CommencerSi vous cherchez à afficher une page « en travaux », ou à débloquer un site resté sur le message de maintenance, voyez plutôt notre article sur le mode maintenance de WordPress.
Les tâches d’entretien n’ont pas toutes le même rythme. Le correctif d’une faille ne peut pas attendre la fin du mois, alors qu’un nom de domaine ne se renouvelle qu’une fois par an. Mais s’il expire, le site disparaît du jour au lendemain.
Ce que WordPress fait seul, et ses limites
- WordPress se met à jour seul pour ses versions de maintenance et de sécurité depuis 2013, et pour ses versions majeures sur les sites installés depuis la version 5.6 (notre article sur WordPress 7 l’explique).
- Les extensions et les thèmes, non. Leurs mises à jour automatiques sont désactivées par défaut, sauf cas exceptionnels décidés par l’équipe de sécurité de WordPress. Pour les extensions, ouvrez Extensions, puis Extensions installées, cochez-les et choisissez l’action groupée « Activer les mises à jour auto ». Pour un thème, le lien se trouve dans sa fiche, sous Apparence, puis Thèmes.
- Le retour en arrière automatique couvre très peu de cas. Quand une mise à jour s’installe bien mais casse le site, WordPress ne revient en arrière que dans un cas : une erreur grave dans le code, dite « fatale », sur la page d’accueil, juste après la mise à jour automatique d’une extension active. Notre article sur le site cassé après une mise à jour détaille ce qu’il laisse passer.
- Les opérations programmées dépendent des visites. Celles de WordPress, mises à jour automatiques comprises, ne se lancent que lorsqu’un visiteur ouvre une page (documentation WordPress). Un site peu visité se met donc à jour avec retard. Si ce mécanisme a été coupé sans être remplacé par une tâche programmée chez l’hébergeur, le site ne se met plus à jour du tout.
- Un seul réglage peut bloquer toutes les mises à jour, automatiques comprises : la ligne
DISALLOW_FILE_MODSdans wp-config.php, où sont rangés les réglages techniques du site. Un pirate peut l’ajouter pour vous empêcher de corriger le site.
En continu
Ces tâches demandent un outil qui surveille le site en permanence.
| Tâche | Pourquoi | Vous-même | Avec Maintena |
|---|---|---|---|
| Surveiller la disponibilité | Une panne d’hébergement ou une erreur critique peut durer des heures avant qu’un client ne vous prévienne | Un service de surveillance, qui interroge le site à quelques minutes d’intervalle | Un contrôle toutes les 5 minutes, et un e-mail si le site ne répond plus |
| Repérer une intrusion | Un fichier ajouté ou un administrateur inconnu passe inaperçu dans WordPress | Une extension de sécurité qui compare les fichiers à leurs originaux | Nous contrôlons les fichiers, les comptes et les extensions toutes les 5 minutes, et chaque alerte est notée dans le journal de votre site. Si un pirate entre malgré tout, nous réparons le site sans vous facturer de supplément |
| Bloquer les attaques automatisées | Les robots essaient les failles connues et les mots de passe courants sans choisir leurs cibles (voir notre article sur la sécurisation de WordPress) | Un pare-feu applicatif, qui bloque les demandes suspectes, et un blocage des adresses qui multiplient les échecs de connexion | Les deux sont fournis |
Chaque jour
| Tâche | Pourquoi | Vous-même | Avec Maintena |
|---|---|---|---|
| Sauvegarder fichiers et base de données, hors de l’hébergement | Après une panne ou une fausse manœuvre, c’est la sauvegarde qui permet de revenir en arrière. Sans sauvegarde récente, une boutique perd des jours de commandes. L’ANSSI juge indispensable une copie hors ligne, ou à défaut stockée hors du site (son guide sur les sauvegardes) | Une sauvegarde automatique, envoyée hors de votre hébergement | Une copie complète chaque semaine, puis chaque nuit les changements du jour, stockées chiffrées en France hors de votre hébergement, et gardées 30 jours (90 en formule Sérénité) |
| Appliquer les correctifs de sécurité | Une fois publiée, une faille est connue de tous, robots compris, jusqu’à l’installation du correctif (voir notre article sur les failles de WordPress) | Suivre les annonces de failles de vos extensions et mettre à jour aussitôt | Chaque nuit, nous comparons vos extensions et votre thème à une base publique de failles. Quand une faille grave a un correctif, la mise à jour passe en priorité, après une sauvegarde |
