Maintenance d’un site WordPress : ce qu’elle comprend et comment la faire

La maintenance d’un site WordPress regroupe les tâches qui le gardent sûr, rapide et fonctionnel après sa mise en ligne : mises à jour du cœur, des thèmes et des extensions, sauvegardes testées, mesures de sécurité, surveillance de la disponibilité et entretien du contenu. Elle se fait en grande partie depuis le tableau de bord, à condition de sauvegarder avant chaque mise à jour et de s’y tenir chaque mois. Quand le site génère du chiffre d’affaires ou que personne n’a le temps de s’en occuper, mieux vaut la confier à un prestataire.

WordPress fait tourner 40,2 % de tous les sites web selon W3Techs (septembre 2026). Cette popularité en fait la cible numéro un des robots qui cherchent des failles connues. La bonne nouvelle, c’est qu’un site correctement entretenu résiste à l’écrasante majorité de ces attaques. On détaille ici ce que comprend concrètement la maintenance, comment la faire vous-même pas à pas, à quel rythme, quelles protections ajouter, et à partir de quand il devient raisonnable de déléguer.

• Que comprend la maintenance d’un site WordPress ?
• Pourquoi un site WordPress doit-il être entretenu ?
• Comment mettre à jour WordPress sans casser son site ?
• À quelle fréquence faire la maintenance ?
• Comment sauvegarder correctement un site WordPress ?
• Quelles mesures de sécurité ajouter à la maintenance ?
• Comment surveiller l’état de santé du site ?
• Maintenance et gestion de site : quelle différence ?
• Quel est le lien entre maintenance et référencement ?
• Faire la maintenance soi-même ou la déléguer ?
• Quelles erreurs éviter ?
• Questions fréquentes
• Sources

Que comprend la maintenance d’un site WordPress ?

Un site WordPress n’est pas un document figé : c’est un logiciel composé de trois couches qui évoluent chacune à son rythme (le cœur de WordPress, le thème, les extensions), posé sur un serveur qui fait lui-même tourner PHP et une base de données. La maintenance consiste à garder l’ensemble cohérent, à jour et récupérable. Elle couvre six familles de tâches :

1. Les mises à jour : cœur de WordPress, thème (et thème parent), extensions, traductions, et version de PHP côté serveur.
2. Les sauvegardes : fichiers et base de données, automatiques, stockées hors du serveur, et vérifiées par une restauration de test.
3. La sécurité : comptes et mots de passe, double authentification, pare-feu, suppression des extensions inutiles, HTTPS.
4. La surveillance : disponibilité du site, alertes de sécurité, erreurs signalées par Google Search Console, outil Santé du site.
5. La performance : poids des images, cache, nettoyage de la base, vérification des Core Web Vitals.
6. Le contrôle fonctionnel : formulaires qui arrivent bien, tunnel de commande, liens cassés, affichage mobile après chaque série de mises à jour.

Certains prestataires ajoutent à cela la gestion du contenu (publications, retouches de pages), qu’on distingue plus bas. Ce qui compte, c’est que ces tâches soient faites régulièrement et par écrit : une maintenance sans journal de ce qui a été mis à jour, et quand, rend tout dépannage beaucoup plus long.

Pourquoi un site WordPress doit-il être entretenu ?

Vous avez sans doute déjà visité un site laissé à l’abandon : images qui ne s’affichent plus, bouton qui ne répond pas, avertissement de sécurité du navigateur, voire écran blanc. On ne s’y attarde pas, et on n’y achète rien. C’est le point d’arrivée d’un WordPress qu’on n’entretient pas. Quatre raisons concrètes expliquent pourquoi.

La sécurité : les failles se trouvent surtout dans les extensions

Le rapport annuel de Patchstack, société spécialisée dans les vulnérabilités WordPress, a recensé 11 334 nouvelles failles dans l’écosystème en 2025, soit 42 % de plus qu’en 2024. 91 % concernaient des extensions, 9 % des thèmes, et seulement 6 le cœur de WordPress, toutes de faible gravité. Deux autres chiffres du même rapport résument l’enjeu : le délai médian (pondéré) avant la première exploitation d’une faille très ciblée est de 5 heures, et 46 % des failles étaient encore sans correctif au moment de leur publication.

