Un site WordPress ne tombe presque jamais par hasard. Quand j’interviens en urgence, la cause est presque toujours dans une courte liste, et elle était visible plusieurs mois à l’avance.
Voici cette liste, et ce qu’elle coûte.
1. L’extension abandonnée
C’est la première cause, et la plus prévisible.
Une extension installée il y a quatre ans, qui fait parfaitement son travail, et dont l’auteur a cessé la mise à jour il y a deux ans. Elle continue de fonctionner, donc personne ne s’en occupe. Jusqu’au jour où une mise à jour de WordPress ou de PHP la rend incompatible, ou jusqu’au jour où une faille y est publiée.
Les failles d’extensions sont la voie d’entrée la plus courante sur WordPress, bien avant le mot de passe administrateur. Et une faille publiée est exploitée automatiquement, en masse, dans les heures qui suivent. Votre site n’est pas visé, il est balayé.
Le signal d’alerte : dans votre liste d’extensions, WordPress indique quand une extension n’a pas été testée avec les versions récentes. Une extension non mise à jour depuis plus d’un an est un compte à rebours.
2. La montée de version PHP de l’hébergeur
Celle-ci surprend presque tout le monde, parce qu’elle ne vient pas de vous.
Votre hébergeur annonce par courriel qu’il fait évoluer la version de PHP. Le courriel arrive un mardi, il est classé sans être lu, et trois semaines plus tard le site affiche une page blanche ou une erreur critique. La cause est un thème ou une extension écrits pour une version de PHP qui n’existe plus.
Ce qu’il faut faire : ces courriels se lisent. Un changement de version PHP se teste sur une copie du site avant la date annoncée, jamais sur le site en production le jour même.
3. La sauvegarde qui n’a jamais été testée
Tout le monde a des sauvegardes. Presque personne n’a vérifié qu’elles se restaurent.
Les cas que j’ai rencontrés : une extension de sauvegarde qui échouait silencieusement depuis huit mois, des sauvegardes stockées sur le même serveur que le site et donc perdues avec lui, une base de données sauvegardée sans les fichiers, et une archive complète mais illisible.
Une sauvegarde non restaurée n’est pas une sauvegarde, c’est une intention. Elle se teste au moins une fois par an, en la restaurant réellement ailleurs.
4. L’erreur fatale après mise à jour
Le scénario classique : cinq mises à jour appliquées d’un coup, un vendredi en fin de journée. Le site tombe. Personne ne sait laquelle des cinq est responsable, et le support de l’hébergeur répond lundi.
Ce n’est pas la mise à jour qui est en cause, c’est la méthode. Mettre à jour reste indispensable : un site non mis à jour est un site vulnérable. Mais la façon de le faire change tout.
5. Le site piraté sans que personne ne le voie
La forme la plus répandue de piratage sur WordPress n’affiche pas de message de rançon. Elle injecte des pages cachées, souvent dans une langue étrangère, qui servent à vendre des produits contrefaits ou à envoyer des liens vers d’autres sites.
Le propriétaire ne voit rien, son site fonctionne normalement. Il le découvre quand Google l’alerte dans Search Console, ou quand ses positions s’effondrent, ou quand le navigateur de ses clients affiche un avertissement rouge.
Le signal : dans Search Console, le nombre de pages indexées qui augmente sans raison, ou un rapport de sécurité. C’est l’une des raisons pour lesquelles je branche systématiquement Search Console sur les sites dont j’assure la maintenance, y compris quand il n’y a pas de mission de référencement.
Ce qu’une panne coûte réellement
Le devis de réparation n’est jamais le vrai coût.
Un site indisponible trois jours, ce sont trois jours de demandes entrantes perdues, et elles ne se rattrapent pas. Un site piraté perd ses positions, et les récupérer prend des semaines après le nettoyage. Un site restauré depuis une sauvegarde de trois mois perd trois mois de contenus, de commandes et de messages.
Et la réparation d’urgence coûte plus cher que la prévention, parce qu’elle se fait dans l’improvisation et souvent le week-end.
Le protocole qui évite tout cela
Rien de spectaculaire. Ce sont des habitudes.
Sauvegarde avant toute mise à jour, base de données et fichiers, stockée ailleurs que sur le serveur du site.
Mise à jour une par une, en vérifiant le site entre chaque. Si quelque chose casse, vous savez immédiatement quoi annuler. C’est plus long, et cela divise par dix le temps de diagnostic.
Jamais le vendredi. Mettez à jour un mardi matin, quand vous et votre hébergeur êtes disponibles.
Un environnement de test pour les mises à jour majeures de WordPress, de PHP ou d’un thème. La plupart des hébergeurs sérieux en proposent un en un clic.
Une vérification après mise à jour : la page d’accueil, une page interne, le formulaire de contact, et le tunnel de commande s’il y en a un. Deux minutes qui évitent de découvrir une semaine plus tard que les formulaires n’envoient plus rien.
Un ménage annuel. Toute extension désactivée se supprime, elle reste une faille potentielle même inactive. Toute extension dont vous ne savez plus à quoi elle sert mérite d’être questionnée.
Combien d’extensions, au fait
La question revient toujours. Il n’y a pas de bon chiffre, mais il y a une bonne règle : chaque extension doit avoir une raison d’être que vous pouvez énoncer en une phrase.
Un site avec quarante extensions n’est pas forcément lent, mais il a quarante dépendances externes, quarante auteurs qui peuvent abandonner leur projet, et quarante sources de conflit. C’est la même logique que pour la performance d’un site : la sobriété se décide à la construction, elle se rattrape difficilement.
FAQ
À quelle fréquence faut-il mettre à jour WordPress ? Les mises à jour de sécurité s’appliquent sans attendre, elles corrigent des failles déjà publiées. Les mises à jour de fonctionnalité peuvent attendre quelques jours, le temps que les problèmes éventuels remontent dans la communauté.
Les mises à jour automatiques sont-elles une bonne idée ? Pour les correctifs de sécurité de WordPress lui-même, oui. Pour les extensions et les thèmes, c’est à double tranchant : vous êtes protégé plus vite, mais une mise à jour peut casser le site sans que personne ne soit devant l’écran. Sur les sites que je maintiens, les correctifs de sécurité sont automatiques et le reste est supervisé.
Mon site n’a jamais eu de problème, ai-je vraiment besoin de maintenance ? C’est exactement le raisonnement qui précède la première panne. Le risque n’est pas réparti dans le temps : il se concentre sur les moments de changement, et ces moments arrivent sans vous prévenir, comme une montée de version PHP décidée par votre hébergeur.
Que couvre une maintenance mensuelle chez moi ? Mises à jour supervisées, sauvegardes vérifiées, surveillance de la disponibilité, corrections courantes et un point écrit. Le détail et le tarif sont sur la page webmaster WordPress, à partir de 190 euros par mois.
Faire vérifier votre installation
Demandez un audit gratuit : je regarde vos extensions, votre version de PHP, vos sauvegardes et l’état de sécurité de votre site, et je vous dis ce qui est urgent et ce qui ne l’est pas.