Mise à jour WordPress : cœur, extensions, thèmes et PHP sans casser votre site

Repousser une mise à jour WordPress par peur de casser le site est compréhensible, mais c’est souvent ainsi qu’une faille connue reste ouverte pendant des mois. Le cœur, les extensions, les thèmes et la version de PHP évoluent chacun à leur rythme, et chaque retard élargit la surface d’attaque.

L’agence Référenceur organise pour les PME de Suisse romande des mises à jour planifiées, testées et documentées, et prend le relais quand un site WordPress piraté doit d’abord être nettoyé avant d’être remis à niveau.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse avec notre outil ci-dessous.

Ce guide fait partie de notre guide de la sécurité WordPress. Il explique ce que WordPress fait seul, ce qui reste à votre charge et comment procéder sans mettre en danger votre activité.

Ce que WordPress met à jour seul, et ce qu’il laisse de côté

Depuis WordPress 3.7, les mises à jour automatiques en arrière-plan existent. Par défaut, chaque site reçoit automatiquement les versions mineures du cœur, c’est-à-dire les versions de maintenance et de sécurité, ainsi que les fichiers de traduction. Les versions majeures, elles, ne s’installent pas seules par défaut.

Pour les extensions et les thèmes, l’activation est manuelle. Selon la documentation officielle, depuis WordPress 5.5, l’administrateur peut activer la mise à jour automatique extension par extension et thème par thème. Ces mises à jour s’exécutent par défaut deux fois par jour grâce aux tâches planifiées de WordPress.

Élément	Comportement par défaut	Ce qui reste à votre charge
Cœur, versions mineures	Installées automatiquement (maintenance et sécurité)	Vérifier que rien ne les bloque chez votre hébergeur
Cœur, versions majeures	Non installées automatiquement par défaut	Planifier la mise à jour après sauvegarde et test
Extensions et thèmes	Mise à jour automatique à activer un par un	Choisir lesquels automatiser, surveiller les autres
Extensions commerciales	Dépendent de la licence et de l’éditeur	Garder la licence active, ne jamais installer de version « nulled »
Version de PHP	Gérée par l’hébergement, pas par WordPress	Demander la migration vers une branche supportée

Ce comportement peut être modifié par votre hébergeur ou par une constante dans wp-config.php. Vérifiez donc sur votre propre installation, dans Tableau de bord > Mises à jour, ce qui est réellement actif.

PHP : la mise à jour que l’on oublie

La version de PHP ne dépend pas de WordPress mais de votre hébergement. Selon la page des versions supportées de php.net, à fin octobre 2026, les branches 8.2, 8.3, 8.4 et 8.5 sont encore maintenues. La branche 8.2 ne reçoit plus que des correctifs de sécurité jusqu’au 31 décembre 2026, la 8.3 jusqu’au 31 décembre 2027.

WordPress.org recommande pour sa part PHP 8.3 ou plus récent, avec MariaDB 10.11 ou MySQL 8.0 au minimum. Un site qui tourne encore sur une version abandonnée ne reçoit plus de correctifs de sécurité côté serveur, quel que soit le soin apporté aux extensions.

La rubrique Outils > Santé du site indique votre version actuelle. Avant de demander la migration à votre hébergeur, testez le site sur la nouvelle version en préproduction : d’anciennes extensions peuvent provoquer des erreurs. Notre article sur la sécurisation de WordPress par la version de PHP détaille la démarche.

Mettre à jour extensions WordPress et cœur : la procédure sûre

Pour une boutique ou un site qui génère des demandes, une mise à jour se prépare. Voici une séquence qui limite les risques sans vous faire perdre de temps.

1. Sauvegarder les fichiers et la base de données, avec une copie hors du serveur. Notre guide de la sauvegarde WordPress détaille la méthode.
2. Lire les notes de version des extensions importantes : boutique, formulaires, constructeur de pages, multilingue.
3. Appliquer en staging d’abord, sur une copie du site non indexée.
4. Tester les parcours clés : formulaires, panier, paiement, espace membres, affichage mobile.
5. Passer en production à un moment de faible trafic, puis revérifier les mêmes parcours.
6. Consigner les versions installées et les éventuels problèmes dans un journal de maintenance.

wp plugin list --update=available
wp plugin update --all --dry-run
wp plugin update --all
wp core update

Avec WP-CLI, la première commande liste les extensions à mettre à jour et l’option --dry-run affiche ce qui serait modifié sans rien appliquer. Si vous administrez le site sans accès en ligne de commande, le tableau de bord permet les mêmes opérations. Le point essentiel reste de mettre à jour extensions WordPress et thèmes régulièrement, pas une fois par an.

Gérer une incompatibilité sans paniquer

Si une mise à jour provoque une erreur fatale, WordPress dispose d’un mode de récupération : un e-mail contenant un lien de connexion spécial est envoyé à l’adresse de l’administrateur, ce qui permet de désactiver l’extension fautive. Vérifiez donc que cette adresse est toujours valide.