Autrement dit, le cœur de WordPress est bien maintenu par sa communauté, mais chaque extension installée est un logiciel supplémentaire, avec son propre éditeur et son propre rythme de correction. Un plugin très répandu compromis donne potentiellement accès à des milliers de sites à la fois, ce qui explique l’intérêt des attaquants. Et comme la grande majorité des attaques sont automatisées (des robots scannent le web à la recherche de versions vulnérables), un petit site n’est pas « trop petit pour intéresser » quelqu’un.

Les corrections de bugs

Chaque version majeure de WordPress est suivie de versions mineures qui corrigent des bugs. Par exemple, WordPress 7.1.1 (17 septembre 2026) apportait 17 corrections sur le cœur, 19 sur l’éditeur de blocs et 11 correctifs de sécurité, et la 7.1.2 a suivi cinq jours plus tard pour corriger une faille jugée critique. Les éditeurs d’extensions fonctionnent de la même façon.

La compatibilité entre les briques

Après une version majeure de WordPress, les extensions publient des mises à jour de compatibilité. Un site dont on met à jour le cœur mais pas les extensions (ou l’inverse) finit par avoir des briques qui ne se comprennent plus : erreurs JavaScript qui cassent une mise en page, formulaire qui n’envoie plus rien, erreur critique. C’est aussi pour cette raison qu’on ne met pas tout à jour à l’aveugle.

Les nouvelles fonctionnalités et la performance

Les mises à jour apportent aussi des améliorations : WordPress 7.0 (mai 2026) a introduit une nouvelle interface d’administration et des fonctions d’IA, la 7.1 (août 2026) des réglages responsive dans l’éditeur. Côté serveur, les versions récentes de PHP sont plus rapides et restent corrigées. Rester à jour, c’est aussi profiter de ces gains sans rien développer.

Comment mettre à jour WordPress sans casser son site ?

Pour savoir si des mises à jour vous attendent, repérez les pastilles rouges numérotées dans le menu d’administration, à côté de « Tableau de bord > Mises à jour » et « Extensions ». L’écran Mises à jour liste la version de WordPress disponible, puis les extensions, les thèmes et les traductions à mettre à jour.

Voici la méthode qu’on recommande pour une mise à jour manuelle, sur un site vitrine ou une petite boutique :

1. Sauvegardez les fichiers et la base de données, et vérifiez que la sauvegarde est bien terminée. La documentation officielle de WordPress est claire : sans sauvegarde complète faite avant la mise à jour, un retour en arrière est quasiment impossible.
2. Lisez le journal des modifications (changelog) des extensions importantes : une mention « breaking change » ou un changement de version majeure (2.x vers 3.0) mérite un test préalable.
3. Testez sur une copie si vous en avez une (environnement de préproduction ou « staging », proposé par de nombreux hébergeurs). C’est indispensable pour un site e-commerce.
4. Mettez à jour dans l’ordre : d’abord les extensions, puis le thème, puis le cœur de WordPress, en procédant extension par extension pour identifier immédiatement celle qui pose problème.
5. Contrôlez le site après chaque étape : page d’accueil, une page intérieure, formulaire de contact (envoyez-vous un message test), panier et paiement si c’est une boutique, affichage mobile.
6. Notez ce que vous avez fait : date, versions avant et après, anomalie constatée.

Si une mise à jour provoque une erreur, WordPress dispose depuis la version 5.2 d’un mode de récupération : l’administrateur reçoit un e-mail avec un lien qui permet de se connecter et de désactiver l’extension fautive. À défaut, il reste la restauration de la sauvegarde faite à l’étape 1.

Faut-il activer les mises à jour automatiques ?

