« Je dirige une entreprise de déménagement à Orléans, quinze salariés. Notre site WordPress a été fait il y a six ans par un prestataire qui a fermé depuis, et personne n'y a touché : le tableau de bord affiche des dizaines de mises à jour en attente, et notre hébergeur nous écrit que notre version de PHP ne sera bientôt plus prise en charge. Faut-il tout mettre à jour d'un coup, ou refaire le site ? »
Exemple de situation
Un WordPress laissé sans mises à jour est exposé : seule la dernière série de versions est considérée comme sûre, et la plupart des failles touchent les extensions. Ne cliquez pas sur « tout mettre à jour » sur le site en ligne : faites d'abord une sauvegarde complète et une copie de test, puis mettez à jour extensions, thème, WordPress et enfin PHP, dans cet ordre, en vérifiant à chaque étape. Si le site repose sur des extensions abandonnées ou un thème modifié à la main, une refonte peut coûter moins cher qu'une réparation.
Que risque-t-on avec un WordPress qui n'est plus mis à jour ?
La documentation officielle de WordPress est claire : les anciennes versions ne reçoivent pas de mises à jour de sécurité, et une fois qu'une faille est corrigée, les versions plus anciennes sont plus faciles à attaquer¹. Sur la page des versions publiées, WordPress précise que seule la plus récente de la série 7.1 est sûre à utiliser ; au 11 novembre 2026, c'est la 7.1.4, sortie le 28 octobre 2026².
Le cœur de WordPress n'est pas le principal problème. Selon le rapport annuel de Patchstack, une société qui vend un service de protection pour WordPress, 11 334 nouvelles failles ont été recensées dans l'écosystème WordPress en 2025 : 91 % dans des extensions, 9 % dans des thèmes, et seulement 6 dans le cœur³. Le même rapport indique que 46 % de ces failles n'avaient pas de correctif au moment de leur publication, et que pour les failles les plus exploitées, la première attaque survient en médiane 5 heures après³.
Concrètement, un site resté six ans sans entretien cumule des extensions avec des failles connues et publiques. Les risques sont un site détourné (pages de publicité cachées, redirections), des formulaires qui envoient du spam, ou des données de clients exposées. Si c'est déjà arrivé, suivez plutôt notre article site WordPress piraté : que faire dans les premières heures.
Pourquoi votre hébergeur vous parle de PHP
PHP est le langage qui fait tourner WordPress sur le serveur de votre hébergeur. Chaque version de PHP reçoit des correctifs de sécurité pendant une durée fixée à l'avance, puis plus rien. Voici le calendrier publié par le projet PHP⁴ :
| Version de PHP | Correctifs de sécurité jusqu'au | État au 11 novembre 2026 |
|---|---|---|
| 8.1 et plus anciennes (dont 7.4) | Terminé | Plus aucun correctif |
| 8.2 | 31 décembre 2026 | Fin dans quelques semaines |
| 8.3 | 31 décembre 2027 | Correctifs de sécurité seulement |
| 8.4 | 31 décembre 2028 | Pleinement maintenue |
| 8.5 | 31 décembre 2029 | Pleinement maintenue |
WordPress recommande PHP 8.3 ou plus récent. Il fonctionne encore avec PHP 7.4, mais ses propres exigences préviennent que ces versions en fin de vie peuvent exposer votre site à des failles de sécurité⁵. Le piège : un vieux site, avec de vieilles extensions, peut tomber en panne si l'hébergeur passe brutalement à une version récente de PHP. D'où l'ordre des étapes ci-dessous.
Que vérifier avant de toucher à quoi que ce soit ?
- Les accès : un compte administrateur WordPress à votre nom, l'accès à l'hébergement et au nom de domaine. Si le prestataire disparu détient encore l'un d'eux, commencez par là ; notre article sur la récupération d'un nom de domaine détaille la démarche.
- L'état du site : l'outil « Santé du site », dans le menu Outils de WordPress, signale les mises à jour en attente et une version de PHP trop ancienne. Notre article vérifier la sécurité de son site sans être informaticien explique comment le lire.
- Chaque extension : sur sa fiche wordpress.org, regardez la date de dernière mise à jour et la dernière version de WordPress avec laquelle elle a été testée. Une extension retirée du répertoire ou sans mise à jour depuis des années est à remplacer, pas à mettre à jour.
- Les extensions payantes : sans licence active, beaucoup ne se mettent plus à jour depuis le tableau de bord. Notez lesquelles sont concernées.
- Le thème : s'il a été modifié directement, sans « thème enfant » (une couche séparée qui garde vos personnalisations), sa mise à jour effacera ces modifications.
Dans quel ordre mettre à jour sans tout casser ?
- Sauvegarder les fichiers et la base de données, et vérifier que la sauvegarde se restaure. Une sauvegarde jamais testée n'est pas une garantie.
- Créer une copie de test du site, sur un sous-domaine protégé ou chez l'hébergeur s'il le propose. Toutes les étapes suivantes se font d'abord sur cette copie. La CNIL recommande d'ailleurs de tester un site avant toute mise en production d'une nouvelle version logicielle⁷.
- Supprimer ce qui ne sert plus : extensions désactivées, thèmes inutilisés. Moins il y a de composants, moins il y a de failles possibles, rappelle aussi la CNIL⁷.
- Mettre à jour les extensions et le thème, une par une ou par petits groupes, en vérifiant les pages clés : accueil, formulaire de devis, pages de services.
- Mettre à jour WordPress vers la dernière version.
- Passer à PHP 8.3 ou plus, depuis l'espace client de l'hébergeur, puis tout revérifier, formulaire compris : envoyez-vous une vraie demande.
