Comment mettre à jour WordPress en toute sécurité : guide pas à pas

De nombreux sites WordPress ne sont pas mis à jour pendant des mois, parce que leur propriétaire craint que tout cesse de fonctionner après un clic sur « Mettre à jour ». Cette crainte est justifiée, mais l’absence de mises à jour est plus dangereuse : des extensions et des thèmes obsolètes sont l’une des voies d’entrée les plus fréquentes des attaquants. D’après le rapport Patchstack pour 2025, 91 % des nouvelles failles de l’écosystème WordPress concernaient des extensions, 9 % des thèmes, et seulement 6 ont été trouvées dans le cœur lui-même.

Je vais vous montrer comment mettre à jour WordPress en toute sécurité, dans un ordre tranquille, avec une sauvegarde et un plan de secours. À la fin, vous trouverez une liste de contrôle de 15 minutes que vous pouvez imprimer et garder près de votre ordinateur.

Pourquoi les mises à jour cassent les sites

WordPress, c’est un cœur, un thème et en général une douzaine d’extensions, écrits par différents auteurs. Chaque mise à jour modifie un élément, et les autres doivent s’entendre avec lui. Les causes de panne les plus fréquentes :

• une extension incompatible avec la nouvelle version du cœur ou de PHP,
• un thème qui écrase des fonctions d’une extension (surtout un ancien thème, acheté il y a quelques années),
• des modifications faites directement dans les fichiers du thème, qui disparaissent après la mise à jour,
• trop de changements à la fois, si bien qu’on ne sait pas ce qui a cassé le site.

Tous ces risques peuvent être limités par une bonne préparation. Commençons par la sauvegarde.

Étape 1 : faire une sauvegarde des fichiers et de la base de données

La sauvegarde d’un site comprend deux choses : les fichiers (thème, extensions, photos de la médiathèque) et la base de données (contenus, réglages, commandes). L’absence de l’une des deux signifie que la restauration échouera.

Où la faire :

1. Chez l’hébergeur. De nombreux hébergeurs font des sauvegardes automatiquement. Vérifiez dans le panneau de contrôle de quel jour date la dernière et comment la restaurer.
2. Avec une extension de sauvegarde. Beaucoup d’extensions enregistrent la copie sur un disque externe dans le cloud. C’est important, car une copie stockée sur le même serveur peut disparaître avec le site.
3. Manuellement. Téléchargez les fichiers par FTP et exportez la base depuis le panneau de l’hébergeur.

Avant une mise à jour importante, faites une sauvegarde toute fraîche, même si l’hébergeur en fait une chaque jour. Et une règle essentielle : une sauvegarde à partir de laquelle personne n’a jamais essayé de restaurer le site n’est qu’un espoir. Vérifiez au moins une fois qu’elle permet bien de reconstituer le site.

Étape 2 : tester sur une copie de test

Une copie de test (en anglais « staging ») est une copie exacte du site à une autre adresse, cachée. Vous la mettez d’abord à jour là-bas, vous vérifiez que tout fonctionne, et vous ne reproduisez les changements sur le site en production qu’ensuite.

Certains hébergeurs proposent cela comme fonction prête à l’emploi dans leur panneau, mais pas toujours dans toutes les formules. Consultez l’offre de votre fournisseur et cherchez le nom « staging », « environnement de test » ou « clonage de site ». Si votre hébergeur ne le propose pas, il existe des extensions qui créent une copie de test dans un sous-dossier.

Pour un site vitrine ordinaire, vous pouvez vous en passer si vous avez une bonne sauvegarde. Pour une boutique, des réservations et des paiements, la copie de test est indispensable : une erreur à la caisse coûte de vraies commandes.

Étape 3 : mettre à jour dans le bon ordre

L’ordre compte. Voici celui que je suis :

1. Les extensions, une par une, pas toutes à la fois.
2. Le thème (et le thème enfant, si vous en utilisez un).
3. Le cœur de WordPress.
4. La version de PHP sur le serveur, si l’hébergeur la relève (nous y reviendrons plus bas).

Après chaque mise à jour, ouvrez la page d’accueil, une autre page et le formulaire de contact. Cela prend une minute, et si quelque chose casse, vous savez exactement quelle modification est en cause. Mettre à jour les extensions une par une est la méthode la plus simple pour traquer les pannes. Si, pour une extension, vous voyez le message « La mise à jour ne fonctionnera pas avec votre version de WordPress », revenez-y après la mise à jour du cœur.

Avant de mettre à jour le cœur, lisez ce que la nouvelle version change. Dans le panneau, sous Tableau de bord → Mises à jour, vous verrez si WordPress exige une version de PHP plus récente et si une extension est signalée comme non testée avec cette version.

Étape 4 : PHP, le coupable silencieux

De nombreuses pannes ne viennent pas de WordPress lui-même, mais d’un changement de version de PHP sur le serveur. Les extensions anciennes peuvent être incompatibles avec un PHP plus récent, et un WordPress plus récent peut exiger un PHP plus récent que celui dont vous disposez. Vous trouverez la version dans le panneau WordPress sous Outils → Santé du site, dans l’onglet « Infos » (section « Serveur »).

Selon wordpress.org, la version actuelle de WordPress (la version 7.1 en octobre 2026) exige au minimum PHP 7.4, et PHP 8.3 ou plus récent est recommandé. Les versions de PHP disponibles chez votre hébergeur se vérifient dans son panneau. J’explique pourquoi un ancien PHP pose problème dans l’article PHP 8.2 et la fin du support : vérifiez votre site. Changez PHP séparément de la mise à jour de WordPress, de préférence sur la copie de test.

