Mise à jour WordPress : cœur, extensions, thèmes et PHP sans rien briser

Remettre une mise à jour WordPress à la semaine prochaine, puis à la suivante, de peur de briser le site : le réflexe est répandu, et c’est précisément ainsi qu’une faille connue de tous reste exploitable pendant des mois. Cœur, extensions, thèmes, PHP : chacun suit son propre calendrier, et chaque retard élargit la brèche.

Référenceur, agence de marketing numérique francophone de Belgique et du Luxembourg, organise à distance pour des PME, des commerces et des OBNL des mises à jour planifiées, testées et consignées. Et lorsqu’un site est déjà infecté, nous le nettoyons avant toute remise à niveau, comme l’explique notre page sur le site WordPress piraté.

Pour vérifier si votre site accuse du retard, lancez l’analyse de sécurité gratuite ci-dessous.

Ce guide fait la part des choses entre ce que WordPress met à jour seul, ce qui dépend de vous et la façon de procéder sans mettre vos ventes ou vos réservations en péril.

Automatique ou manuel : qui met à jour quoi?

D’après la documentation de WordPress, les versions mineures du cœur, consacrées à l’entretien et à la sécurité, s’installent d’elles-mêmes par défaut, de même que les traductions. Les sites créés avec WordPress 5.6 ou une version ultérieure reçoivent également les versions majeures sans intervention. Un site plus ancien conserve en revanche le réglage choisi à l’époque, à moins qu’on le change.

Côté extensions et thèmes, c’est à vous de choisir. La documentation sur les mises à jour automatiques précise que, depuis WordPress 5.5, l’administrateur peut les activer composant par composant. Elles s’exécutent par défaut deux fois par jour, et WordPress envoie un courriel pour signaler une réussite ou un échec.

Élément	Ce qui se passe d’habitude	Ce que vous devez faire
Cœur, versions mineures	Installation automatique	Vérifier que rien ne les bloque, ni une constante ni l’hébergeur
Cœur, versions majeures	Automatiques pour les sites récents, pas toujours pour les anciens	Vérifier le réglage, prévoir une sauvegarde et un essai
Extensions et thèmes du répertoire officiel	Mise à jour automatique à activer une à une	Choisir ce qu’on automatise, surveiller le reste
Extension de traduction ou de boutique	Variable selon l’éditeur, souvent liée à une licence	Faire un essai d’abord : vos pages en français et en anglais et vos paiements en dépendent
Version de PHP	Gérée par l’hébergeur, jamais par WordPress	Demander le passage à une branche maintenue

La constante WP_AUTO_UPDATE_CORE, ajoutée dans wp-config.php, peut modifier ce comportement. Pour savoir ce qui est réellement en vigueur sur votre site, ouvrez Tableau de bord > Mises à jour.

PHP, l’oublié de la maintenance

Votre version de PHP est fournie par l’hébergeur, pas par WordPress. Selon la page des versions prises en charge de php.net, les branches 8.2 à 8.5 sont encore maintenues à l’automne 2026. La branche 8.2 ne reçoit déjà plus que des correctifs de sécurité, et seulement jusqu’au 31 décembre 2026; la 8.3 en recevra jusqu’au 31 décembre 2027. Consultez cette page de temps à autre : le calendrier avance chaque année.

De son côté, WordPress.org recommande PHP 8.3 ou une version plus récente, avec une version à jour de MySQL ou de MariaDB. Un serveur resté sur une branche abandonnée ne reçoit plus aucun correctif, même si toutes vos extensions sont à jour.

Votre version actuelle s’affiche dans Outils > Santé du site. Avant de demander la migration, faites un essai en préproduction : une vieille extension peut produire des erreurs avec une version récente de PHP.

Mettre à jour les extensions WordPress sans casse : la procédure

Quand un site prend des réservations, vend en ligne ou reçoit des demandes de soumission, une mise à jour se prépare. La séquence suivante réduit les risques sans alourdir le travail.

1. Sauvegarder les fichiers et la base de données, avec une archive conservée hors du serveur.
2. Parcourir les notes de version des extensions critiques (boutique, paiement, formulaires, constructeur de pages, traduction).
3. Appliquer d’abord les mises à jour en préproduction, sur une copie que les moteurs de recherche n’indexent pas.
4. Tester les parcours importants dans chaque langue : formulaires, panier, paiement, espace membre, affichage sur cellulaire.
5. Passer en production à une heure tranquille, puis refaire les mêmes vérifications.
6. Consigner les versions installées et les problèmes rencontrés dans un journal de maintenance.

wp plugin list --update=available
wp plugin update --all --dry-run
wp theme update --all
wp core update

La première ligne dresse la liste des extensions qui attendent une mise à jour; grâce à --dry-run, la deuxième simule l’opération sans rien modifier. Pas d’accès à la ligne de commande? Tout cela se fait aussi depuis le tableau de bord. L’important, c’est de mettre à jour les extensions WordPress et les thèmes régulièrement, pas une fois l’an.

