L’essentiel. Une checklist WordPress trimestrielle tient en dix minutes : sauvegarde vérifiée, extensions et thème à jour, extensions abandonnées supprimées, comptes administrateurs nettoyés, mots de passe renforcés. Performing Training forme les équipes de TPE et PME à réaliser ce contrôle elles-mêmes, sur leur propre site, sans dépendre d’un prestataire extérieur.
Votre site a été livré il y a deux ou trois ans. Il fonctionne. Vous ne l’ouvrez plus, sauf pour changer un horaire ou ajouter une photo. Le tableau de bord affiche une pastille rouge avec un chiffre à deux chiffres, et vous la regardez sans la cliquer, parce que personne ne vous a dit ce qui se passait si vous le faisiez.
Ce qui se passe quand on ne la clique pas est plus coûteux : un site WordPress non entretenu finit par ralentir, afficher une page blanche après une panne, ou servir de relais à des pages de spam que Google finira par signaler. Remettre un site debout après ce genre d’incident se chiffre en jours d’indisponibilité et en devis d’agence. La maintenance WordPress, elle, se chiffre en minutes par trimestre.
Voici la checklist, le détail de chaque point, et ce que la plupart des articles sur le sujet oublient de vous dire.
Ce qu’un site non entretenu vous coûte réellement
Le risque n’est pas esthétique. Une extension obsolète (un module ajouté à WordPress pour une fonction précise : formulaire de contact, galerie, boutique) contient parfois une faille connue, publiée publiquement le jour où elle est corrigée. À partir de ce moment, des robots parcourent le web à la recherche des sites qui n’ont pas appliqué le correctif. Ils ne vous visent pas vous. Ils visent la version que vous faites tourner.
Concrètement, chez une TPE, cela ressemble à ceci : le site devient inaccessible un jeudi matin, personne n’a les accès à l’hébergeur, l’ancien prestataire ne répond plus, et la seule sauvegarde disponible date de la refonte. [STAT À SOURCER : proportion des sites WordPress compromis via une extension non mise à jour, source Wordfence ou Sucuri, rapport annuel]
L’autre coût est silencieux. Un site lent, cassé sur mobile après une mise à jour partielle, ou affichant un avertissement de sécurité dans le navigateur, perd des visiteurs sans jamais vous prévenir. Vous constatez une baisse d’appels. Vous ne faites pas le lien.
La checklist de rentrée : dix minutes, six points
À faire une fois par trimestre. Bloquez le créneau dans l’agenda, comme un rendez-vous.
| Point à vérifier | Où regarder | Temps | Signal d’alerte |
|---|---|---|---|
| Sauvegarde récente et restaurable | Extension de sauvegarde ou espace client de l’hébergeur | 3 min | Aucune sauvegarde de moins de 7 jours |
| Version de WordPress | Tableau de bord > Mises à jour | 1 min | Retard de plus d’une version majeure |
| Extensions | Extensions > Extensions installées | 2 min | Mention « non testée avec votre version » |
| Thème | Apparence > Thèmes | 1 min | Thème plus mis à jour depuis un an |
| Comptes utilisateurs | Utilisateurs | 2 min | Un administrateur que vous ne reconnaissez pas |
| Mots de passe | Gestionnaire de mots de passe | 1 min | Le même mot de passe qu’ailleurs |
L’ordre compte. La sauvegarde vient toujours en premier, avant toute mise à jour. C’est la seule séquence qui rende les cinq points suivants réversibles.
La sauvegarde : le seul point où l’erreur est irréversible
Une sauvegarde jamais testée n’est pas une sauvegarde. C’est un fichier dont vous espérez qu’il contient quelque chose.
Trois questions suffisent à le savoir :
- Où est-elle stockée ? Une sauvegarde qui vit sur le même serveur que le site disparaît avec lui. Elle doit partir ailleurs : un espace de stockage en ligne, un disque, un autre hébergement.
- De quand date-t-elle ? Une sauvegarde mensuelle sur un site qui publie chaque semaine vous fera perdre trois semaines de travail.
- Contient-elle la base de données ? Les fichiers seuls restituent l’apparence du site, pas son contenu. Vos pages, vos articles et vos commandes sont dans la base.
Le test à faire une fois, pas à chaque trimestre : demandez à restaurer une sauvegarde sur un site de préproduction (une copie du site, invisible du public, que la plupart des hébergeurs proposent en un clic). Si personne ne sait le faire, vous venez d’identifier votre vrai point faible.
Les extensions abandonnées : l’angle mort de 9 sites sur 10
Tout le monde parle des extensions « à mettre à jour ». Presque personne ne parle des extensions abandonnées, qui sont pourtant le problème le plus fréquent sur les sites de petites entreprises.
Une extension abandonnée est une extension que son auteur ne maintient plus. Elle ne réclame aucune mise à jour, elle n’affiche aucune pastille, elle fonctionne parfaitement. Et elle ne recevra jamais de correctif de sécurité.
Pour la repérer : ouvrez la fiche de l’extension sur le répertoire officiel de WordPress et regardez deux lignes, « Dernière mise à jour » et « Testée jusqu’à la version ». Une extension non mise à jour depuis plus de douze mois est un dossier à ouvrir. Une extension marquée comme non testée avec les versions récentes de WordPress en est un autre.
Le réflexe qui manque : désactiver ne suffit pas. Une extension désactivée reste présente sur le serveur et reste exploitable. Supprimez celles dont vous ne vous servez plus. Un site de TPE a rarement besoin de plus d’une douzaine d’extensions ; beaucoup en hébergent trente, dont la moitié installées pour un test jamais conclu.