Les versions mineures du cœur (les correctifs de sécurité, comme 7.1.1 vers 7.1.2) s’installent automatiquement depuis WordPress 3.7, et c’est une bonne chose : gardez ce comportement. Depuis WordPress 5.5, vous pouvez aussi activer les mises à jour automatiques extension par extension et thème par thème, depuis les écrans Extensions et Apparence. WordPress les lance deux fois par jour et envoie un e-mail récapitulatif.

Notre conseil : activez-les pour les extensions simples et très suivies (sécurité, anti-spam, SEO), et gardez un contrôle manuel pour les briques critiques (WooCommerce et ses modules de paiement, constructeur de pages, extensions d’abonnement). Dans tous les cas, l’automatisme ne dispense pas de sauvegardes quotidiennes : c’est la condition posée par la documentation WordPress elle-même.

À quelle fréquence faire la maintenance ?

Un site WordPress courant reçoit plusieurs mises à jour par mois. Un passage mensuel complet est un bon rythme de base : assez fréquent pour ne pas accumuler de retard, assez espacé pour faire les choses soigneusement. Les mises à jour trimestrielles ou annuelles sont trop rares : sur cet intervalle, des failles connues auront largement eu le temps d’être exploitées.

Il y a une exception : les correctifs de sécurité annoncés comme critiques s’appliquent le jour même, sans attendre le passage mensuel. Avec un délai médian d’exploitation de quelques heures pour les failles les plus visées, c’est la seule approche raisonnable. Voici le calendrier qu’on conseille :

Fréquence	Tâches
En continu	Sauvegarde automatique quotidienne, surveillance de disponibilité, correctifs de sécurité critiques dès leur publication
Chaque mois	Mises à jour des extensions, du thème et du cœur, contrôle fonctionnel (formulaires, commande), lecture de l’outil Santé du site et de Search Console
Chaque trimestre	Test de restauration d’une sauvegarde, revue des comptes utilisateurs, suppression des extensions et thèmes inutilisés, contrôle des performances
Chaque année	Montée de version de PHP, renouvellement du nom de domaine et du certificat si non automatique, audit des extensions (sont-elles toujours maintenues ?)

Comment sauvegarder correctement un site WordPress ?

Une sauvegarde WordPress complète comprend deux éléments : la base de données (textes, réglages, commandes, utilisateurs) et les fichiers (dossier wp-content avec les médias, le thème et les extensions, plus le fichier wp-config.php). L’un sans l’autre ne suffit pas à reconstruire le site.

• Automatisez : une sauvegarde quotidienne via votre hébergeur ou une extension de sauvegarde, et une sauvegarde manuelle juste avant chaque mise à jour.
• Stockez hors du serveur : une sauvegarde qui reste sur le même serveur disparaît avec lui en cas de panne ou de piratage. Envoyez une copie vers un stockage externe.
• Gardez de l’historique : pouvoir revenir au moins 30 jours en arrière est un minimum, car une infection peut rester discrète plusieurs semaines.
• Testez la restauration : une sauvegarde jamais restaurée est une hypothèse. Restaurez-la de temps en temps sur une copie du site pour vérifier qu’elle fonctionne.

Quelles mesures de sécurité ajouter à la maintenance ?

Les mises à jour ferment les failles connues. Les mesures suivantes réduisent la surface d’attaque et limitent les dégâts si un compte ou une extension est compromis. Elles se mettent en place une fois, puis se vérifient lors de chaque passage de maintenance. Pour une approche plus large, notre article sur comment sécuriser un site web complète ce qui suit.

1. Utiliser un pare-feu applicatif (WAF)

Un pare-feu d’application web filtre le trafic HTTP avant qu’il n’atteigne WordPress. Il bloque les attaques courantes : injections SQL, scripts intersites (XSS), inclusion de fichiers, tentatives d’exploitation de failles connues. Il peut fonctionner en amont, au niveau du DNS (Cloudflare, Sucuri), ou directement sur le site via une extension comme Wordfence. Attention à ne pas surestimer la protection offerte par défaut par l’hébergement : dans le rapport Patchstack, les défenses classiques des hébergeurs n’ont bloqué que 26 % des tentatives d’exploitation testées. Un WAF est une couche de plus, pas un substitut aux mises à jour.