Quand une mise à jour provoque un conflit

Si une mise à jour entraîne une erreur fatale, WordPress passe en mode de récupération : il envoie à l’adresse de l’administrateur un courriel contenant un lien de connexion spécial, qui permet de désactiver l’extension fautive. Vérifiez donc que quelqu’un lit encore cette boîte.

Si le tableau de bord est inaccessible, renommer le dossier de l’extension par SFTP suffit à la désactiver. Si le problème est plus étendu, revenez à la copie prise avant l’intervention et prévenez l’éditeur du conflit. Évitez par contre de bloquer une extension sur une vieille version pendant des mois : le prochain correctif de sécurité ne se rendrait jamais jusqu’à vous.

Une extension abandonnée doit être remplacée. Le répertoire officiel affiche un avertissement sur les fiches des extensions qui n’ont pas été testées avec les trois dernières versions majeures de WordPress : c’est le premier indice à surveiller.

Fréquence, veille et partage des responsabilités

Un correctif de sécurité ne doit pas attendre; les nouvelles fonctions, elles, peuvent être regroupées chaque semaine ou chaque mois, selon votre réalité. Côté veille, le Centre canadien pour la cybersécurité publie des alertes et des avis, ainsi que des conseils pratiques pour les petites et moyennes organisations.

Surtout, une personne doit être clairement désignée : vous, votre agence ou votre hébergeur, si vous avez opté pour un hébergement géré. Mettez par écrit qui applique les mises à jour, qui fait les essais, qui garde les copies et qui est averti en cas de faille critique. Sans responsable nommé, chacun croit que l’autre s’en occupe.

Si votre site montre déjà des signes de piratage, ne commencez pas par une mise à jour générale : elle ne supprime pas une porte dérobée cachée dans les médias ou dans la base de données. Le nettoyage vient d’abord, le durcissement ensuite.

Une maintenance encadrée en visioconférence

Nous n’avons pas de bureau au Québec, et ce n’est pas un obstacle : le suivi se fait en visioconférence, à une heure qui convient malgré le décalage horaire. Une rencontre de cadrage dresse l’inventaire des extensions, des thèmes, de la version de PHP et des sauvegardes.

Nous faisons les premières interventions devant vous, en partage d’écran, d’abord en préproduction puis en production, afin que chaque étape soit claire. Votre équipe conserve une formation enregistrée, et un suivi mensuel passe en revue le journal de maintenance. Si votre site est trop ancien pour être mis à niveau, notre équipe de création de sites Web peut repartir sur une base saine.

Mise à jour WordPress : questions fréquentes

Puis-je automatiser toutes mes extensions?

Oui pour les extensions simples et bien suivies, à condition de faire une copie chaque jour et de garder un œil sur le site. Quand il s’agit de la boutique, du paiement, du constructeur de pages ou de la traduction, mieux vaut passer d’abord par la préproduction. Quant aux versions mineures du cœur, laissez-les s’installer seules.

Une mise à jour peut-elle briser mon site bilingue?

Oui, en particulier quand la traduction, le thème et le constructeur de pages sont mis à jour en même temps. Une version linguistique peut perdre ses liens avec l’autre ou afficher des textes non traduits. D’où l’essai en préproduction, en français et en anglais, avant la mise en production, sans oublier une copie complète juste avant, au cas où il faudrait revenir en arrière.

Où trouver la version de PHP de mon site?

Ouvrez Outils > Santé du site, puis l’onglet Informations : vous y verrez votre version de PHP ainsi que celle du serveur de base de données. Vérifiez ensuite sur php.net si cette branche est encore soutenue. Si votre branche n’est plus maintenue, demandez la migration à votre hébergeur, après avoir testé le site sur la nouvelle version en préproduction.

Faut-il mettre à jour les extensions désactivées?

Il vaut mieux les supprimer. Même désactivée, une extension laisse ses fichiers sur le serveur, à la portée d’un pirate si une faille y est découverte. Au lieu d’entretenir des extensions oubliées, faites le tri : moins il y a de code installé, moins il y a de mises à jour et de risques à suivre.

Pourquoi fuir les extensions « nulled »?

Ces copies piratées d’extensions payantes ne reçoivent aucun correctif officiel et renferment parfois du code malveillant dès l’installation. Elles expliquent aussi bien des réinfections après un nettoyage. Optez plutôt pour la version officielle, sous licence valide, ou pour un équivalent entretenu offert dans le répertoire WordPress.org.

Qui doit faire les mises à jour : l’hébergeur ou l’agence?

Tout dépend du contrat. Un hébergement de base couvre le serveur, parfois PHP, presque jamais les extensions. Une offre gérée ou un contrat d’entretien peut couvrir l’ensemble des mises à jour. Mettez noir sur blanc qui fait quoi (application, essais, conservation des copies) pour qu’aucune tâche ne soit oubliée.

Vous voulez savoir où en est votre site? Faites-le analyser gratuitement :

Les mises à jour en attente s’accumulent? Référenceur, agence de marketing numérique francophone de Belgique et du Luxembourg, travaille à distance avec des entreprises du Québec. Obtenir un diagnostic gratuit : nous passons en revue vos extensions, vos thèmes et votre version de PHP, puis nous établissons ensemble une procédure d’entretien adaptée à votre réalité.