Maintenance WordPress : ce qui casse quand on ne fait rien pendant dix-huit mois

Un site WordPress qu’on n’ouvre plus continue de fonctionner. C’est ce qui rend la négligence si facile : rien ne prévient, aucune alerte ne s’allume, le site répond comme au premier jour.

La dégradation suit pourtant un ordre assez régulier. La connaître permet de décider en connaissance de cause — y compris de décider de ne rien faire, mais en sachant ce qu’on accepte.

Mois 1 à 6 — l’écart s’installe

WordPress publie des correctifs de sécurité plusieurs fois par an, les extensions bien plus souvent. Chaque version non appliquée creuse un écart, et cet écart est public : les notes de version décrivent la faille corrigée, ce qui indique aux attaquants exactement quoi chercher sur les sites en retard.

C’est un point contre-intuitif qui mérite d’être compris. Un correctif de sécurité n’est pas seulement une protection pour ceux qui l’appliquent : c’est une carte pour ceux qui l’ignorent. Le délai entre la publication d’un correctif et l’apparition d’attaques automatisées ciblant la faille se compte souvent en jours.

À ce stade, rien n’est visible. Le site fonctionne. Il est simplement devenu identifiable par un balayage automatisé.

Mois 6 à 12 — les premiers symptômes

Ils ont tous un point commun : ils sont invisibles depuis la page d’accueil. On les découvre en cherchant autre chose, ou trop tard.

• Le formulaire de contact cesse d’envoyer. Souvent après un durcissement des règles de messagerie côté hébergeur. Les demandes disparaissent en silence — c’est le symptôme le plus coûteux de toute cette liste, et le plus fréquent.
• Des blocs de l’éditeur s’affichent de travers dans l’administration, une extension n’ayant pas suivi une évolution du cœur. On contourne, on s’habitue, on finit par ne plus mettre le site à jour du tout.
• Les sauvegardes automatiques échouent depuis des mois, et l’alerte part sur une adresse que plus personne ne consulte.
• Les images cessent de s’afficher sur certains navigateurs, un module de conversion s’étant arrêté sans bruit.

Le coût de cette période est difficile à chiffrer, parce qu’il est fait de choses qui n’arrivent pas : des appels qu’on ne reçoit pas, des devis qu’on n’envoie pas.

Mois 12 à 18 — la mise à jour devient risquée

C’est le vrai basculement, et il mérite d’être expliqué en détail parce que c’est lui qui transforme un petit budget en gros budget.

Passé un certain retard, les mises à jour ne s’appliquent plus les unes après les autres. Elles s’enchevêtrent : une extension exige une version de PHP plus récente, qui casse une deuxième extension, dont la version corrigée exige une version de WordPress qu’une troisième extension ne supporte pas. Chaque chemin est bloqué par un autre.

La demi-heure mensuelle devient une intervention de plusieurs jours, avec duplication du site dans un environnement de test, résolution des conflits un par un, remplacement des extensions abandonnées et vérification complète. Le risque de régression est réel et il faut le budgéter.

C’est à ce moment que « il faut tout refaire » commence à sembler raisonnable — non parce que le site est mauvais, mais parce que le rattrapage coûte désormais plus cher que la reconstruction. Beaucoup de refontes vendues sont en réalité des maintenances jamais faites.

Au-delà — la compromission

Un site compromis sert rarement à afficher un drapeau de pirate. Il sert le plus souvent à envoyer du courrier indésirable, à héberger des pages de contrefaçon ou à rediriger discrètement une fraction des visiteurs, à l’insu de son propriétaire. Le code malveillant est conçu pour ne pas se voir : il s’active pour les visiteurs venus des moteurs et reste invisible pour l’administrateur connecté.

Les conséquences visibles arrivent tard, et elles arrivent d’un coup : mise en liste noire du domaine, avertissement rouge dans les résultats de recherche, blocage par l’hébergeur, adresse de messagerie professionnelle qui n’arrive plus à destination.

Le nettoyage se chiffre alors couramment entre 500 € et 2 000 €, sans garantie de retrouver rapidement la réputation du domaine — qui met parfois des mois à se rétablir.

Ce que couvre un suivi correct

1. Mises à jour du cœur, des extensions et du thème, appliquées après vérification, pas en aveugle.
2. Sauvegardes automatiques testées. Une sauvegarde jamais restaurée n’est pas une sauvegarde : c’est un fichier dont on espère qu’il fonctionne.
3. Surveillance de disponibilité, avec alerte en cas d’arrêt — sur une adresse réellement consultée.
4. Contrôle mensuel des formulaires. Le poste le plus rentable, parce que le plus silencieux. Un envoi de test par mois suffit.
5. Suivi des performances, pour repérer les dérives avant qu’elles ne pèsent sur le référencement.
6. Veille sur les extensions abandonnées, pour les remplacer pendant qu’on en a le temps plutôt que dans l’urgence.

