Guide pratique
Maintenance WordPress : que faut-il réellement faire ?
La maintenance WordPress utile tient en cinq opérations : sauvegarder, mettre à jour le cœur puis les extensions, tester les fonctions clés, nettoyer les comptes et extensions inutilisés, surveiller les erreurs et les certificats. Le reste — plugins miracles, scores artificiels — ne remplace pas cette discipline.
Publié le · 7 min de lecture
WordPress est utilisé par plus de 40 % des sites web. Cette popularité en fait une cible, mais aussi un écosystème mature : les bonnes pratiques sont connues. Le problème n’est pas de les ignorer, c’est de les appliquer régulièrement.
Voici ce qui compte réellement, dans l’ordre, et ce qui peut être ignoré sans risque.
1. La sauvegarde, avant tout le reste
Une sauvegarde non testée n’est pas une sauvegarde. Elle doit inclure la base de données et le dossier des fichiers, être stockée ailleurs que sur le serveur, et avoir déjà été restaurée au moins une fois.
Sur un hébergement mutualisé, les sauvegardes automatiques de l’hébergeur ne suffisent pas toujours : elles peuvent être écrasées après quelques jours. Une sauvegarde externe, téléchargée ou poussée vers un stockage objet, est la seule vraie protection.
2. Les mises à jour, dans le bon ordre
Le cœur de WordPress d’abord, puis les extensions, puis le thème. Par petits lots, avec un test après chaque lot. Les mises à jour majeures de version attendent quelques jours, le temps que les extensions critiques se mettent à jour.
- Sauvegarder avant chaque lot.
- Mettre à jour les extensions une par une si le site est critique.
- Tester les pages clés, le formulaire de contact et la connexion.
- Conserver une copie de test pour les mises à jour majeures.
- Ne jamais mettre à jour un vendredi soir sans possibilité de retour arrière.
3. Le nettoyage, souvent oublié
Les extensions désactivées restent une surface d’attaque et un poids inutile. Les thèmes non utilisés aussi. Un site qui accumule vingt extensions dont huit inactives finit par ralentir et par casser.
Le nettoyage comprend aussi les comptes : supprimer les administrateurs inutiles, vérifier les rôles, activer la double authentification pour les comptes sensibles.
4. La sécurité utile
Ce qui protège vraiment
Mises à jour à jour, mots de passe solides, double authentification, limitation des tentatives de connexion, sauvegardes testées. Un pare-feu applicatif complète, mais ne remplace pas.
Ce qui relève du folklore
Changer le préfixe des tables, masquer la version de WordPress, installer cinq plugins de sécurité qui se chevauchent. Ces mesures donnent un sentiment de sécurité sans réduire le risque principal : une extension vulnérable.
5. La performance, après la stabilité
Optimiser un site instable est une perte de temps. Une fois les sauvegardes et mises à jour maîtrisées, la performance se joue sur l’hébergement, le cache, les images et le nombre d’extensions. Un thème léger et des images en WebP font souvent plus qu’un plugin de minification supplémentaire.
Faut-il tout faire soi-même ?
Si vous êtes à l’aise avec l’administration WordPress, la checklist ci-dessus est accessible. Si vous n’avez ni le temps ni la certitude de pouvoir restaurer une sauvegarde, déléguez au moins les mises à jour et les sauvegardes.
Un support à la demande permet de déléguer ces opérations sans souscrire un forfait annuel. Chez Newstack Assist, une maintenance courante prend souvent 30 à 45 minutes, facturées 10 €/h HTVA.
Ce travail peut se faire par email.
Newstack Assist prend en charge les modifications de site et le support technique à la demande : 10 €/h HTVA, installation offerte, sans abonnement.
Découvrir Newstack AssistQuestions fréquentes
À quelle fréquence faut-il mettre à jour WordPress ?
Les correctifs de sécurité dès leur publication, les mises à jour fonctionnelles une fois par mois. Une boutique active mérite un contrôle plus fréquent.
Les mises à jour automatiques sont-elles une bonne idée ?
Pour les correctifs de sécurité mineurs, oui. Pour les versions majeures et les extensions, non : une mise à jour automatique sans sauvegarde peut casser le site en pleine nuit.
Combien d’extensions un site peut-il supporter ?
Il n’y a pas de nombre magique. Le critère est la qualité et l’utilité : dix extensions maintenues valent mieux que vingt dont huit abandonnées. Chaque extension ajoute une dépendance.
Un site WordPress peut-il être piraté malgré les mises à jour ?
Oui. Une extension vulnérable, un mot de passe faible ou un compte compromis restent des vecteurs. Les mises à jour réduisent le risque, elles ne l’annulent pas.
Faut-il un plugin de sécurité payant ?
Pas nécessairement. Un plugin gratuit bien configuré (limitation des tentatives, pare-feu basique, double authentification) couvre l’essentiel. Le payant apporte surtout du support et des règles avancées.
Puis-je déléguer seulement les sauvegardes ?
Oui. Le périmètre peut être limité aux sauvegardes et aux mises à jour. Le reste des contenus peut rester chez vous.