2. Activer la double authentification

La double authentification (2FA) demande, en plus du mot de passe, un code généré par une application comme Google Authenticator ou envoyé par e-mail. Un mot de passe volé ou réutilisé ailleurs ne suffit plus pour entrer. La documentation de sécurité de WordPress la recommande explicitement. Elle s’ajoute avec une extension, par exemple Two Factor, maintenue par des contributeurs de WordPress. Activez-la au minimum pour tous les comptes administrateurs.

3. Limiter les tentatives de connexion

Par défaut, WordPress accepte un nombre illimité d’essais de mot de passe, ce qui laisse le champ libre aux attaques par force brute. Limiter les échecs (par exemple à 3 à 5 tentatives avant un blocage temporaire) ralentit fortement ces robots, sans gêner un utilisateur qui se trompe une fois. La plupart des extensions de sécurité et des WAF proposent ce réglage.

4. Utiliser une version de PHP maintenue

WordPress recommande aujourd’hui PHP 8.3 ou plus récent, avec MariaDB 10.11 ou MySQL 8.0 minimum. Côté PHP, chaque branche reçoit deux ans de support actif puis deux ans de correctifs de sécurité uniquement : au 26 septembre 2026, les branches 8.2, 8.3, 8.4 et 8.5 sont supportées, et la 8.2 cessera de l’être le 31 décembre 2026. Un site encore en PHP 7.x ou 8.0 tourne sur un langage qui ne reçoit plus aucun correctif. La version se change généralement en quelques clics dans l’espace client de l’hébergeur, après avoir vérifié la compatibilité du thème et des extensions sur une copie.

5. Forcer le HTTPS partout

Un certificat TLS (souvent appelé SSL) chiffre les échanges entre le navigateur et le serveur, ce qui protège les mots de passe et les données de formulaire contre l’interception. Il permet aussi d’utiliser HTTP/2 et HTTP/3, plus rapides, que les navigateurs n’activent qu’en HTTPS. Google compte la diffusion sécurisée en HTTPS parmi les critères d’expérience sur la page. Le certificat ne suffit pas : il faut rediriger toutes les adresses HTTP vers HTTPS au niveau du serveur (Apache ou Nginx) ou de l’hébergeur. Plus de détails dans notre article sur le fonctionnement du HTTPS.

6. Désactiver l’éditeur de fichiers intégré

WordPress permet aux administrateurs de modifier le code PHP des thèmes et extensions depuis le tableau de bord. Si un compte administrateur est compromis, c’est la porte ouverte à l’injection de code malveillant. Ajoutez cette ligne dans wp-config.php, comme le recommande la documentation officielle :

define( 'DISALLOW_FILE_EDIT', true );

C’est aussi une question de méthode : les modifications de code doivent passer par un outil de gestion de versions comme Git, pas par des retouches directes sur le serveur en production, qui seraient écrasées au prochain déploiement.

7. Supprimer ce qui ne sert plus

Au fil des années, un site accumule des extensions testées puis oubliées, des thèmes inactifs, des comptes d’anciens prestataires. Une extension désactivée reste présente sur le serveur et peut contenir une faille exploitable. Supprimez tout ce qui n’est pas utilisé, et remplacez les extensions qui ne reçoivent plus de mises à jour depuis longtemps (la date de dernière mise à jour figure sur leur fiche du répertoire WordPress.org). Privilégiez les extensions du répertoire officiel ou d’éditeurs reconnus, avec un support actif : notre sélection des meilleurs plugins WordPress peut servir de point de départ.

Et changer l’adresse de connexion ?

Déplacer la page de connexion (/wp-admin), renommer le compte « admin » ou changer le préfixe wp_ des tables relève de la sécurité par l’obscurité. La documentation WordPress rappelle que ce n’est pas une stratégie de sécurité en soi. Ces réglages ont pourtant un intérêt pratique : ils écartent une partie des robots qui testent les chemins par défaut et allègent les journaux de connexion. À faire en complément des mesures précédentes, jamais à leur place.

