Le petit chiffre rouge à côté de « Mises à jour » dans votre tableau de bord indique 14. Quatorze mises à jour WordPress en attente, alors qu’en janvier, c’était 6. Vous allez vous en occuper, c’est sûr. Juste pas cette semaine.
On comprend. Personne n’a envie de cliquer sur « Mettre à jour » pour découvrir ensuite que la page d’accueil est devenue blanche. Sauf que reporter les mises à jour WordPress, c’est accumuler une dette. Et cette dette-là se rembourse avec des intérêts.
Que contiennent les mises à jour WordPress?
Un site WordPress a trois couches qui se mettent à jour séparément : le cœur de WordPress, les extensions et le thème. Sous tout ça, il y a PHP, le langage qui fait tourner le site, géré par l’hébergeur.
Les mises à jour corrigent des bogues et ajoutent des fonctions. Elles ferment surtout des failles de sécurité. Et c’est là que le délai devient dangereux : quand un correctif est publié, la faille devient publique elle aussi. Les pirates savent alors exactement quoi chercher, et ils balaient le web à la recherche des sites qui n’ont pas encore appliqué le correctif.
Sécurité WordPress : d’où viennent les failles?
Pas d’où on pense. Selon le rapport annuel de Patchstack, une entreprise spécialisée en sécurité WordPress, 11 334 nouvelles vulnérabilités ont été recensées dans l’écosystème WordPress en 2025. De ce nombre, 91 % touchaient des extensions. Le cœur de WordPress n’en comptait que six, toutes de faible gravité.
Le même rapport note qu’environ la moitié des failles à fort impact ont été exploitées dans les 24 heures suivant leur divulgation. Autrement dit, une mise à jour de sécurité qui attend un mois sur votre tableau de bord, c’est un mois pendant lequel la porte est connue de tout le monde.
En pratique, vos extensions sont votre plus gros risque. Chacune que vous ajoutez est une porte de plus à surveiller. Un site vitrine qui tourne avec 30 extensions a rarement besoin de plus de 10 ou 12.
Pourquoi attendre rend chaque mise à jour plus risquée
Passer d’une version à la suivante, c’est généralement sans histoire. Sauter deux ans de versions d’un coup, c’est autre chose.
Ce qu’on voit souvent quand un site nous arrive après une longue période sans entretien : une vingtaine d’extensions en retard, un constructeur de pages trois versions majeures derrière, une extension abandonnée par son auteur depuis 2022. On ne peut pas tout mettre à jour d’un clic. Il faut avancer une étape à la fois, sur une copie de test, et corriger ce qui casse à chaque étape. Ce qui aurait pris quelques minutes par semaine devient une journée de travail.
PHP, la mise à jour que vous ne voyez pas
Il y a aussi la pression qui vient d’en dessous. Chaque version de PHP a une date de fin de vie. La version 8.2, par exemple, ne recevra plus de correctifs de sécurité après le 31 décembre 2026. Les hébergeurs retirent tôt ou tard les vieilles versions, et c’est normal.
Un site à jour passe à la version suivante sans que vous le remarquiez. Un site dont les extensions datent de plusieurs années, lui, se retrouve coincé : soit il reste sur une version de PHP qui n’est plus corrigée, soit il plante au moment du changement. Dans les deux cas, ça tombe rarement à un moment qui vous arrange.
Les extensions abandonnées
Sur le répertoire officiel de WordPress, chaque extension affiche la date de sa dernière mise à jour, et un avertissement apparaît quand elle n’a pas été testée avec les trois dernières versions majeures de WordPress. Si vous voyez cet avertissement sur une extension de votre site, cherchez-lui un remplaçant maintenant, pendant que rien ne presse.
Ce que ça coûte vraiment
Comparons les deux scénarios.
D’un côté, l’entretien régulier. À partir du 1er janvier 2027, la différence entre nos forfaits d’hébergement sans mises à jour et ceux qui les incluent est de 30 $ par année, peu importe le forfait. Dans nos forfaits actuels, les mises à jour sont déjà comprises.
De l’autre, le site qui casse ou qui se fait pirater. Les heures de nettoyage. Le site retiré des résultats ou signalé comme dangereux par les navigateurs. Les courriels envoyés par le serveur qui tombent dans les indésirables. Et le coût le plus difficile à chiffrer : une clinique de physiothérapie à Saint-Raymond dont le formulaire de prise de rendez-vous ne fonctionne plus un samedi matin, sans que personne s’en rende compte avant lundi.
Si vous en êtes déjà là, lisez notre article sur quoi faire quand un site WordPress est piraté.
Faut-il activer les mises à jour automatiques de WordPress?
En partie, oui. Depuis la version 3.7, WordPress applique par défaut les mises à jour mineures du cœur, celles qui corrigent surtout des failles. Depuis la version 5.5, sortie en 2020, vous pouvez aussi activer les mises à jour automatiques des extensions et des thèmes, une par une.
Notre avis : activez-les pour les petites extensions bien maintenues qui ne touchent pas à l’affichage du site. Gardez en mode manuel WooCommerce, votre constructeur de pages et tout ce qui touche aux paiements. Ces mises à jour-là méritent d’être appliquées par une personne qui vérifie le résultat tout de suite après.
Et jamais de mise à jour automatique sans sauvegarde récente. Sinon, c’est une loterie.
Mettre à jour WordPress : une routine de 20 minutes aux deux semaines
- Vérifiez qu’une sauvegarde de la veille existe, et qu’elle est complète.
- Parcourez la liste des mises à jour. Repérez les sauts de version importants et celles de WooCommerce ou du constructeur de pages. Celles-là, faites-les une à la fois.
- Appliquez les autres en groupe.
- Visitez l’accueil, une page intérieure et le formulaire de contact. Envoyez-vous un message test. Pour une boutique, rendez-vous jusqu’à la page de paiement.
- Supprimez les extensions désactivées. Une extension désactivée reste sur le serveur, et ses fichiers peuvent encore être exploités si une faille y est découverte.
Si une mise à jour majeure vous inquiète, appliquez-la d’abord sur un site de test, une copie privée de votre site que les gens du métier appellent aussi staging. Notre forfait Populaire en inclut un.
Allez voir le chiffre à côté de « Mises à jour » dans votre tableau de bord. S’il dépasse 10 et que vous n’avez pas le temps de vous en occuper, nos forfaits avec mises à jour incluses règlent la question.