- Reproduire sur le site en ligne, à un moment calme, avec une nouvelle sauvegarde juste avant.
- Ne plus laisser dériver : depuis WordPress 5.5, les extensions et les thèmes peuvent se mettre à jour automatiquement, au cas par cas, et WordPress envoie un e-mail après chaque tentative⁶. La documentation conseille de s'assurer avant de pouvoir revenir en arrière grâce à des sauvegardes automatiques⁶.
Remettre à niveau ou refaire le site : comment trancher ?
| Ce que vous constatez | Plutôt remettre à niveau | Plutôt refaire |
|---|---|---|
| Extensions | Toujours maintenues, ou faciles à remplacer | Plusieurs extensions clés abandonnées, sans équivalent simple |
| Thème | Thème du marché à jour, ou thème enfant propre | Thème abandonné ou modifié à la main |
| Contenu et apparence | Vous convient encore | Textes et services dépassés, site mal lisible sur téléphone |
| Copie de test | Fonctionne après les mises à jour, avec quelques corrections | Casse à chaque étape, corrections en cascade |
La copie de test sert aussi à décider : si elle passe les mises à jour avec peu d'ajustements, la remise à niveau est le choix raisonnable. Si vous refaites le site, gardez les mêmes adresses de pages ou prévoyez des redirections, sinon vous perdez une partie de vos visites venues de Google ; notre article refaire son site sans perdre sa place sur Google donne la marche à suivre.
Ce qui dépend de votre cas
Le temps et le coût d'une remise à niveau varient beaucoup : un site de dix pages avec cinq extensions maintenues n'a rien à voir avec un site chargé d'extensions payantes expirées et de code ajouté à la main. Personne ne peut donner un prix sérieux sans avoir regardé le site. Si des données de clients ont pu être exposées pendant la période sans mises à jour, la question devient juridique : parlez-en à votre délégué à la protection des données ou à un avocat, en plus du technicien.
Et chez Prestalgo ?
Nous reprenons des sites et des applications que nous n'avons pas développés. Pour un site WordPress laissé à l'abandon, nous commençons par un état des lieux gratuit : accès, extensions, thème, version de PHP, puis une proposition écrite pour remettre à niveau ou refaire. La refonte et modernisation démarre à 500 € HT, et un contrat de maintenance pour que le site ne dérive plus démarre à 500 € HT par an. Le détail est sur la page Tarifs.
Questions fréquentes
Les mises à jour vont-elles changer l'apparence de notre site ?
En général non, tant que le thème reste le même et n'a pas été modifié à la main. Les écarts viennent surtout des constructeurs de pages et des extensions de mise en forme, dont les nouvelles versions changent parfois des marges ou des blocs : c'est précisément ce que la copie de test permet de repérer avant que vos clients ne le voient.
Faut-il renouveler la licence d'une extension payante expirée ?
Si l'extension est toujours maintenue par son éditeur et qu'elle fait quelque chose d'important sur votre site, oui : c'est souvent la façon la plus simple de recevoir ses correctifs de sécurité. Si l'éditeur ne la met plus à jour, renouveler ne sert à rien, et il vaut mieux la remplacer par une extension maintenue ou par quelques lignes de code.
Que se passe-t-il si nous ne faisons rien ?
Le site peut continuer à s'afficher normalement pendant longtemps, ce qui rend le risque invisible. Mais chaque nouvelle faille publiée dans une de vos extensions reste ouverte, et un jour l'hébergeur retirera les anciennes versions de PHP : le site peut alors s'arrêter du jour au lendemain, au moment que vous n'avez pas choisi.
Faut-il abandonner WordPress pour un autre outil ?
Pas forcément : WordPress reste maintenu et sûr quand il est entretenu. Changer d'outil se justifie si personne ne pourra s'occuper des mises à jour, ou si vos besoins ont changé ; notre comparatif WordPress, Wix, Shopify ou sur mesure aide à choisir.
Qui doit faire les mises à jour : nous, l'hébergeur ou un prestataire ?
L'hébergeur fournit le serveur et, souvent, le choix de la version de PHP, mais il ne met pas à jour vos extensions ni votre thème, sauf offre spécifique écrite dans votre contrat. C'est donc à vous, ou à un prestataire chargé de la maintenance, de le faire, avec un engagement écrit sur la fréquence et sur ce qui se passe en cas de panne.
Sources
- WordPress, « Hardening WordPress », Advanced Administration Handbook, developer.wordpress.org, consulté le 11 novembre 2026 : developer.wordpress.org
- WordPress, « Releases », page des versions publiées, wordpress.org, consulté le 11 novembre 2026 : wordpress.org
- Patchstack (éditeur d'un service de sécurité pour WordPress), « State of WordPress Security in 2026 », mis à jour le 25 février 2026, consulté le 11 novembre 2026 : patchstack.com
- The PHP Group, « Supported Versions », php.net, consulté le 11 novembre 2026 : php.net
- WordPress, « Requirements », wordpress.org, consulté le 11 novembre 2026 : wordpress.org
- Jb Audras, « Plugin and themes auto-updates », documentation WordPress, publié le 24 juillet 2020, mis à jour le 13 janvier 2023, consulté le 11 novembre 2026 : wordpress.org
- CNIL, « Sécurité : Sécuriser les sites web », guide de la sécurité des données personnelles, consulté le 11 novembre 2026 : cnil.fr
Alexandre Gougeon, fondateur de Prestalgo, développeur full stack depuis 2015. Prestalgo a construit les applications de Youngs Job et de Groume, une partie de celle de SAUVLife, et les fait tourner au quotidien.