Mettre à jour WordPress sans casser son site : méthode et sécurité
Un site WordPress à jour n'est pas une garantie de sécurité, mais un site laissé sans mises à jour finit presque toujours par en poser, des problèmes. Le dilemme est connu : mettre à jour fait peur, parce qu'une extension peut casser l'affichage ; ne pas mettre à jour expose aux failles corrigées depuis. Voici ce que WordPress fait seul, ce qu'il faut organiser, et les réglages de base recommandés par la documentation officielle.
Ce que WordPress met à jour tout seul
La documentation d'administration de WordPress explique que les mises à jour automatiques en arrière-plan ont été introduites avec WordPress 3.7, pour améliorer la sécurité et simplifier l'entretien. Par défaut, deux catégories sont concernées : les mises à jour mineures du cœur, c'est-à-dire les versions de maintenance et de sécurité, et les fichiers de traduction.
Les versions majeures ont longtemps demandé une action manuelle. Depuis WordPress 5.6, les nouvelles installations les reçoivent aussi par défaut, « sauf si WordPress détecte une copie gérée par un système de gestion de versions ». Les sites installés avant conservent leur comportement antérieur, sauf si un administrateur, une constante ou un filtre active ces mises à jour.
Le comportement se règle dans wp-config.php avec la constante WP_AUTO_UPDATE_CORE :
| Valeur | Effet |
|---|---|
true | Mises à jour de développement, mineures et majeures activées. |
'minor' | Seules les mises à jour mineures sont activées. |
false | Toutes les mises à jour automatiques du cœur sont désactivées. |
Pour les extensions et les thèmes, la page indique qu'ils ne se mettent à jour automatiquement que dans des cas particuliers décidés par l'API de WordPress.org, et que ce comportement peut être activé ou désactivé avec les filtres auto_update_plugin et auto_update_theme. L'administration propose aussi, extension par extension, un lien pour activer les mises à jour automatiques.
Une méthode en cinq étapes
Laisser tout se mettre à jour automatiquement convient à un petit site avec peu d'extensions. Dès qu'un site compte des extensions de commerce, de formulaires ou de mise en page, une routine manuelle reste plus sûre.
- Sauvegarder. La documentation le dit simplement : sauvegardez le site avant de le mettre à jour, pour pouvoir le restaurer si quelque chose se passe mal. Une sauvegarde complète comprend les fichiers et la base de données, et elle doit avoir été testée au moins une fois.
- Lire les notes de version. Une version majeure de WordPress, une nouvelle version d'une extension importante ou de PHP peuvent changer des comportements. Les notes signalent les fonctions retirées et les changements de compatibilité.
- Tester sur une copie. Un environnement de préproduction, copie du site sur un sous-domaine protégé ou en local, permet de mettre à jour sans risque et de parcourir les pages clés : accueil, formulaire de contact, tunnel de commande s'il existe.
- Mettre à jour dans l'ordre. D'abord le cœur, puis les extensions, puis le thème ; vérifier après chaque étape.
- Contrôler après coup. Pages principales, formulaires, envoi des e-mails, et l'outil Santé du site de l'administration, qui signale les problèmes de configuration connus.
Cette routine prend du temps et une connexion fiable : les freelances qui assurent la maintenance de plusieurs sites depuis un bureau installé à la maison le savent, une sauvegarde de plusieurs gigaoctets qui échoue en plein envoi complique vite une soirée de mises à jour.
Le cas des thèmes personnalisés
Un thème modifié directement dans ses fichiers perd ses modifications à la première mise à jour. C'est la raison d'être des thèmes enfants, et l'un des intérêts des thèmes blocs, dont les réglages peuvent être surchargés sans toucher aux fichiers du parent. Attention toutefois : avec un thème blocs, un gabarit modifié dans l'éditeur de site est enregistré en base de données et ne reçoit plus les corrections du fichier d'origine tant qu'il n'est pas réinitialisé. Après une mise à jour de thème, il faut donc vérifier les gabarits personnalisés.
Les réglages de sécurité de base
La page « Hardening WordPress » de la documentation d'administration rassemble les recommandations officielles. Les plus simples à appliquer :
- Rester à jour. Les anciennes versions de WordPress ne reçoivent plus de correctifs de sécurité.
- Désactiver l'éditeur de fichiers de l'administration avec
define( 'DISALLOW_FILE_EDIT', true );danswp-config.php. La documentation note que c'est souvent le premier outil qu'utilise un attaquant capable de se connecter, puisqu'il permet d'exécuter du code. - Des droits de fichiers raisonnables : 755 pour les dossiers et 644 pour les fichiers, le schéma qu'appliquent d'ailleurs les mises à jour automatiques. Le fichier
wp-config.phppeut être restreint davantage, généralement en 400 ou 440. - Des mots de passe forts, générés plutôt qu'inventés, et une authentification à deux facteurs pour les comptes administrateurs.
- Des sauvegardes régulières, base de données comprise, conservées dans un endroit sûr et distinct du serveur.
- Moins d'extensions. « Si vous n'utilisez pas une extension, supprimez-la », dit la documentation, qui recommande aussi de ne pas installer d'extensions ou de thèmes provenant de sources non fiables.
Ce dernier point rejoint la question des licences : un thème commercial redistribué gratuitement par un site tiers peut être légal au regard de la GPL, mais rien ne garantit que son code n'a pas été modifié. Notre article sur la licence GPL des thèmes détaille ce point.
Et les données personnelles ?
Une faille de sécurité sur un site qui collecte des données (formulaires, comptes clients, commentaires) est aussi un incident au sens du RGPD. Le responsable du site doit pouvoir dire quelles données il conserve, combien de temps et où. Le sujet est traité dans notre article sur les formulaires de contact et le RGPD. Un site qui collecte peu de données a moins à perdre : c'est une raison de plus pour limiter les extensions et les formulaires au strict nécessaire.
Sources
- WordPress Developer Resources, Advanced Administration Handbook, « Upgrading WordPress » (mises à jour automatiques, consulté le 27 octobre 2026).
- WordPress Developer Resources, Advanced Administration Handbook, « Hardening WordPress » (consulté le 27 octobre 2026).
Thèmes & WordPressLe thème blocs, comment ça marche
Deux fichiers obligatoires, des gabarits en HTML, un éditeur de site : ce qui change quand un thème WordPress est construit entièrement en blocs.
Thèmes & WordPressLa licence GPL des thèmes
Copier, modifier, redistribuer, vendre : ce que dit la licence de WordPress, et ce que le répertoire officiel exige des thèmes.
Droit, RGPD & métierFormulaire de contact et RGPD
Quels champs demander, quoi écrire sous le formulaire, combien de temps garder les messages : un formulaire simple et conforme.