Faire soi-même ou déléguer

Faire soi-même est parfaitement possible, à trois conditions : disposer d’une sauvegarde automatique vérifiée, mettre à jour depuis un environnement de test quand la mise à jour est majeure, et tenir un calendrier — une demi-heure le premier lundi du mois, dans l’agenda, comme un rendez-vous.

C’est la troisième condition qui échoue le plus souvent. Non par manque de compétence, mais parce qu’une tâche sans échéance et sans conséquence immédiate se reporte indéfiniment.

Déléguer a un autre intérêt, moins évident : quelqu’un regarde le site tous les mois. La plupart des symptômes de la période 6-12 mois sont repérés par cette simple visite régulière, pas par un outil.

Le calcul honnête

Un suivi mensuel représente quelques dizaines d’euros. Une remise à niveau après dix-huit mois d’abandon demande plusieurs jours de travail. Le nettoyage après compromission coûte davantage, et le trafic perdu entre-temps ne se rattrape pas — les positions reprises par les concurrents ne se rendent pas.

Une architecture headless réduit une partie de cette exposition, l’administration n’étant plus accessible publiquement. Elle ne dispense pas des mises à jour : elle réduit la surface d’attaque, pas la dette technique. Le WordPress de rédaction doit être maintenu comme n’importe quel autre.

Si votre site est déjà à l’abandon

Ne lancez pas les mises à jour à l’aveugle : c’est le meilleur moyen de transformer un site dégradé en site cassé, un vendredi soir.

La marche à suivre est toujours la même. On sauvegarde. On duplique le site dans un environnement de test. On met à jour là, en notant ce qui casse. On évalue le travail réel. Et on décide alors, sur des faits, entre le rattrapage et la refonte — avec un chiffre en face de chaque option.

Le cas particulier des extensions abandonnées

C’est le problème le plus insidieux, parce qu’il ne produit aucun symptôme jusqu’au jour où il en produit beaucoup.

Une extension abandonnée continue de fonctionner. Elle cesse simplement de recevoir des correctifs — y compris de sécurité. Rien ne vous prévient : l’administration n’affiche pas « cette extension n’est plus maintenue », elle affiche seulement qu’aucune mise à jour n’est disponible, ce qui ressemble à une bonne nouvelle.

Deux repères permettent de les détecter. Sur la page de chaque extension, la date de dernière mise à jour : au-delà de douze mois, la vigilance s’impose ; au-delà de vingt-quatre, il faut planifier un remplacement. Et la mention de compatibilité avec les versions récentes de WordPress, qui cesse d’être mise à jour lorsque l’auteur décroche.

Le remplacement se fait toujours mieux à froid, avec le temps de choisir et de migrer les données, qu’au moment où une faille est publiée et où il faut désinstaller dans l’urgence.

Une vérification mensuelle en dix minutes

Pour ceux qui gèrent eux-mêmes, voici ce qui tient en une pause café et couvre l’essentiel.

1. Envoyer un message de test depuis le formulaire de contact, et vérifier qu’il arrive. Deux minutes, et c’est le point le plus rentable de la liste.
2. Vérifier que la dernière sauvegarde date de moins d’une semaine et qu’elle n’est pas vide. Un fichier de trois kilo-octets n’est pas une sauvegarde de site.
3. Appliquer les mises à jour disponibles, extensions d’abord, cœur ensuite, en rechargeant la page d’accueil après chaque lot.
4. Ouvrir le site en navigation privée sur un téléphone et parcourir trois pages. C’est ainsi qu’on repère les images cassées et les mises en page abîmées, jamais depuis l’administration.
5. Jeter un œil à la Search Console : une alerte de sécurité ou une hausse d’erreurs se voit en dix secondes sur la page d’accueil du rapport.

Une fois par an, on y ajoute le nettoyage de la base de données et la revue des extensions abandonnées.

Ce qu’il faut retenir

La maintenance n’est pas une assurance contre un risque improbable. C’est l’entretien d’un outil qui travaille pour vous tous les jours, et dont les pannes sont silencieuses par nature.

Le formulaire qui n’envoie plus depuis quatre mois ne s’annonce pas. Il se découvre le jour où l’on se demande pourquoi le téléphone sonne moins — et à ce moment, ce ne sont plus des mises à jour qu’on a perdues, ce sont des clients.