Faut-il laisser chaque mise à jour WordPress s’installer toute seule, ou les faire à la main? Notre réponse : ni l’un ni l’autre, du moins pas comme on l’entend d’habitude. Le manuel, une fois par mois, va trop lentement pour la sécurité. L’automatique sans contrôle laisse passer les pannes qui ne font pas de bruit. Ce qui marche, c’est l’automatique pour la routine, avec une sauvegarde juste avant et une personne qui vérifie juste après.
Ce que WordPress met déjà à jour tout seul
WordPress installe lui-même ses mises à jour mineures depuis la version 3.7. Ce sont celles qui corrigent des failles et des bogues, et qui ne changent que le dernier chiffre de la version. Les fichiers de traduction aussi. Un site installé depuis la version 5.6 reçoit en plus les mises à jour majeures par défaut. Un site plus ancien, non, sauf si quelqu’un l’a activé.
Les extensions et les thèmes, eux, ne se mettent pas à jour seuls, sauf exception : pour une faille critique, l’équipe de sécurité de WordPress.org peut déclencher la mise à jour d’une extension sur tous les sites. Depuis la version 5.5, un lien « Activer les mises à jour auto » apparaît à côté de chaque extension et de chaque thème. Le choix vous revient, une ligne à la fois.
Depuis la version 6.6, WordPress annule aussi une mise à jour automatique d’extension qui fait planter le site. Retenez bien ce que « planter » veut dire ici. WordPress charge la page d’accueil juste après la mise à jour et cherche une erreur fatale de PHP, celle qui affiche un écran blanc ou un message d’erreur. S’il en trouve une, il remet l’ancienne version.
Pourquoi une mise à jour WordPress n’attend plus la fin du mois
Patchstack, qui recense les failles de WordPress, a compté 11 334 nouvelles vulnérabilités en 2025, dont 91 % dans les extensions. Pour les failles les plus visées, il mesure un délai médian de cinq heures entre leur publication et les premières attaques en masse. Cinq heures, pas cinq semaines.
Une mise à jour de sécurité qui attend la fin du mois, c’est savoir que la porte arrière est débarrée et attendre le premier du mois pour la barrer. La plupart du temps, il ne se passe rien. Le jour où il se passe quelque chose, le nettoyage d’un site piraté coûte bien plus cher que toutes les mises à jour de l’année.
Les sites qui ne sont jamais mis à jour posent un problème de plus. Après deux ou trois ans, une seule mise à jour en rattrape des dizaines, et les chances que quelque chose casse grimpent avec elles. Plus on attend, plus la marche est haute.
Ce que l’automatique ne voit pas
Le filet de sécurité de WordPress regarde une seule chose : la page d’accueil répond-elle sans erreur fatale? Tout le reste lui échappe.
Une mise en page qui se décale sur une page intérieure. Un formulaire qui s’affiche parfaitement, mais dont les courriels n’arrivent plus. Un paiement refusé à la dernière étape. Une version anglaise qui affiche soudain des textes en français. Aucune de ces pannes ne produit d’écran blanc. Le site a l’air en parfaite santé, et vous l’apprenez trois semaines plus tard, quand un client vous demande pourquoi personne n’a répondu à sa demande.
Deux autres cas méritent votre attention. Les extensions payantes (formulaires, champs, traduction) ne se mettent à jour que si leur licence est active : une licence expirée bloque les correctifs sans le moindre message d’erreur. Et les mises à jour majeures, celles qui changent le premier ou le deuxième chiffre de la version, modifient parfois le fonctionnement d’une extension, celui de WooCommerce par exemple. Elles se testent sur une copie avant d’arriver sur le site.
La mise à jour que personne ne fait : PHP
WordPress est écrit en PHP, le langage qui tourne sur le serveur. Chaque version de PHP reçoit des correctifs de sécurité pendant environ quatre ans, puis plus rien. Un site parfaitement à jour qui tourne sur une version de PHP abandonnée reste exposé, et aucune mise à jour de WordPress n’y change quoi que ce soit.
Ce réglage se fait chez l’hébergeur, souvent en un clic, et c’est justement le problème : personne n’y pense. Vérifiez la version de PHP de votre site dans l’outil Santé du site de WordPress (menu Outils), puis comparez-la avec la page des versions prises en charge de php.net. Changer de version se prépare comme une mise à jour majeure, sur une copie du site d’abord : une vieille extension peut ne pas suivre.
Automatique, mais vérifié : notre méthode
Sur les sites que nous entretenons, la routine est automatisée, et une personne prend le relais là où l’automatique s’arrête. Dans l’ordre :
- Une sauvegarde complète du site, juste avant chaque mise à jour.
- Les mises à jour de WordPress, des extensions et du thème.
- Un contrôle juste après : les pages clés, les formulaires, et sur une boutique ou un site à membres, les achats et les inscriptions.
- Les mises à jour majeures passent d’abord par une copie de test du site (la préproduction).
- Si quelque chose casse, nous corrigeons, avec la sauvegarde d’avant la mise à jour comme filet.
La différence entre nos forfaits de maintenance tient surtout à l’étendue de ces contrôles. Sur un site vitrine, les pages clés et les formulaires suffisent. Sur une boutique, un site à membres ou un multisite, nous testons aussi les achats et les inscriptions, et les mises à jour majeures passent en préproduction.
Si vous gérez votre site vous-même
Vous n’avez pas besoin d’un forfait pour mieux faire dès aujourd’hui. Activez les mises à jour automatiques des extensions, d’abord pour celles qui sont simples et bien entretenues. Gardez une sauvegarde hors du site, sur un stockage séparé : celle que garde l’hébergeur disparaît parfois avec le compte. Après chaque vague de mises à jour, envoyez-vous un message par votre propre formulaire de contact. C’est le test le plus rentable qui existe.
Ne modifiez jamais le code d’une extension ou d’un thème acheté : la prochaine mise à jour effacera vos changements. Et faites le ménage. Chaque extension retirée est une mise à jour de moins à surveiller, comme nous l’expliquons dans notre liste des extensions WordPress indispensables.
Pour une boutique en ligne ou un site qui reçoit des demandes tous les jours, la question change de nature. Une heure de panne se compte en ventes ou en clients perdus, et la vérification après chaque mise à jour devient un travail en soi. C’est le moment de la confier à quelqu’un dont c’est le métier.
