Mise à jour WordPress : cœur, extensions, thèmes et PHP, une méthode sans casse

Reporter une mise à jour WordPress de semaine en semaine par crainte de casser le site est un réflexe courant, et c’est précisément ainsi qu’une faille publiquement connue reste exploitable pendant des mois. Le cœur, les extensions, les thèmes et la version de PHP suivent chacun leur calendrier, et chaque retard agrandit la porte d’entrée.

L’agence Référenceur met en place pour les PME, commerces et ASBL belges des mises à jour planifiées, testées et consignées, et prend le relais lorsqu’un site WordPress infecté doit être nettoyé avant toute remise à niveau.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse gratuite avec notre outil ci-dessous.

Ce guide appartient à notre guide de la sécurité WordPress. Il distingue ce que WordPress fait tout seul, ce qui reste sous votre responsabilité et la manière de procéder sans mettre votre activité en danger.

Ce qui se met à jour automatiquement, et ce qui attend votre feu vert

Selon la documentation de WordPress, les versions mineures du cœur (maintenance et sécurité) s’installent automatiquement par défaut, tout comme les fichiers de traduction. Depuis WordPress 5.6, les nouvelles installations reçoivent aussi les versions majeures ; un site plus ancien conserve en revanche son réglage d’origine tant que personne ne le modifie.

Pour les extensions et les thèmes, c’est vous qui décidez. D’après la documentation sur les mises à jour automatiques, l’administrateur peut, depuis WordPress 5.5, les activer extension par extension et thème par thème. Elles s’exécutent par défaut deux fois par jour, et WordPress envoie un e-mail en cas de réussite ou d’échec.

Composant	Comportement habituel	Votre rôle
Cœur, versions mineures	Installées automatiquement	Vérifier qu’aucune constante ni l’hébergeur ne les bloque
Cœur, versions majeures	Automatiques sur les installations récentes, pas toujours sur les anciennes	Contrôler le réglage et prévoir sauvegarde et test
Extensions et thèmes du répertoire officiel	Mise à jour automatique à activer au cas par cas	Choisir ce qui peut être automatisé, surveiller le reste
Extension multilingue ou de boutique	Dépend de l’éditeur et souvent d’une licence	Tester d’abord : traductions FR, NL, DE et paiements en dépendent
Version de PHP	Gérée par l’hébergement, jamais par WordPress	Demander la migration vers une branche maintenue

La constante WP_AUTO_UPDATE_CORE placée dans wp-config.php peut changer ce comportement. Ouvrez Tableau de bord > Mises à jour pour voir ce qui est réellement actif sur votre installation.

PHP, le maillon que l’on oublie

La version de PHP dépend de votre hébergeur, pas de WordPress. D’après la page des versions supportées de php.net, fin octobre 2026, les branches 8.2 à 8.5 sont encore maintenues. La branche 8.2 ne reçoit plus que des correctifs de sécurité, jusqu’au 31 décembre 2026 ; la 8.3 en reçoit jusqu’au 31 décembre 2027.

WordPress.org recommande pour sa part PHP 8.3 ou plus récent, avec MariaDB 10.11 ou MySQL 8.0 au minimum. Un serveur resté sur une branche abandonnée ne reçoit plus de correctifs, même si vos extensions sont parfaitement à jour.

Outils > Santé du site affiche votre version actuelle. Avant de demander la migration, testez le site en préproduction : une extension ancienne peut provoquer des erreurs. Notre article sur la sécurisation de WordPress par la version de PHP détaille la démarche.

Mettre à jour extensions WordPress sans risque : la marche à suivre

Pour un site qui prend des réservations, vend en ligne ou reçoit des demandes de devis, une intervention se prépare. Cette séquence limite les risques sans alourdir le travail.

1. Copier fichiers et base de données, avec une archive hors serveur, selon notre guide de la sauvegarde WordPress.
2. Lire le journal des modifications des extensions sensibles : boutique, paiement, formulaires, constructeur de pages, multilingue.
3. Appliquer en préproduction d’abord, sur une copie non indexée.
4. Tester les parcours clés dans chaque langue : formulaires, panier, paiement, espace membres, affichage mobile.
5. Passer en production à une heure creuse, puis refaire les mêmes vérifications.
6. Noter les versions installées et les incidents dans un journal de maintenance.

wp plugin list --update=available
wp plugin update --all --dry-run
wp theme update --all
wp core update

Avec WP-CLI, la première commande liste les extensions en attente et l’option --dry-run montre ce qui changerait sans rien appliquer. Sans accès en ligne de commande, le tableau de bord permet les mêmes opérations. L’essentiel est de mettre à jour extensions WordPress et thèmes de façon régulière, pas une fois par an.

