Sécurité WordPress : pourquoi les mises à jour et le contrôle des plugins sont essentiels

Un site WordPress qui fonctionne parfaitement peut néanmoins devenir vulnérable simplement parce qu’un de ses composants n’est plus maintenu.

WordPress, ses thèmes et ses extensions évoluent continuellement. Certaines nouvelles versions ajoutent des fonctions ou corrigent des bugs, mais d’autres ferment directement des vulnérabilités de sécurité découvertes après la publication du logiciel.

Maintenir WordPress ne consiste donc pas à cliquer mécaniquement sur « Mettre à jour ». Il faut savoir ce qui est installé, contrôler les versions, identifier les composants abandonnés et disposer d’une méthode permettant d’intervenir rapidement lorsqu’un problème de sécurité apparaît.

Table des matières

Vision générale

La documentation officielle WordPress place les mises à jour du cœur, des thèmes et des extensions parmi les mesures les plus importantes pour la sécurité d’un site. Elle recommande également de privilégier des extensions et thèmes activement maintenus.

Cette recommandation a une raison simple. Lorsqu’une vulnérabilité est découverte puis corrigée, son existence peut devenir publique. Les installations qui restent sur une ancienne version continuent alors d’exposer le code vulnérable.

Une mise à jour de sécurité ne crée pas seulement une nouvelle version : elle sépare les installations corrigées de celles qui continuent d’exposer une faiblesse connue.

WordPress publie régulièrement des versions spécifiquement consacrées à la sécurité. En septembre 2026, par exemple, les versions 7.1.1 puis 7.1.2 ont apporté plusieurs correctifs de sécurité, dont un correctif concernant une vulnérabilité considérée comme critique.

Cela ne signifie pas que WordPress est intrinsèquement peu sûr. Le principe s’applique à n’importe quel logiciel connecté à Internet : plus un produit est utilisé, plus son code, ses extensions et ses interfaces sont examinés par les chercheurs comme par les attaquants.

Architecture

La sécurité d’un site WordPress dépend de plusieurs couches. Le cœur du CMS n’est qu’une partie de l’ensemble.

• WordPress Core : le logiciel principal.
• Extensions : les fonctionnalités ajoutées au CMS.
• Thèmes : l’affichage et parfois certaines fonctionnalités.
• Serveur : PHP, base de données, serveur web et système d’exploitation.
• Accès : comptes administrateurs, mots de passe et authentification.

Mettre WordPress à jour mais conserver un plugin vulnérable ne suffit donc pas. Inversement, disposer de plugins parfaitement à jour sur un WordPress ou un PHP devenu obsolète laisse également une partie de la pile exposée.

Technologies

WordPress possède son propre système de mises à jour. Le CMS interroge les informations disponibles pour le cœur, les extensions et les thèmes et signale les nouvelles versions directement dans l’administration.

Le premier point de contrôle se trouve dans Tableau de bord → Mises à jour. Cette page centralise les mises à jour disponibles pour WordPress, les extensions, les thèmes et les traductions.

Le menu Outils → Santé du site apporte un second niveau de contrôle. Il peut notamment signaler qu’un mécanisme de mise à jour en arrière-plan ne fonctionne pas correctement et fournit des informations sur les versions, plugins actifs, plugins inactifs et mises à jour automatiques.

Comment vérifier les mises à jour dans WordPress

Vérifier la version de WordPress

Ouvrez Tableau de bord → Mises à jour. WordPress indique si le cœur du CMS utilise la version actuellement proposée au site ou si une nouvelle version est disponible.

Lorsqu’une mise à jour de sécurité officielle est annoncée, le délai d’installation doit être réduit au minimum raisonnable. Pour un site complexe, une sauvegarde et un test rapide sur un environnement de staging restent préférables à une attente de plusieurs jours sans justification.

Vérifier la version d’un plugin

Ouvrez Extensions → Extensions installées. Chaque extension affiche son nom et sa version installée. Lorsqu’une nouvelle version est disponible par le mécanisme de mise à jour connu de WordPress, une notification apparaît sous l’extension concernée.

Le lien permettant d’afficher davantage de détails donne également des informations utiles sur la compatibilité. Pour une extension provenant du répertoire WordPress.org, sa fiche publique permet de vérifier sa version, sa compatibilité WordPress, les prérequis PHP, le changelog et son historique récent.

Attention aux plugins installés manuellement

Une extension premium ou installée depuis un fichier ZIP ne reçoit pas nécessairement les mises à jour par WordPress.org. Son éditeur doit fournir son propre mécanisme de mise à jour.