| Appliquer les mises à jour courantes, puis vérifier le site | Une mise à jour peut casser l’affichage sans aucune erreur technique | Mettre à jour, puis ouvrir vos pages importantes, vos formulaires et votre panier | Les mises à jour sont faites la nuit, après une sauvegarde, puis nous comparons votre page d’accueil et 2 autres pages que vous choisissez (9 en formule Sérénité) à leur état d’avant. Si l’une d’elles s’affiche mal, la mise à jour est annulée |
| Boutique : tester le parcours d’achat | Un paiement cassé se remarque d’abord par l’absence de commandes | Passer une commande de test quand la boutique vient d’être mise à jour | En formule Sérénité, nous parcourons chaque jour votre boutique jusqu’au formulaire de paiement, sans passer commande |
Chaque mois
| Tâche | Pourquoi | Vous-même | Avec Maintena |
|---|---|---|---|
| Tester les formulaires | Un formulaire peut afficher « merci » sans que le message vous parvienne | Envoyer un message de test et vérifier qu’il arrive, sans oublier le dossier des indésirables | Reste à faire vous-même |
| Consulter l’écran Santé du site (menu Outils) | Il signale une version trop ancienne de PHP, le logiciel du serveur qui fait tourner WordPress, des mises à jour automatiques en panne ou un journal d’erreurs laissé public | Traiter chaque « problème critique », et lire aussi les « améliorations recommandées » : une version de PHP privée de correctifs peut n’y figurer qu’à ce titre | Reste à faire vous-même |
| Passer en revue les comptes (menu Comptes) | Un ancien salarié ou prestataire est peut-être resté administrateur | Retirer les accès devenus inutiles, en jugeant chaque compte sur la personne qui l’utilise et non sur sa date d’inscription | Nous repérons les administrateurs inconnus |
| Regarder ce que Google voit de votre site | Un site peut paraître normal pendant que Google reçoit autre chose | Ouvrir la Search Console, le service que Google réserve aux propriétaires de sites ; notre article sur les signes d’un piratage dit quoi y regarder | Reste à faire vous-même ; notre analyse gratuite fait un premier contrôle de l’extérieur |
| Surveiller les commentaires, s’ils sont ouverts | Un commentaire publicitaire approuvé par erreur reste affiché sur votre site | Une extension antispam, et un passage dans Commentaires, onglet « En attente » | Reste à faire vous-même. Lors du nettoyage hebdomadaire de la base de données, nous supprimons les commentaires classés indésirables |
| Lire le journal des interventions | C’est là que figurent les mises à jour annulées et les alertes de sécurité | WordPress n’en tient aucun ; une extension de journal d’activité y remédie | Le journal de votre site note chaque action avec sa date |
Chaque trimestre
| Tâche | Pourquoi | Vous-même | Avec Maintena |
|---|---|---|---|
| Vérifier la version de PHP | Une version de PHP privée de correctifs de sécurité expose le site | Dans Santé du site, onglet « Informations », ou dans l’espace client de votre hébergeur. Avant d’en changer, faites une sauvegarde ; notre article sur WordPress 7 explique la marche à suivre | Reste à faire vous-même |
| Supprimer les extensions et les thèmes inutilisés | Santé du site qualifie les extensions inactives de « cibles tentantes pour les pirates » | Les désactiver puis les supprimer dans Extensions installées. Gardez un thème officiel de WordPress, comme Twenty Twenty-Five, qui prend le relais si le vôtre tombe en panne | Reste à décider vous-même |
| Vérifier les licences des extensions payantes | Sans licence active, leurs correctifs de sécurité n’arrivent pas | Dans votre compte chez chaque éditeur, et dans les réglages de l’extension, où la licence doit être activée | Reste à faire vous-même |
| Alléger le site | Le site s’alourdit au fil des ajouts : pages plus lentes, sauvegardes plus longues | Une extension qui compresse les images, et un nettoyage de la base de données après une sauvegarde | Nous nettoyons la base chaque semaine et créons pour chaque nouvelle image une version au format WebP, en général plus léger. Depuis votre tableau de bord, vous pouvez aussi écarter les images inutilisées, supprimées au bout de 30 jours |
Chaque année
Aucune de ces tâches n’est technique. Ce sont des décisions de propriétaire, que Maintena ne peut pas prendre à votre place.
- Le nom de domaine : renouvellement automatique actif, carte bancaire valide, et votre entreprise inscrite comme titulaire, pas votre ancien prestataire. Pour un .fr que vous ne payez plus, votre bureau d’enregistrement finit par en demander la suppression ; il reste alors 30 jours pour le faire restaurer, puis n’importe qui peut l’enregistrer (Afnic).