Comment surveiller l’état de santé du site ?

Entre deux passages de maintenance, trois outils gratuits vous alertent quand quelque chose ne va pas :

• Outils > Santé du site, dans WordPress : il signale les problèmes critiques (version de PHP obsolète, extensions en attente de mise à jour, mode débogage affiché aux visiteurs, mises à jour automatiques qui ne fonctionnent pas) et les améliorations recommandées.
• Un service de surveillance de disponibilité, qui interroge votre site toutes les quelques minutes et vous prévient par e-mail ou SMS s’il ne répond plus. Notre comparatif d’outils de monitoring de site web en présente plusieurs.
• Google Search Console, dont le rapport « Problèmes de sécurité » indique si Google a détecté du contenu piraté, un logiciel malveillant ou de l’hameçonnage sur vos pages. Activez les notifications par e-mail.

Maintenance et gestion de site : quelle différence ?

La maintenance s’occupe de la machine : versions, sauvegardes, sécurité. La gestion (on parle aussi de webmastering) s’occupe de ce qu’elle affiche. Elle comprend par exemple :

• la publication d’articles, d’actualités et d’événements, et la correction des coquilles repérées sur les pages clés ;
• la mise à jour des informations pratiques (horaires, tarifs, équipe, mentions légales) ;
• l’optimisation des images avant leur mise en ligne, pour que le site reste aussi rapide qu’au premier jour, et une attention encore plus grande pour les vidéos ;
• l’ajout ou la modification de formulaires, et la vérification que les demandes arrivent bien dans la bonne boîte ;
• le retrait des pages et fonctionnalités devenues inutiles, qui alourdissent le site sans rien apporter.

Les deux se complètent : un site parfaitement à jour mais dont les horaires datent de trois ans donne une aussi mauvaise impression qu’un site au contenu soigné qui affiche une erreur. Quand vous comparez des offres de maintenance, vérifiez ce qui est inclus : certaines couvrent uniquement la partie technique, d’autres incluent un temps de modification de contenu.

Quel est le lien entre maintenance et référencement ?

Un site mal entretenu perd des positions, parfois brutalement. Voici comment un défaut de maintenance se traduit dans Google :

• Avertissement de sécurité : si Google détecte un logiciel malveillant ou du contenu piraté, vos pages peuvent apparaître avec un avertissement dans les résultats, ou le navigateur peut afficher une page d’alerte avant d’y accéder. Après nettoyage, il faut demander un examen dans Search Console, qui peut prendre de quelques jours à quelques semaines.
• Pages de spam injectées : un piratage fréquent consiste à créer des milliers de pages cachées (pharmacie, casino) que Google indexe à la place de votre contenu.
• Lenteur : des scripts malveillants (minage de cryptomonnaie par exemple) ou simplement une accumulation d’extensions dégradent les Core Web Vitals.
• Adresse IP sur liste noire : un serveur compromis qui envoie du spam voit ses e-mails, y compris les vôtres, rejetés.
• Indisponibilité : un site en erreur pendant plusieurs jours voit ses pages sortir progressivement de l’index.

Pour un site e-commerce, l’effet est double : chaque bug dans le parcours (bouton inactif, paiement qui échoue, panier qui se vide) fait baisser le taux de conversion, et donc le chiffre d’affaires, bien avant que le référencement ne soit touché.

Faire la maintenance soi-même ou la déléguer ?

Faire soi-même est tout à fait possible pour un site vitrine simple, avec peu d’extensions et une personne disponible une à deux heures par mois, à l’aise avec l’interface et capable de restaurer une sauvegarde. Tout ce qui précède se fait sans écrire de code.

Déléguer devient raisonnable dans ces situations :

• le site vend en ligne ou génère l’essentiel de vos demandes de contact, et une journée d’arrêt coûte plus cher qu’un an de maintenance ;
• il repose sur WooCommerce, un constructeur de pages ou du développement sur mesure, où une mise à jour peut avoir des effets en cascade ;
• personne en interne n’a le temps, ou ne saurait réagir à un écran blanc un vendredi soir ;
• le site a déjà été piraté, ou n’a pas été mis à jour depuis longtemps (un rattrapage de plusieurs versions se fait de préférence sur une copie).