C’est typiquement le genre de tri qu’on apprend à faire une fois, en une heure, sur son propre site. C’est ce que nous faisons pendant les formations aux outils numériques appliquées à votre site : vos extensions, votre thème, vos décisions.
Les accès : qui peut entrer sur votre site aujourd’hui ?
Ouvrez le menu Utilisateurs. Comptez les comptes ayant le rôle « Administrateur ». Dans une entreprise de dix personnes, il devrait y en avoir un ou deux.
Vous trouverez souvent : le compte de l’agence qui a fait le site en 2021, celui du stagiaire parti en septembre, un compte nommé « admin » créé à l’installation, et parfois un compte que personne n’identifie. Chacun est une porte ouverte.
Trois gestes, dans cet ordre :
- Passez en rôle « Éditeur » ou « Auteur » tous ceux qui n’ont pas besoin d’administrer (un éditeur publie du contenu, un administrateur peut tout supprimer).
- Supprimez les comptes inactifs, en attribuant leurs contenus à un compte actif quand WordPress le propose.
- Activez la double authentification (un code à usage unique demandé en plus du mot de passe) sur les comptes restants.
Un dernier point, souvent oublié parce qu’il ne se voit pas dans WordPress : la version de PHP, le langage sur lequel tourne votre site. Elle se règle chez l’hébergeur, pas dans le tableau de bord. Une version trop ancienne n’est plus corrigée du tout, et ralentit le site. Une ligne à demander à votre hébergeur, une fois par an.
La liste à imprimer et à cocher
À afficher près du poste de la personne qui s’occupe du site.
Contrôle trimestriel, site : ____________ Date : ___ / ___ / ______
- Sauvegarde de moins de 7 jours, stockée hors du serveur du site
- Sauvegarde contenant fichiers et base de données
- WordPress à jour
- Extensions à jour
- Extensions inutilisées supprimées (pas seulement désactivées)
- Aucune extension sans mise à jour depuis plus de 12 mois
- Thème à jour, modifications faites dans un thème enfant
- Liste des administrateurs vérifiée, comptes inactifs supprimés
- Double authentification active sur les comptes administrateurs
- Mots de passe uniques, stockés dans un gestionnaire
- Cadenas HTTPS présent sur toutes les pages
- Formulaire de contact testé : un message envoyé, un message reçu
- Version de PHP confirmée auprès de l’hébergeur (une fois par an)
Fait par : ____________ Prochain contrôle : ___ / ___ / ______
Questions fréquentes
Est-ce que je risque de casser mon site en faisant les mises à jour ?
Le risque existe, surtout sur un site très en retard ou très personnalisé. Il devient négligeable si vous sauvegardez avant, et si vous procédez par petits lots : trois ou quatre extensions, puis un coup d’œil au site, puis les suivantes. En cas de problème, vous savez immédiatement laquelle est en cause.
Tous les trimestres, est-ce vraiment nécessaire ?
Le contrôle complet, oui. Les mises à jour de sécurité, non : elles doivent être appliquées rapidement, et WordPress peut les installer automatiquement pour les correctifs mineurs. Le rythme trimestriel concerne le reste : le tri, les accès, le test de sauvegarde.
Mon site est géré par une agence, est-ce que cela me concerne ?
Oui, sur deux points. D’abord, savoir ce qui est couvert : un contrat d’hébergement n’inclut pas toujours la maintenance, et la maintenance n’inclut pas toujours la sauvegarde testée. Ensuite, détenir vos accès : hébergeur, nom de domaine, administration du site. Sans eux, changer de prestataire devient un rapport de force.
Comment savoir si mon site a déjà été piraté ?
Quelques signaux : des pages que vous n’avez pas créées apparaissent dans les résultats Google (tapez site:votredomaine.fr dans la barre de recherche), un avertissement s’affiche dans le navigateur, votre hébergeur signale un envoi massif de courriels, ou un compte administrateur inconnu apparaît. Google Search Console, gratuit, envoie une alerte par courriel dans la plupart de ces cas.
Faut-il payer un contrat de maintenance ?
Cela dépend de ce que le site représente pour votre activité. Pour une boutique en ligne, un prestataire qui surveille et intervient se justifie. Pour un site vitrine, la checklist ci-dessus couvre l’essentiel, à condition qu’une personne dans l’entreprise sache la dérouler et ait le temps de le faire.
Former quelqu’un chez vous plutôt que rappeler un prestataire
Performing Training conçoit des formations intra-entreprise, c’est-à-dire construites pour une seule entreprise à la fois, sur son propre site et ses propres outils. Une journée de sept heures, en présentiel à Marseille, Aix et en région PACA, ou en classe virtuelle avec formatrice en direct partout en France. Tarif de référence : 500 € HT la journée, avec un dossier de prise en charge OPCO monté en amont avec vous.
La différence avec un tutoriel gratuit : un tutoriel explique un site générique, le vôtre a ses extensions, son thème, son historique et ses bizarreries. La différence avec une agence : une agence fait à votre place, et vous restez dépendant de son planning et de ses tarifs à chaque incident.
Ce que vous obtenez au bout de la journée : une personne dans votre équipe qui ouvre le tableau de bord sans appréhension, applique la checklist en dix minutes, sait quand appeler un technicien et quand ce n’est pas la peine. Vos procédures écrites pendant la session, pas des notes.
Vingt minutes au téléphone suffisent à cadrer le besoin et à savoir si une formation se justifie. Écrivez à ines.mami@performingtraining.com ou appelez le 06 44 75 07 16.