Maintenance WordPress : quoi faire, à quelle fréquence et quoi automatiser

Pourquoi un site WordPress a besoin de maintenance

La majeure partie du risque vient des extensions. Patchstack a recensé 11 334 nouvelles vulnérabilités dans l'écosystème WordPress en 2025, 42 % de plus qu'en 2024 : 91 % concernaient des extensions, 9 % des thèmes, et seulement 6 WordPress lui-même. 46 % n'avaient pas encore de correctif au moment de leur divulgation, et pour les vulnérabilités les plus ciblées par les attaquants, Patchstack situe le délai médian avant le premier exploit à 5 heures.

WordPress lui-même avance vite aussi. La version 7.1.4 est sortie le 28 octobre 2026, WordPress prévoit trois versions majeures en 2026, et le projet ne prend officiellement en charge que la dernière version. Les branches plus anciennes ne reçoivent des correctifs de sécurité que par courtoisie.

Rien de tout cela ne demande une attention quotidienne de la part d'une personne. Il faut en revanche une routine, quelques réglages activés, et un moyen de remarquer quand une mise à jour casse quelque chose.

Mises à jour : WordPress, extensions et thèmes

WordPress met déjà à jour une partie de lui-même. Depuis la version 3.7, il installe en arrière-plan les versions mineures et de sécurité ainsi que les fichiers de traduction, et depuis la 5.6, les nouvelles installations mettent aussi à jour automatiquement les versions majeures ; les installations plus anciennes restent aux mises à jour mineures sauf si un administrateur active les majeures. Les extensions et les thèmes sont différents : ils ne se mettent à jour automatiquement que si vous l'activez, un par un, ce que WordPress propose depuis la 5.5. Les mises à jour automatiques s'exécutent deux fois par jour et envoient un e-mail à l'administrateur pour dire ce qui s'est passé.

Depuis la 6.6, WordPress annule aussi une mise à jour automatique d'extension qui casse gravement le site : il charge la page d'accueil après la mise à jour, et si elle affiche une erreur fatale PHP, il restaure la version précédente et vous envoie un e-mail. Cela ne couvre que les erreurs fatales. Une mise à jour qui vide le panier, casse un formulaire ou décale la mise en page se charge sans erreur et reste installée.

Alors mettez à jour rapidement, les versions de sécurité d'abord, et sauvegardez avant. Mettez à jour les extensions une par une pour savoir laquelle a causé un problème, et vérifiez ensuite les pages qui vous font gagner de l'argent : le paiement, le formulaire de contact, la connexion. Notre guide sur s'il faut désactiver les mises à jour automatiques de WordPress traite ce compromis en détail.

Extensions et thèmes : moins nombreux, maintenus, supprimés si inutilisés

Chaque extension est du code qu'il faut maintenir à jour, donc la maintenance la moins coûteuse consiste à en avoir moins. Supprimez les extensions et les thèmes que vous n'utilisez pas au lieu de simplement les désactiver ; la Santé du site recommande aussi de supprimer les thèmes inactifs. Gardez un thème par défaut comme solution de repli.

Surveillez les extensions qui ne sont plus maintenues. Quand WordPress.org confirme un problème de sécurité dans une extension, il la ferme généralement tout de suite, et une extension fermée ne publie plus de mise à jour jusqu'à ce que son développeur la corrige. L'avis apparaît sur la page de l'extension sur wordpress.org, et la raison est ajoutée après 60 jours. Un autre signe est une page d'extension qui indique qu'elle n'a pas été testée avec les trois dernières versions majeures de WordPress : elle n'est peut-être plus maintenue.

Remplacez les extensions abandonnées avant qu'elles ne deviennent un problème, et achetez les extensions premium chez leur développeur, jamais sur un site qui les redistribue.

PHP et le serveur

WordPress recommande PHP 8.3 ou supérieur, MariaDB 10.11 ou MySQL 8.0 ou supérieur, et HTTPS. Il fonctionne encore avec PHP 7.4, son minimum depuis WordPress 7.0 ; les sites sous PHP 7.2 ou 7.3 restent sur la branche 6.9. Faire tourner une vieille version de PHP est l'un des problèmes que signale la Santé du site.

Les versions de PHP ont des dates fixes, donc c'est facile à planifier. PHP 8.1 a atteint sa fin de vie le 31 décembre 2025. PHP 8.2 ne reçoit des correctifs de sécurité que jusqu'au 31 décembre 2026, un site sous 8.2 devrait donc migrer maintenant. PHP 8.3 est en support sécurité uniquement jusqu'à fin 2027, et PHP 8.4 est pleinement supporté jusqu'à fin 2026 et reçoit des correctifs de sécurité jusqu'à fin 2028.