Un bon prestataire vous dit précisément ce qu’il fait et à quelle fréquence, où sont stockées les sauvegardes, en combien de temps il intervient en cas de panne, et vous envoie un compte rendu. Chez Osmova, notre offre d’hébergement et de maintenance WordPress se décline en trois formules mensuelles selon le niveau de service, avec des repères dans nos tarifs indicatifs. Le détail de ce que couvre chaque formule est sur la page de l’offre.

Quelles erreurs éviter ?

• Tout mettre à jour d’un clic sans sauvegarde, en croisant les doigts. C’est la cause la plus courante des sites cassés.
• Désactiver les mises à jour « pour ne rien casser ». Le site finit par cumuler des failles connues et devient de plus en plus difficile à remettre à niveau.
• Installer une extension pour chaque besoin, y compris des extensions premium récupérées gratuitement sur des sites non officiels, qui contiennent souvent du code malveillant.
• Partager un seul compte administrateur entre plusieurs personnes ou prestataires. Créez un compte par personne, avec le rôle minimal nécessaire, et supprimez-le à la fin de la mission.
• Garder les sauvegardes uniquement sur le serveur du site.
• Oublier le renouvellement du nom de domaine : un domaine expiré fait disparaître le site et les adresses e-mail associées.

Questions fréquentes

Combien de temps prend la maintenance mensuelle d’un site WordPress ?

Pour un site vitrine avec une dizaine d’extensions, comptez environ une heure par mois : sauvegarde, mises à jour une par une, contrôle des pages et des formulaires, lecture de l’outil Santé du site. Un site e-commerce demande plus de temps, surtout si les mises à jour sont testées sur une copie.

Une mise à jour peut-elle faire perdre du contenu ?

Une mise à jour ne supprime normalement ni les pages ni les articles, stockés en base de données. En revanche, les modifications faites directement dans les fichiers d’un thème (sans thème enfant) sont écrasées à la mise à jour du thème. C’est une raison de plus pour ne jamais modifier le code du thème parent.

Que faire si le site affiche une erreur après une mise à jour ?

Consultez l’e-mail du mode de récupération envoyé à l’adresse d’administration : il permet de désactiver l’extension en cause. Sans accès, renommez le dossier de l’extension en FTP pour la désactiver, ou restaurez la sauvegarde faite juste avant.

Un hébergement « WordPress infogéré » dispense-t-il de maintenance ?

Pas entièrement. Ces offres gèrent souvent le serveur, les sauvegardes et les mises à jour mineures du cœur, parfois celles des extensions. Les contrôles fonctionnels, le choix des extensions, les comptes utilisateurs et le contenu restent de votre ressort. Lisez précisément ce qui est inclus.

WordPress est-il moins sûr que les autres CMS ?

Son cœur est très peu vulnérable (6 failles mineures recensées en 2025 par Patchstack). Sa réputation vient de sa popularité et de l’immense catalogue d’extensions de qualité inégale. Un WordPress à jour, avec peu d’extensions bien choisies, est un CMS fiable.

Sources

• W3Techs : usage statistics of WordPress (septembre 2026)
• Patchstack : State of WordPress Security in 2026
• WordPress.org : annonces des versions (7.0, 7.1, 7.1.1, 7.1.2)
• WordPress.org : configuration requise
• PHP.net : versions supportées
• WordPress Developer Resources : mettre à jour WordPress
• WordPress.org : mises à jour automatiques des extensions et thèmes
• WordPress Developer Resources : renforcer la sécurité de WordPress
• WordPress.org : écran Santé du site
• Extension Two Factor sur WordPress.org
• Aide Search Console : rapport sur les problèmes de sécurité
• Google Search Central : l’expérience sur la page dans les résultats de recherche