L’absence d’alerte dans l’administration ne signifie donc pas obligatoirement qu’un plugin externe est à jour. Il faut aussi vérifier le compte client, la documentation ou le site officiel de l’éditeur.

Comment reconnaître un plugin WordPress encore acceptable

Il n’existe pas de règle officielle disant qu’une extension devient dangereuse après six mois, douze mois ou deux ans sans nouvelle version. Certains plugins très simples nécessitent peu de modifications, tandis qu’un plugin complexe connecté à plusieurs services doit souvent évoluer davantage.

La date de dernière mise à jour doit donc être interprétée avec d’autres indicateurs.

WordPress.org affiche un avertissement spécifique lorsqu’une extension n’a pas déclaré avoir été testée avec les trois dernières versions majeures de WordPress. Cet avertissement ne prouve pas qu’elle contient une vulnérabilité, mais il indique que sa compatibilité ou son niveau de maintenance mérite une vérification supplémentaire.

À l’inverse, un plugin mis à jour hier n’est pas automatiquement sûr. Une date récente, un grand nombre d’installations ou une bonne note utilisateur constituent des informations intéressantes, mais aucune ne remplace à elle seule l’évaluation de la maintenance et de la sécurité du code.

Depuis juin 2026, WordPress.org soumet en outre les nouvelles versions des plugins hébergés dans son répertoire à une analyse de sécurité automatisée avant leur distribution via l’API de mises à jour. Ce contrôle renforce le processus, sans pouvoir garantir qu’aucune vulnérabilité ne subsiste.

Configurer les mises à jour automatiques

Pour les extensions

Ouvrez Extensions → Extensions installées. La colonne consacrée aux mises à jour automatiques permet d’activer cette fonction extension par extension.

WordPress permet également de sélectionner plusieurs plugins puis d’utiliser l’action groupée correspondante pour activer ou désactiver les mises à jour automatiques sur plusieurs composants.

Pour les thèmes

Ouvrez Apparence → Thèmes, sélectionnez le thème puis ouvrez ses détails. L’option permettant d’activer les mises à jour automatiques apparaît dans la fiche du thème lorsque cette fonctionnalité est disponible.

Pour WordPress lui-même

Les mises à jour automatiques du cœur existent depuis WordPress 3.7. Les versions mineures et de sécurité sont automatiquement prises en charge sur la plupart des installations.

Les nouvelles installations créées avec WordPress 5.6 ou une version ultérieure peuvent également utiliser les mises à jour automatiques pour les versions majeures. Le comportement précis dépend toutefois de l’historique du site, de sa configuration et éventuellement de l’hébergeur.

Faut-il tout mettre à jour automatiquement ?

Pas nécessairement de la même manière sur tous les sites. Sur un site simple disposant de sauvegardes fiables, l’automatisation des extensions activement maintenues permet de réduire la durée d’exposition à un correctif manquant.

Sur une boutique, un site métier ou une installation fortement personnalisée, une mise à jour peut avoir des conséquences fonctionnelles importantes. Il devient alors pertinent d’associer surveillance, sauvegarde automatique, environnement de staging et procédure de retour arrière.

Action utile : avant d’activer massivement les mises à jour automatiques, vérifiez que vous disposez d’une sauvegarde réellement restaurable et que les notifications de réussite ou d’échec arrivent à une adresse surveillée.

Risques

Que risque-t-on avec un plugin abandonné ?

Le danger principal n’est pas son âge mais l’absence de réactionUne action WordPress est un point d’exécution où des fonctions enregistrées peuvent réagir à un événement ou à une étape du chargement. Elle déclenche des opérations sans transmettre une valeur modifiée au code appelant. lorsqu’une vulnérabilité ou une incompatibilité apparaît. Un composant qui n’a plus de mainteneur peut conserver une faille connue sans recevoir de correctif.

Un plugin ancien peut également dépendre de fonctions PHP ou WordPress devenues obsolètes. Les conséquences vont alors d’un simple avertissement jusqu’à une erreur fatale, une fuite de données, une élévation de privilèges ou l’exécution de code selon la nature de la vulnérabilité.

Que faire en cas de doute sur une extension ?

• Identifier sa version : vérifier l’extension depuis l’administration et sa source officielle.
• Vérifier son statut : rechercher sa fiche WordPress.org, son changelog et les annonces de sécurité connues.
• Sauvegarder : disposer d’une copie récente des fichiers et de la base avant modification.
• Tester : si une mise à jour existe, la valider en local ou en staging lorsque le site est sensible.
• Remplacer : si le plugin n’est plus maintenu et qu’aucune correction n’existe, chercher une alternative.