- Le certificat HTTPS, qui protège la connexion à votre site : vérifiez que votre hébergeur le renouvelle automatiquement, car un renouvellement à la main une fois par an ne suffit plus (voir plus bas).
- Les accès : hébergeur, bureau d’enregistrement du nom de domaine, Search Console, licences. Qui les détient, et avec quelle adresse e-mail ? Un site devient ingérable quand ces accès sont au nom de quelqu’un qui a quitté l’entreprise.
- L’adresse e-mail d’administration (Réglages, puis Général). WordPress y envoie le compte rendu de ses mises à jour automatiques et, dans certains cas seulement, un message après une erreur critique (notre article sur l’erreur critique dit lesquels). Assurez-vous que quelqu’un lit cette boîte.
- Les mots de passe des administrateurs : la CNIL ne demande plus de changer régulièrement les mots de passe ordinaires, mais le recommande encore pour les comptes qui ont tous les droits (sa recommandation). Elle conseille aussi la double authentification, qui ajoute au mot de passe un code reçu sur le téléphone.
- La politique de confidentialité : à relire si vous avez ajouté dans l’année un formulaire ou un outil de mesure d’audience.
Ce qui change dans les six prochains mois
- PHP 8.2 ne recevra plus de correctifs de sécurité après le 31 décembre 2026 (calendrier officiel de PHP).
- La durée de validité des certificats HTTPS raccourcit : 200 jours au plus depuis mars 2026, 100 jours à partir du 15 mars 2027, 47 jours en 2029 (décision des autorités de certification, en anglais). Let’s Encrypt, qui délivre des certificats gratuits, passera à 64 jours par défaut le 10 février 2027 (son annonce, en anglais). Depuis juin 2025, il ne prévient plus par e-mail qu’un certificat va expirer, même quand son renouvellement a échoué.
Ce qui peut attendre, ou ne relève pas de la maintenance
- Vider chaque semaine le cache, ces copies de pages gardées pour les afficher plus vite : utile après une modification, inutile comme routine.
- Corriger toutes les erreurs 404, ces pages « introuvables » : selon Google, une page supprimée qui répond 404 n’est pas forcément un problème (aide de la Search Console). Corrigez seulement vos propres liens cassés.
- Viser 100 sur 100 dans PageSpeed Insights, l’outil de Google qui note la vitesse d’une page. Cette note varie d’un test à l’autre. Regardez plutôt, dans la Search Console, la vitesse mesurée chez vos vrais visiteurs.
- Supprimer le compte « admin » par défaut : WordPress n’en crée plus depuis 2010.
- Mettre le site en maintenance avant chaque mise à jour : WordPress le fait lui-même, pendant quelques secondes.
- Relire les textes, la présentation ou les liens d’autres sites vers le vôtre : utile, mais cela relève du contenu et du marketing plus que de la maintenance.
Questions fréquentes
Combien de temps faut-il si je fais tout moi-même ?
Nous estimons qu’il faut une à deux heures par mois pour les tâches mensuelles, trimestrielles et annuelles, plus le contrôle du site après chaque mise à jour. La surveillance continue demande en outre des outils. Ceux qui sont conçus pour les professionnels du web sont gratuits dans leur version de base, et coûtent quelques euros par mois et par site pour les sauvegardes et la sécurité. Notre article sur le prix de la maintenance les compare aux autres offres.
Faut-il suivre cette liste si le site ne change jamais ?
Oui. Les failles découvertes dans ses extensions le concernent autant qu’un site actif. Seule la politique de confidentialité peut attendre, puisqu’elle ne change que si vous ajoutez quelque chose au site.
Faut-il activer les mises à jour automatiques des extensions ?
Pour un site que personne ne surveille, oui : une faille corrigée sans délai vaut mieux qu’une mise à jour oubliée. Mais WordPress ne vérifie pas l’affichage après coup, sauf en cas d’erreur fatale sur la page d’accueil. Si vous les activez, regardez votre site après chaque vague de mises à jour.
Écrit par
Julien Marolles, fondateur de Maintena
Pendant des années, j’ai conçu des sites WordPress pour des entreprises, des études et des agences. J’ai créé Maintena pour que quelqu’un veille sur chacun d’eux, chaque jour : mises à jour vérifiées, sauvegardes, attaques bloquées, et réparation quand il le faut.
Une question sur votre site ? Écrivez-moi, je lis tout.