Réagir à une incompatibilité

Si une mise à jour déclenche une erreur fatale, WordPress active un mode de récupération : un e-mail contenant un lien de connexion spécial part vers l’adresse de l’administrateur, ce qui permet de désactiver l’extension en cause. Vérifiez que cette adresse est toujours lue.

Sans accès au tableau de bord, renommer le dossier de l’extension par SFTP la désactive. Si le problème est plus large, restaurez la copie faite juste avant et signalez le conflit à l’éditeur. Ne figez pas durablement une extension sur une vieille version : le prochain correctif de sécurité ne vous atteindrait pas.

Une extension abandonnée doit être remplacée. Le répertoire officiel signale celles qui n’ont pas été testées avec les dernières versions majeures ; notre page sur les extensions WordPress vulnérables explique comment les repérer.

Rythme, veille et partage des rôles

Un correctif de sécurité s’applique au plus vite ; les évolutions fonctionnelles peuvent suivre un calendrier hebdomadaire ou mensuel selon votre activité. Pour la veille, le Centre pour la Cybersécurité Belgique (CCB) publie sur son site des avis de sécurité, et son initiative Safeonweb diffuse des conseils destinés aux entreprises.

L’important est qu’une personne soit clairement responsable : vous, votre agence ou votre hébergeur infogéré. Écrivez qui applique, qui teste, qui garde les copies et qui est prévenu en cas de faille critique. Faute de responsable désigné, chacun croit que l’autre s’en charge.

Si votre site présente déjà des signes de piratage, ne lancez pas une mise à jour WordPress globale en premier : une mise à jour ne supprime pas une porte dérobée cachée dans les médias ou la base. Le nettoyage passe avant, puis le durcissement de WordPress.

Une maintenance pilotée en visioconférence

Référenceur n’a pas de bureau dans le Brabant wallon ni à Bruxelles, et c’est un atout : le suivi se fait en visioconférence, au moment qui vous arrange. Un atelier de cadrage fait l’inventaire des extensions, des thèmes, de la version de PHP et des copies.

Les premières interventions se font en partage d’écran, en préproduction puis en production, pour que vous compreniez chaque étape. Une formation enregistrée reste à votre équipe, et un point mensuel passe en revue le journal de maintenance.

Nous travaillons ainsi avec des structures du Brabant wallon comme de toute la Wallonie et de Bruxelles. Une analyse gratuite de sécurité est également proposée sur cette page pour repérer les composants en retard.

Mise à jour WordPress : questions fréquentes

Puis-je automatiser toutes les extensions ?

Pour des extensions simples et bien suivies, oui, à condition d’avoir des sauvegardes quotidiennes et une surveillance du site. Pour une boutique, un module de paiement, un constructeur de pages ou une extension multilingue, une mise à jour WordPress testée en préproduction reste plus prudente. Les versions mineures du cœur, elles, devraient rester automatiques.

Une mise à jour peut-elle casser mon site multilingue ?

Oui, surtout si l’extension de traduction, le thème ou le constructeur de pages évoluent en même temps. Une version linguistique peut perdre ses correspondances ou afficher des textes non traduits. D’où le test en préproduction, dans chaque langue, avant le passage en production, et une copie complète faite juste avant pour revenir en arrière si nécessaire.

Où voir la version de PHP de mon site ?

Dans Outils > Santé du site, l’onglet d’informations affiche la version de PHP et celle de la base de données. Comparez-la avec la page des versions supportées de php.net. Si votre branche n’est plus maintenue, demandez à votre hébergeur une migration, après avoir testé le site en préproduction sur la nouvelle version.

Faut-il mettre à jour extensions WordPress désactivées ?

Mieux vaut les supprimer. Une extension désactivée reste sur le serveur et ses fichiers peuvent être exploités si une faille les touche. Plutôt que de mettre à jour extensions WordPress oubliées, faites le tri : moins de code installé signifie moins de mises à jour à suivre et moins de risques à surveiller.

Pourquoi éviter les extensions « nulled » ?

Ces copies piratées d’extensions payantes ne reçoivent pas les correctifs officiels et contiennent parfois du code malveillant dès l’installation. Elles sont aussi une cause fréquente de réinfection après un nettoyage. Remplacez-les par la version officielle avec une licence active, ou par une alternative maintenue du répertoire WordPress.org.

Qui doit s’occuper des mises à jour : l’hébergeur ou l’agence ?

Tout dépend du contrat. Un hébergement classique gère le serveur et parfois PHP, rarement les extensions. Une offre infogérée ou un contrat de maintenance peut couvrir la mise à jour WordPress complète. Mettez par écrit qui applique, qui teste et qui conserve les copies, pour qu’aucune tâche ne reste orpheline.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité gratuite de votre site WordPress :

Les mises à jour en attente s’accumulent sur votre site ? Réservez un appel visio : nous passons en revue avec vous les extensions, les thèmes et la version de PHP, puis nous établissons une procédure de maintenance adaptée à votre activité.