Changez de PHP d'abord sur une copie de préproduction si possible, ou à un moment calme avec une sauvegarde récente, car c'est généralement une extension ancienne qui casse. Le panneau de contrôle de votre hébergeur vous permet généralement de revenir en arrière.

Des sauvegardes que vous pouvez restaurer

Le manuel de WordPress est clair sur ce qu'est une sauvegarde : la base de données et les fichiers, car il faut les deux pour restaurer un site. Les fichiers, c'est WordPress lui-même, les thèmes, les extensions, les téléversements, wp-config.php et .htaccess. Sauvegardez d'abord la base de données, puis les fichiers ; pour restaurer, remettez d'abord les fichiers, puis importez la base de données.

Sur la fréquence, il suggère hebdomadaire pour les petits sites et quotidienne pour les sites très fréquentés, et toujours avant une mise à niveau. Conservez des copies à plusieurs endroits, par exemple chez votre hébergeur, dans un stockage cloud et sur votre propre ordinateur, et gardez-en plusieurs : au moins trois à cinq sauvegardes récentes de la base de données et trois des fichiers.

Une sauvegarde ne compte que si elle se restaure. Le manuel demande de vérifier que les sauvegardes existent et sont utilisables ; la preuve la plus simple est d'en restaurer une sur un site de préproduction de temps en temps, et de faire une sauvegarde manuelle à l'occasion pour confirmer que les automatiques fonctionnent toujours.

La Santé du site et les avertissements que WordPress vous donne déjà

Outils > Santé du site est le propre rapport de maintenance de WordPress. Parmi ses problèmes critiques : des mises à jour en arrière-plan qui ne fonctionnent pas, un site qui ne peut pas atteindre WordPress.org, une version de PHP obsolète, des extensions en attente de mise à jour, des erreurs affichées aux visiteurs ou journalisées dans un fichier qui peut être public, et une requête loopback qui échoue, dont WordPress a besoin pour exécuter les tâches planifiées.

Son onglet Infos liste les versions de WordPress et de PHP, la taille du répertoire et de la base de données, les extensions et thèmes actifs et inactifs, et si chaque extension se met à jour automatiquement. Lisez-le une fois par mois ; un nouveau problème critique signifie généralement qu'un changement a eu lieu sur le serveur ou dans une extension.

Entretien de sécurité

Vérifiez qui peut se connecter. Supprimez les comptes administrateur que personne n'utilise, donnez à chacun le rôle le plus bas qui couvre son travail, et repérez les comptes que vous ne reconnaissez pas ; notre guide sur les rôles utilisateur WordPress explique ce que peut faire chaque rôle.

Gardez la sortie de débogage désactivée sur le site en production : la Santé du site avertit quand des erreurs sont affichées aux visiteurs ou écrites dans un fichier journal qui peut être lisible depuis le web. Et renouvelez ce qui expire : l'enregistrement du domaine et, si votre hébergeur ne le fait pas automatiquement, le certificat SSL.

Si malgré tout quelque chose tourne mal, notre checklist WordPress piraté indique quoi faire en premier.

Comment Relvato aide

Relvato surveille un site WordPress entre les sessions de maintenance et juste après les mises à jour. Le moniteur de vulnérabilités vérifie WordPress, les extensions et les thèmes par rapport aux vulnérabilités connues et signale les extensions fermées ou abandonnées sur wordpress.org. Le moniteur de santé WordPress exécute les propres tests de la Santé du site selon un calendrier et surveille la fin de vie de PHP, la taille de la base de données et l'espace disque libre. Le moniteur de sauvegardes lit votre extension de sauvegarde et signale quand la dernière sauvegarde a échoué ou s'est bloquée, quand aucune n'est planifiée, ou quand les sauvegardes ne sont stockées que sur le serveur.

Après une mise à jour, les moniteurs qui passaient sont relancés, pour qu'une mise à jour qui casse le paiement, un formulaire, la mise en page d'une page ou provoque une erreur PHP soit signalée le jour même, pas quand un client se plaint. Le moniteur Admin roster de Relvato signale un administrateur nouveau ou caché. Sur les offres Business et Agency, les mises à jour automatiques sûres de WordPress mettent à jour les extensions une à une dans un créneau hebdomadaire, relancent les moniteurs après chacune, et annulent et bloquent une mise à jour qui casse quelque chose, pas seulement une qui provoque une erreur fatale.

Relvato ne crée ni ne restaure vos sauvegardes, et la surveillance ne les remplace pas : gardez une extension de sauvegarde et des copies hors serveur. Pour les agences, les rapports clients et pages de statut de Relvato transforment la même surveillance en rapport de maintenance mensuel.