Lorsqu’une vulnérabilité confirmée affecte la version installée et qu’aucun correctif n’existe, désactiver l’extension peut être nécessaire en attendant une solution. Si elle n’est plus utilisée, WordPress recommande de la supprimer plutôt que de la laisser simplement inactive.

Si le site présente déjà des signes de compromission, une simple mise à jour ne suffit plus nécessairement. Il faut alors vérifier les comptes administrateurs, les fichiers modifiés, les journaux serveur, les tâches planifiées et les sauvegardes disponibles avant de considérer l’incident comme terminé.

Une extension fermée sur WordPress.org mérite une vérification

Une extension peut être temporairement retirée du répertoire pour différentes raisons. WordPress indique notamment que les extensions présentant un problème de sécurité peuvent être fermées jusqu’à sa résolution.

Il ne faut donc pas conclure automatiquement qu’un plugin fermé est malveillant, mais il serait imprudent d’ignorer ce changement de statut. Vérifiez les informations du développeur et les communications officielles avant de poursuivre son utilisation.

Alternatives

Lorsqu’un plugin devient difficile à maintenir, le premier réflexe ne devrait pas être d’installer immédiatement son premier concurrent. Il faut commencer par identifier la fonction réellement utilisée sur le site.

Une extension installée pour une fonction désormais intégrée à WordPress peut parfois être supprimée. Dans d’autres situations, une extension plus activement maintenue ou une fonction développée spécifiquement constitue une solution plus durable.

Pour une fonctionnalité critique, comparez les solutions dans un environnement local ou de staging avant migration. Certaines extensions conservent leurs données dans des tables ou formats propriétaires qu’il faut migrer proprement.

Plan de développement

1. Faire l’inventaire

Listez WordPress, le thème actif, les extensions actives, les extensions inactives et leurs versions. La rubrique Outils → Santé du site → Informations constitue un bon point de départ.

2. Supprimer ce qui ne sert plus

Une extension inutile constitue du code supplémentaire à maintenir. WordPress recommande de supprimer les plugins qui ne sont plus utilisés plutôt que de les conserver indéfiniment sur le serveur.

3. Contrôler les mises à jour disponibles

Consultez régulièrement Tableau de bord → Mises à jour, mais ne vous limitez pas aux pastilles rouges de l’administration. Les extensions externes peuvent nécessiter une vérification auprès de leur éditeur.

4. Vérifier les composants vieillissants

Pour chaque plugin douteux, vérifiez sa dernière version, la compatibilité déclarée avec WordPress, le changelog, le support et l’état de son dépôt.

5. Sauvegarder et tester

Avant une série importante de mises à jour, effectuez une sauvegarde et vérifiez sa restauration. Testez les changements importants en local ou sur une préproduction lorsque le site possède des fonctions critiques.

6. Contrôler après la mise à jour

Vérifiez la page d’accueil, les formulaires, la connexion, les fonctions métier, les paiements éventuels et la santé du site. Une mise à jour réussie techniquement ne signifie pas nécessairement que toutes les fonctions du site se comportent correctement.

Documentation

Pour les informations concernant le cœur de WordPress, la rubrique officielle WordPress News consacrée à la sécurité doit être privilégiée. Elle publie notamment les annonces de versions de sécurité et indique lorsque leur installation doit être effectuée rapidement.

La page officielle « Security » de WordPress décrit le fonctionnement de l’équipe de sécurité et la politique de divulgation responsable. Le site Make WordPress Security permet également de suivre le travail et certaines annonces de l’équipe chargée de la sécurité du projet.

Pour les administrateurs, l’Advanced Administration Handbook contient les recommandations officielles de durcissement : mises à jour, extensions, sauvegardes, droits d’accès et autres mesures de sécurité.

Comment rester informé sans surveiller Internet en permanence ?

Conservez au minimum les sources officielles WordPress dans vos favoris et consultez les annonces de sécurité lorsqu’une notification de mise à jour apparaît. Pour les plugins critiques, suivez également les communications de leurs éditeurs.

Des bases spécialisées de vulnérabilités peuvent compléter cette veille, mais elles ne doivent pas remplacer la source officielle du projet ou du développeur lorsqu’un correctif vient d’être publié.

Si vous découvrez vous-même une vulnérabilité

Une faille non encore corrigée ne devrait pas être publiée immédiatement sur un forum ou un réseau social. WordPress recommande une divulgation responsable afin de laisser aux développeurs le temps d’analyser et corriger le problème avant qu’il ne soit largement exploitable.

Explication pédagogique

Une extension WordPress ressemble à une pièce ajoutée à une machine. Tant que cette pièce est entretenue et reste compatible avec le reste du système, elle peut fonctionner pendant des années.