Sans accès au tableau de bord, renommer le dossier de l’extension par SFTP la désactive. Si le problème est plus large, restaurez la sauvegarde faite juste avant, puis signalez le conflit à l’éditeur. Évitez de bloquer durablement une extension sur une ancienne version : la correction de sécurité suivante ne vous atteindrait pas.

Une extension qui n’est plus maintenue doit être remplacée. Le répertoire officiel signale celles qui n’ont pas été testées avec les dernières versions majeures ; notre page sur les extensions WordPress vulnérables explique comment les repérer.

Fréquence et responsabilité : qui fait quoi

Une mise à jour de sécurité doit être appliquée dès que possible ; les mises à jour fonctionnelles peuvent suivre un rythme planifié, par exemple hebdomadaire ou mensuel selon l’activité. L’important est qu’une personne soit clairement responsable : vous, votre agence ou votre hébergeur infogéré.

Écrivez noir sur blanc qui applique les mises à jour, qui teste, qui garde les sauvegardes et qui est prévenu en cas de faille critique. Faute de responsable désigné, chacun pense que l’autre s’en occupe. La mise à jour s’inscrit dans une maintenance complète, avec la sécurisation des accès, décrite dans notre guide sur le durcissement de WordPress.

Si votre site est déjà infecté, ne commencez pas par une mise à jour WordPress globale. Le nettoyage passe en premier : une mise à jour ne supprime pas une porte dérobée cachée dans les médias ou dans la base.

Des mises à jour pilotées en visioconférence

Référenceur n’a pas de bureau dans votre région, et cela simplifie tout : le suivi se fait en visioconférence, au moment qui vous convient. Un atelier de cadrage dresse l’inventaire des extensions, des thèmes, de la version de PHP et des sauvegardes.

Les premières mises à jour se font en partage d’écran, en staging puis en production, pour que vous compreniez chaque étape. Une formation enregistrée reste à disposition de votre équipe et un point mensuel passe en revue le journal de maintenance.

Nous travaillons de cette façon avec des entreprises du canton de Vaud, du Valais, du canton du Jura, de Nyon ou de La Chaux-de-Fonds.

Mise à jour WordPress : vos questions

Faut-il activer toutes les mises à jour automatiques ?

Pas forcément : automatiser les extensions simples et bien maintenues est raisonnable, à condition de disposer de sauvegardes quotidiennes et d’une surveillance du site. Pour une boutique, un module de paiement ou un constructeur de pages, une mise à jour WordPress testée en staging reste plus prudente. Les versions mineures du cœur, elles, devraient rester automatiques.

Une mise à jour peut-elle casser mon site ?

Oui, cela arrive, surtout avec des extensions anciennes ou des personnalisations faites directement dans le thème parent. C’est pourquoi la procédure commence par une sauvegarde et un test en préproduction. En cas d’erreur fatale, le mode de récupération de WordPress et la sauvegarde faite juste avant permettent de revenir rapidement en arrière.

Comment savoir quelle version de PHP utilise mon site ?

Ouvrez Outils > Santé du site dans l’administration : l’onglet d’informations indique la version de PHP et celle de la base de données. Comparez-la ensuite avec la page des versions supportées de php.net. Si votre branche n’est plus maintenue, demandez à votre hébergeur une migration, après un test du site en préproduction.

Pourquoi mettre à jour extensions WordPress inutilisées ?

Une extension désactivée reste présente sur le serveur et ses fichiers peuvent être exploités si une faille les touche. Il vaut mieux supprimer ce qui ne sert pas plutôt que d’essayer de mettre à jour extensions WordPress oubliées. Moins il y a de code installé, moins il y a de mises à jour à suivre et de risques à surveiller.

Les extensions « nulled » posent-elles vraiment problème ?

Oui : ces copies piratées d’extensions commerciales ne reçoivent pas les mises à jour officielles et contiennent parfois du code malveillant dès l’installation. Elles sont aussi une source fréquente de réinfection après un nettoyage. Remplacez-les par la version officielle avec une licence active, ou par une alternative maintenue du répertoire WordPress.org.

Qui est responsable des mises à jour : l’hébergeur ou l’agence ?

Cela dépend de votre contrat : un hébergement classique gère le serveur et parfois PHP, rarement les extensions. Une offre infogérée ou un contrat de maintenance peut couvrir la mise à jour WordPress complète. Vérifiez par écrit qui applique, qui teste et qui conserve les sauvegardes, pour qu’aucune tâche ne tombe entre deux chaises.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité de votre site WordPress :

Votre site accumule les mises à jour en attente ? Réservez un appel visio : nous faisons ensemble l’inventaire des extensions, des thèmes et de la version de PHP, puis nous définissons une procédure de mise à jour adaptée à votre activité.