent souvent automatiquement. Les mises à jour majeures apportent de nouvelles fonctions et peuvent modifier l’éditeur ou le comportement de certaines extensions : elles méritent d’être testées avant d’être appliquées sur un site en production.
Les extensions
C’est le principal point de vigilance :
- mettre à jour régulièrement chaque extension active ;
- supprimer les extensions désactivées ou inutiles, qui restent une porte d’entrée potentielle ;
- repérer les extensions abandonnées par leur éditeur et les remplacer ;
- suivre les licences des extensions payantes, sans lesquelles les mises à jour ne sont plus reçues ;
- éviter les doublons fonctionnels (deux extensions de cache, deux extensions de référencement).
Le thème
Un thème commercial doit lui aussi être mis à jour. Si des modifications ont été faites directement dans ses fichiers, elles seront écrasées à la prochaine mise à jour : c’est pourquoi les personnalisations doivent passer par un thème enfant. Un thème sur mesure demande un suivi de compatibilité avec les nouvelles versions de WordPress.
La compatibilité PHP
WordPress fonctionne avec le langage PHP, installé sur le serveur. Les hébergeurs abandonnent progressivement les anciennes versions, qui ne reçoivent plus de correctifs de sécurité. Passer à une version récente améliore la sécurité et souvent la rapidité, mais certaines extensions anciennes ou un thème mal codé peuvent ne pas le supporter. Ce changement se prépare et se teste.
La sécurité
- comptes administrateurs limités, mots de passe robustes et double authentification ;
- protection contre les tentatives de connexion répétées ;
- pare-feu applicatif, au niveau de l’hébergement ou via une extension ;
- certificat HTTPS valide ;
- analyse régulière des fichiers pour détecter un code malveillant.
Les sauvegardes
Une sauvegarde WordPress comprend deux parties : les fichiers (thème, extensions, images) et la base de données (contenus, réglages, commandes). Elles doivent être automatiques, stockées hors du serveur principal et testées par une restauration de temps en temps. Notre article sur la bonne stratégie de sauvegarde d’un site web détaille ce point.
À quelle fréquence intervenir ?
| Tâche | Site vitrine | Site e-commerce ou à fort trafic |
|---|---|---|
| Sauvegardes | Quotidiennes ou hebdomadaires | Quotidiennes, voire plusieurs fois par jour |
| Mises à jour des extensions et du thème | Mensuelles | Hebdomadaires ou dès qu’un correctif de sécurité sort |
| Surveillance de disponibilité | Continue | Continue |
| Contrôle de sécurité et des performances | Mensuel | Hebdomadaire |
| Revue des extensions et de la version PHP | Annuelle | Semestrielle |
Une bonne pratique consiste à tester les mises à jour importantes sur une copie du site, dite préproduction, avant de les appliquer sur le site public. C’est indispensable pour une boutique en ligne.
Quels risques pour un site WordPress laissé sans suivi ?
- Le piratage : injection de liens indésirables, redirections vers des sites frauduleux, pages cachées, envoi de spams depuis votre serveur.
- Le blocage par les navigateurs et Google, qui peuvent afficher un avertissement de sécurité aux visiteurs.
- La panne après une mise à jour forcée de l’hébergeur, notamment de la version PHP.
- La perte de données sans sauvegarde exploitable.
- La lenteur progressive, liée à une base de données encombrée et à des extensions obsolètes.
- L’impasse technique : après plusieurs années sans mise à jour, remettre le site à niveau peut coûter presque autant qu’une refonte.
Un artisan dont le site n’a pas été touché depuis des années ou une association qui a perdu le contact avec son ancien prestataire se retrouvent souvent dans cette situation.
Combien coûte la maintenance WordPress ?
En ordre de grandeur sur le marché français, un contrat de maintenance pour un site vitrine se situe souvent entre 50 et 150 € HT par mois, et davantage pour un site e-commerce ou avec des développements spécifiques, selon le périmètre. Vérifiez ce qui est inclus : fréquence des mises à jour, tests en préproduction, sauvegardes externalisées, intervention en cas de piratage, temps de modification de contenu, délai d’intervention garanti. Notre offre de maintenance de site web détaille ces engagements.
Questions fréquentes
Peut-on activer les mises à jour automatiques de toutes les extensions ?
C’est possible, mais risqué pour un site important : une mise à jour peut entrer en conflit avec une autre extension et casser une page ou le tunnel de commande. Les mises à jour automatiques conviennent aux correctifs mineurs. Pour le reste, une mise à jour contrôlée, avec sauvegarde préalable, reste préférable.
Mon hébergeur assure-t-il la maintenance de mon site WordPress ?
Généralement non. L’hébergeur gère le serveur, et parfois des sauvegardes, mais pas les mises à jour de votre thème et de vos extensions ni la compatibilité entre eux. Certaines offres d’hébergement infogéré incluent davantage de services : lisez le détail du contrat.
Que faire si mon site WordPress a été piraté ?
Changez immédiatement les mots de passe, prévenez votre hébergeur et faites appel à un spécialiste pour nettoyer le site et identifier la faille. Une simple restauration de sauvegarde ne suffit pas si la faille n’est pas corrigée. Si des données personnelles ont pu être exposées, une notification à la CNIL peut être nécessaire.
Un projet ? Découvrez notre accompagnement : Maintenance de site web, ou contactez-nous pour en parler.