Le problème commence lorsqu’une faiblesse est découverte dans cette pièce et que son fabricant ne fournit plus de remplacement. La machine peut continuer à tourner normalement, mais elle contient désormais un point faible connu.

C’est pourquoi la sécurité ne consiste pas à accumuler les extensions de protection. Elle commence par réduire ce qui doit être maintenu, connaître les composants présents et appliquer les correctifs dès qu’ils deviennent nécessaires.

FAQ sur la sécurité et les mises à jour WordPress

Un plugin ancien est-il automatiquement dangereux ?

Non. L’ancienneté seule ne suffit pas. En revanche, une longue absence de maintenance combinée à une compatibilité WordPress dépassée, un support abandonné ou une vulnérabilité non corrigée constitue un signal sérieux.

Comment savoir si mon plugin est compatible avec ma version de WordPress ?

Depuis l’administration, utilisez les détails de l’extension. Pour les plugins du répertoire WordPress.org, vérifiez également la rubrique de compatibilité de leur fiche officielle et la valeur « Tested up to ».

Les mises à jour automatiques sont-elles sûres ?

Elles réduisent le délai avant l’installation d’un correctif, mais une mise à jour peut aussi provoquer une incompatibilité. Sauvegardes, surveillance et staging restent donc importants pour les sites sensibles.

Faut-il conserver un plugin désactivé ?

Si vous n’avez plus besoin du plugin, il est préférable de le supprimer. Un composant inutile augmente la quantité de code à surveiller et à maintenir.

Où consulter les alertes officielles WordPress ?

WordPress.org publie ses versions et annonces de sécurité dans WordPress News, avec une catégorie dédiée à la sécurité. La page officielle Security et le site Make WordPress Security complètent cette information.

Les réflexes à conserver

• Mettre à jour : ne laissez pas volontairement une vulnérabilité connue exposée sans raison technique documentée.
• Vérifier : une extension doit être évaluée par sa maintenance, sa compatibilité, son historique et son statut, pas uniquement par sa note.
• Prévoir le retour arrière : aucune stratégie de mise à jour sérieuse ne devrait dépendre d’une sauvegarde dont la restauration n’a jamais été vérifiée.

La sécurité WordPress repose moins sur un outil miracle que sur une maintenance régulière et documentée. Connaître les versions installées, surveiller les annonces officielles, supprimer les composants inutiles et tester les changements importants réduit considérablement le temps pendant lequel une faiblesse connue peut rester exploitable.

Sources officielles

WordPress précise que garder le cœur, les extensions et les thèmes à jour constitue l’une des mesures les plus importantes pour sécuriser une installation, et recommande de choisir des composants activement maintenus. WordPress Developer Resources
Sécurité officielle WordPress
Guide officiel de durcissement WordPress

Pour suivre les alertes, la rubrique officielle WordPress News – Security recense les publications de sécurité. Au 2 octobre 2026, les publications récentes comprennent WordPress 7.1.1 du 17 septembre 2026 et 7.1.2 du 22 septembre 2026, cette dernière corrigeant une vulnérabilité de sévérité critique. WordPress.org
Actualités de sécurité WordPress
Équipe Make WordPress Security

Les mises à jour automatiques des plugins peuvent être activées depuis Extensions, individuellement ou en groupe ; celles des thèmes depuis Apparence → Thèmes. WordPress recommande également de disposer d’une sauvegarde permettant un retour arrière. WordPress.org
Documentation officielle des mises à jour automatiques

Pour le cœur, les versions mineures et de sécurité sont automatisées par défaut sur la plupart des sites. Les installations créées depuis WordPress 5.6 peuvent également activer automatiquement les versions majeures, sous réserve de la configuration du site. WordPress Developer Resources
Configuration des mises à jour WordPress

WordPress.org ne définit plus un plugin comme obsolète simplement parce qu’il n’a pas été mis à jour pendant deux ans. Le répertoire avertit désormais lorsqu’un plugin n’a pas déclaré de compatibilité avec les trois dernières versions majeures de WordPress. WordPress Developer Resources

Depuis juin 2026, les nouvelles versions d’extensions distribuées par WordPress.org passent aussi par une analyse de sécurité automatisée avant diffusion via son API de mises à jour. Une version présentant un niveau de risque élevé peut être bloquée, ce qui renforce le contrôle sans constituer une garantie absolue d’absence de vulnérabilité. WordPress Developer Resources
Fonctionnement de la revue de sécurité des plugins

Enfin, si une vulnérabilité est découverte dans une extension, WordPress recommande une divulgation responsable plutôt qu’une publication immédiate. Les problèmes sérieux peuvent conduire à la fermeture temporaire du plugin dans le répertoire jusqu’à leur résolution.