Un site WordPress n'est pas terminé le jour de sa mise en ligne. WordPress, le thème et les extensions reçoivent des mises à jour plusieurs fois par mois, souvent pour corriger des failles de sécurité. Un site laissé de côté pendant un ou deux ans finit presque toujours par lâcher : page blanche après un changement fait par l'hébergeur, pages de spam ajoutées par un pirate, formulaire de contact qui n'envoie plus rien sans que personne s'en aperçoive.

Trois causes reviennent dans la plupart des cas :

• Une extension ou un thème pas à jour. La grande majorité des failles publiées concernent des extensions, pas WordPress lui-même.

• Une extension abandonnée par son auteur. Si elle n'a reçu aucune mise à jour depuis plus d'un an, cherchez une remplaçante.

• Une version de PHP trop ancienne. PHP est le langage qui fait tourner WordPress sur le serveur, et chaque version n'est corrigée que pendant une durée limitée : PHP 8.2 ne reçoit plus de correctifs de sécurité après le 31 décembre 2026. Les hébergeurs finissent par imposer une version récente, et un site construit sur un vieux thème peut alors ne plus s'afficher.

Cette ressource s'adresse aux associations, aux petites structures et aux médiateurs numériques qui gèrent un site WordPress sans équipe technique.

• Les extensions : toutes les une à deux semaines. Pour une nouvelle version majeure (par exemple 3.x vers 4.0), lisez le journal des modifications avant de cliquer.

• Le thème et le constructeur de pages (Divi, Elementor…) : une fois par mois. Si votre site a été personnalisé, vérifiez qu'il utilise un thème enfant, sinon une mise à jour peut effacer ces personnalisations.

• WordPress, versions mineures (6.8.1, 6.8.2…) : elles s'installent automatiquement. Laissez cette option activée.

• WordPress, versions majeures (6.8 vers 6.9) : dans le mois qui suit leur sortie, après une sauvegarde.

• PHP : une fois par an, regardez la version utilisée dans Outils > Santé du site, et passez à une version encore maintenue (8.3 ou plus récente fin 2026). Le réglage se fait dans l'espace client de l'hébergeur.

Faites une sauvegarde avant toute mise à jour importante, et mettez à jour une chose à la fois : si le site casse, vous saurez laquelle en est la cause. Pour un site dont vous dépendez (adhésions, inscriptions, boutique), testez d'abord sur une copie du site. Beaucoup d'hébergeurs proposent un « site de préproduction » en un clic.

Une sauvegarde complète contient deux éléments : les fichiers du site (images, thème, extensions) et la base de données (textes, réglages, comptes). Il faut les deux pour remettre un site en ligne.

• Gardez au moins une copie ailleurs que sur le serveur du site. Si le serveur est piraté ou perdu, une sauvegarde stockée au même endroit disparaît avec lui. Un espace cloud ou un autre hébergeur suffit.

• Conservez au moins 30 jours d'historique. Un piratage est souvent découvert plusieurs semaines après, et la sauvegarde de la veille contient déjà le problème.

• Testez la restauration une fois par an, sur une copie du site. Tant qu'une sauvegarde n'a jamais été restaurée, vous ne savez pas si elle fonctionne.

La plupart des hébergeurs font des sauvegardes automatiques. Vérifiez combien de temps ils les gardent et comment les récupérer. Une extension de sauvegarde (UpdraftPlus par exemple) permet en plus d'envoyer une copie vers un espace de stockage externe.

• Supprimez les comptes des anciens bénévoles, salariés et prestataires dès leur départ.

• Donnez un compte à chaque personne, avec le rôle le plus limité possible. Le rôle « Éditeur » suffit pour publier des articles et modifier des pages.

• Utilisez des mots de passe uniques, rangés dans un gestionnaire de mots de passe, et activez la double authentification pour les administrateurs.

• Tenez à jour la liste des accès : hébergeur, nom de domaine, administration WordPress, adresses mail. Le nom de domaine doit être au nom de la structure, et quelqu'un doit surveiller sa date de renouvellement : un domaine expiré met le site et les mails hors ligne.

1. Vérifier qu'une sauvegarde récente existe, ou en lancer une.

2. Mettre à jour les extensions.

3. Mettre à jour le thème et le constructeur de pages.

4. Vérifier que WordPress est à jour.

5. Supprimer les extensions et les thèmes désactivés : même inactifs, ils peuvent contenir une faille.

6. Ouvrir Outils > Santé du site et traiter les alertes en rouge.

7. Envoyer un message test avec le formulaire de contact et vérifier qu'il arrive.

8. Parcourir les pages principales sur ordinateur et sur téléphone.

9. Relire la liste des utilisateurs.

10. Regarder Google Search Console (gratuit) : il signale les pages en erreur et les problèmes de sécurité repérés par Google.

Une fois par an, ajoutez trois vérifications : la version de PHP, un test de restauration de sauvegarde et la date de renouvellement du nom de domaine.

Comptez environ une heure par mois pour un site vitrine simple, davantage pour un site avec boutique ou espace adhérents. Avant de décider, posez-vous trois questions :

• Quelqu'un dans la structure a-t-il ce temps chaque mois, et sait-il quoi faire si une mise à jour casse le site ?

• Que se passe-t-il si le site est hors ligne pendant une semaine ?

• Le site utilise-t-il des extensions payantes, un paiement en ligne ou des formulaires d'adhésion ?

Si vous confiez la maintenance à un prestataire, demandez-lui :

• à quel rythme il fait les mises à jour, et s'il vérifie le site après chacune ;

• où sont stockées les sauvegardes, et combien de temps elles sont gardées ;

• si la remise en état après un piratage est comprise dans le prix ;

• son délai d'intervention en cas de panne ;

• s'il envoie un compte rendu de ce qui a été fait.

Dans tous les cas, la structure doit rester propriétaire de ses accès (hébergeur, nom de domaine, administration WordPress) : un prestataire travaille avec un compte à son nom, que vous pouvez supprimer à la fin du contrat.

Ressource rédigée par Clément Robillard, développeur web spécialisé WordPress, qui suit une cinquantaine de sites au quotidien. Pour aller plus loin sur les mises à jour : comment mettre à jour son site WordPress sans perdre de données.

Cette ressource est libre de réutilisation. Elle sera mise à jour selon les retours laissés en commentaire.