Traduction assistée par IA. Le contenu original a été rédigé en anglais.
Toutes les quelques semaines, quelqu'un me passe les accès à un site WordPress et me demande pourquoi il est lent, pourquoi il s'est fait pirater, ou pourquoi la personne qui l'a bâti ne répond plus aux courriels. Je me connecte, et l'histoire est presque toujours là, en plein sur le tableau de bord. Une version du noyau en retard de deux ans. Une pile de mises à jour d'extensions que personne n'a touchées. Un thème acheté quarante dollars en 2019 et jamais regardé depuis. Le site ne peine pas parce qu'il tourne sous WordPress. Il peine parce que personne ne s'en est occupé.
D'abord, WordPress n'est pas le problème
WordPress a mauvaise réputation, et c'est en grande partie injustifié. Comme CMS, il fait rouler une grande part des sites web sur Internet, et beaucoup d'entre eux sont rapides, sécurisés et bien construits. L'outil n'est pas en cause. Ce qui cloche, d'habitude, c'est tout ce qu'on empile autour : un thème bon marché qui essaie d'en faire trop, une pile d'extensions que personne ne vérifie, et une installation livrée une fois puis oubliée. Avec du code propre, un bon hébergement et un entretien régulier, un site WordPress est une plateforme solide. Laissé à l'abandon, il devient un risque. Le même logiciel, un résultat complètement différent. La vraie question porte donc sur l'entretien, pas sur la plateforme.
Mon site WordPress est-il désuet ?
Vérifiez trois choses : la version du noyau WordPress, vos extensions et votre thème. Si le noyau accuse plus d'une ou deux versions de retard, si votre liste d'extensions affiche une pile de mises à jour en attente, ou si une extension n'a pas reçu de mise à jour de son développeur depuis plus d'un an, votre site est désuet et exposé. Chacun de ces cas, c'est une porte laissée débarrée.
C'est du côté des extensions que ça fait le plus mal. Chaque extension, c'est du code écrit par quelqu'un d'autre, et que quelqu'un d'autre doit continuer de corriger. Dans le rapport de sécurité 2025 de Patchstack, les extensions représentaient 96 % des vulnérabilités WordPress relevées cette année-là, les thèmes comptant pour presque tout le reste. La plateforme elle-même est rarement la faille. Ce sont les ajouts. Quand un développeur abandonne une extension, la vend, ou cesse simplement de publier des mises à jour, ce code fige sur place pendant que le web continue d'avancer. Une extension abandonnée ne reçoit plus jamais de correctif de sécurité, et elle se désynchronise peu à peu des versions plus récentes de WordPress jusqu'à ce que quelque chose brise sans bruit. J'ai déjà décortiqué ce qu'un vrai site WordPress fait rouler sous le capot, et c'est presque toujours plus que ce que le propriétaire croyait. Chaque extension dont vous n'avez pas besoin, c'est un risque que vous portez pour rien.
Mon site WordPress est-il sécurisé ?
Un site WordPress est sécurisé quand son noyau, ses extensions et son thème sont tous à jour, qu'une vraie sauvegarde se fait automatiquement, et que le site force le HTTPS. S'il en manque un seul, il n'est pas sécurisé, il n'a simplement pas encore été attaqué. La plupart des intrusions dans WordPress passent par des extensions désuètes, pas par un piratage de film hollywoodien.
La sauvegarde, c'est la partie que les propriétaires négligent et regrettent. Les mises à jour et les correctifs gardent la porte d'entrée barrée, mais c'est la sauvegarde qui vous sauve quand quelque chose passe quand même. Une mauvaise mise à jour, une panne d'hébergement, une extension compromise : n'importe lequel de ces problèmes peut mettre un site hors service, et sans sauvegarde récente, il n'y a rien à restaurer. Vous repartez de captures d'écran et de souvenirs. La fréquence des sauvegardes compte aussi. Une sauvegarde du mois dernier, ça veut dire perdre un mois de commandes, de formulaires remplis et de contenu si vous devez y revenir. Un site doté de sauvegardes automatiques hors site transforme une catastrophe en un après-midi de travail. Un site sans elles est à une mauvaise journée de tout perdre.
La taxe du site lent : surcharge et thèmes bon marché
La vitesse, c'est là que la négligence devient quelque chose que vos clients ressentent. Chaque extension ajoute du code à charger, et un site qui en fait rouler vingt, la moitié inutilisées, traîne tout ce poids sur chaque page. Ajoutez un thème polyvalent bon marché conçu pour tout faire pour tout le monde, et le navigateur finit par télécharger une galerie coulissante, un constructeur de pages et trois polices que personne n'a choisies, juste pour afficher vos heures d'ouverture et votre numéro de téléphone. J'ai ouvert des pages d'accueil qui chargeaient plus d'une centaine de fichiers distincts. Ce n'est pas un choix de conception, c'est un accident que personne n'a nettoyé. Le résultat, c'est un site trop long à charger sur un téléphone, et un visiteur déjà parti avant la fin du chargement. La vitesse, c'est la première impression que donne votre site, et j'ai exposé tout l'argumentaire sur pourquoi la vitesse d'un site compte. Une grande partie de la solution, c'est de refuser de bâtir sur une fondation surchargée dès le départ, ce qui est tout le propos de site sur mesure ou gabarit.
Peut-on se faire barrer l'accès à son propre site WordPress ?
Oui, et ça arrive plus souvent qu'on le croit. Si la personne qui a bâti votre site détient le compte d'hébergement, le domaine et l'accès administrateur, et que vous n'avez rien de tout ça, vous ne possédez pas vraiment votre site. Vous le louez à quelqu'un qui pourrait cesser de répondre à vos courriels.
C'est le risque le plus discret du lot, parce que tout a l'air correct jusqu'au jour où vous avez besoin de changer quelque chose et que vous ne pouvez pas. Peut-être que le concepteur est passé à autre chose, a fermé boutique, ou que vous avez simplement perdu le contact. Là, personne n'applique les mises à jour, personne ne surveille les sauvegardes, et personne ne peut vous remettre les clés. La propriété est simple à vérifier : vous devriez avoir votre propre accès au registraire de domaine, votre propre compte d'hébergement et un compte administrateur sur le site lui-même. Si quelqu'un d'autre détient les trois, régler ça, c'est la première étape, avant même que le reste de cette liste ait de l'importance.
À quoi ressemble un site WordPress bien entretenu
Rien de tout ça n'est un argument contre WordPress. C'est un argument pour en prendre soin. Un site WordPress en santé garde son noyau, ses extensions et son thème à jour, ne conserve qu'un jeu d'extensions restreint où chacune mérite sa place, fait des sauvegardes automatiques hors site, force le HTTPS sur chaque page, et repose sur un vrai thème ou une construction sur mesure plutôt que sur un modèle à rabais. Surtout, il a quelqu'un dont la tâche est de le garder ainsi. C'est la différence entre un actif qui vous amène des clients sans bruit et un risque qui vous en fait perdre tout aussi discrètement.
Si vous avez un site WordPress et que vous ne savez pas trop lequel des deux vous avez entre les mains, ça vaut une heure pour le découvrir. Je peux passer le vôtre au peigne fin, vous dire franchement dans quel état il est, et vous expliquer ce qu'il faudrait pour le remettre d'aplomb, avant que ça vire à l'urgence. Curieux de savoir ce que ça coûte ? J'ai décortiqué combien coûte un site web en Ontario dans un autre article. Quand vous serez prêt à confier votre site à quelqu'un qui va vraiment en prendre soin, écrivez-moi.