Mises à jour automatiques : lesquelles activer, lesquelles non

WordPress installe de lui-même les versions mineures du cœur, c’est-à-dire surtout des correctifs de sécurité. C’est un bon réglage par défaut et je déconseille de le désactiver. Attention aux versions majeures : sur les installations créées à partir de WordPress 5.6 (décembre 2020), elles s’installent elles aussi automatiquement par défaut. Vous pouvez le vérifier sous Tableau de bord → Mises à jour. La mention « Ce site est automatiquement mis à jour avec chaque nouvelle version de WordPress » signifie que les versions majeures s’installent automatiquement, et le lien situé juste en dessous bascule les mises à jour vers les seules versions de maintenance et correctifs de sécurité. Pour les extensions et les thèmes, votre clic est requis par défaut, mais vous pouvez activer les mises à jour automatiques avec le lien « Activer les mises à jour automatiques », séparément pour chaque extension (dans Extensions) et pour le thème (dans Apparence → Thèmes).

Ma règle :

Si l’on doit désactiver complètement les mises à jour du cœur, que ce soit en connaissance de cause et avec un plan de mises à jour manuelles chaque semaine.

Que faire quand le site tombe

Même avec une bonne préparation, une panne peut arriver. D’abord, restez calme et ne cliquez pas au hasard. Plan de secours :

1. Consultez la boîte e-mail de l’administrateur. Lorsqu’une extension ou un thème provoque une erreur critique, WordPress envoie à l’adresse e-mail administrateur (celle de Réglages → Général) un message avec un lien vers le mode de récupération, si le serveur envoie des e-mails. Dans le panneau, ce mode s’appelle « mode de secours » et le lien est valable par défaut pendant 24 heures. Une fois la connexion effectuée par ce lien, l’extension défaillante n’est suspendue que dans votre session ; désactivez-la donc ou mettez-la à jour depuis le panneau. D’ici là, les visiteurs continuent de voir l’erreur.
2. Désactivez l’extension mise à jour en dernier. Si vous ne parvenez pas à accéder au panneau, connectez-vous par FTP ou via le gestionnaire de fichiers et renommez son dossier dans wp-content/plugins, par exemple en ajoutant -desactivee. WordPress cessera de la charger.
3. Activez l’affichage des erreurs. Dans le fichier wp-config.php, vous pouvez enregistrer temporairement les messages dans un journal :

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

Vous trouverez les erreurs dans le fichier wp-content/debug.log. Après la réparation, remettez WP_DEBUG sur false et supprimez le fichier debug.log, car il se trouve par défaut dans un répertoire accessible depuis Internet et peut révéler des détails du site.

4. Restaurez la sauvegarde. Si, au bout de 30 minutes, vous ne savez toujours pas de quoi il s’agit, ne vous acharnez pas. Restaurez la sauvegarde du jour précédant la mise à jour et réessayez sur la copie de test.
5. Notez ce qui s’est passé. Le nom de l’extension et le message d’erreur seront utiles à vous-même ou à la personne qui vous aidera.

Gardez dans votre téléphone le numéro du support de l’hébergeur. Souvent, il peut restaurer une sauvegarde en quelques minutes.

Les extensions abandonnées par leurs auteurs

Le risque le plus important vient des extensions qui n’ont pas reçu de mise à jour depuis des années. Elles ne posent pas toujours problème tout de suite, mais elles ne reçoivent plus de correctifs de sécurité et finissent par ne plus fonctionner avec un PHP récent.

Comment les repérer :

• dans Tableau de bord → Mises à jour, regardez si les extensions en attente de mise à jour ne portent pas la mention « Non testé » quant à la compatibilité avec votre version de WordPress, puis, dans Extensions, cliquez sur « Afficher les détails » et vérifiez qu’il n’y a pas d’avertissement indiquant que l’extension n’a pas été testée avec la version de WordPress que vous utilisez,
• dans le répertoire d’extensions de wordpress.org, vérifiez la date de la dernière mise à jour,
• supprimez les extensions que vous n’utilisez plus. Une extension désactivée reste sur le serveur et peut toujours contenir une faille.

Lorsqu’une extension est importante et que son auteur a disparu, cherchez un remplaçant et faites le changement sur la copie de test. Si tout le site repose sur un thème obsolète et une douzaine de modules abandonnés, il est parfois moins cher de faire une refonte du site que de le rafistoler chaque mois.

Liste de contrôle de 15 minutes avant la mise à jour

Imprimez-la et cochez les points avant chaque mise à jour importante :

1. Sauvegarde complète (fichiers et base) faite aujourd’hui et enregistrée hors du serveur.
2. Je sais comment la restaurer et qui appeler chez l’hébergeur.
3. J’ai vérifié dans Tableau de bord → Mises à jour ce qui va être mis à jour exactement.
4. J’ai vérifié la version de PHP (Outils → Santé du site) et les exigences de la nouvelle version.
5. Pour une boutique et des réservations : mise à jour d’abord sur la copie de test.
6. Les extensions que je n’utilise pas sont désactivées ou supprimées.
7. Mise à jour dans l’ordre : extensions → thème → cœur, une modification à la fois.
8. Après chaque modification, j’ai vérifié : la page d’accueil, une autre page, le formulaire de contact, et dans une boutique l’ajout au panier.
9. À la fin, j’ai fait un test de commande ou de réservation, si j’en propose.
10. La date et la liste des modifications sont consignées dans une note.

Choisissez de préférence un mardi ou un mercredi matin, pas un vendredi après-midi. Si quelque chose casse, vous avez toute une journée ouvrée pour réparer.

Comment vérifier l’état de votre site

Si vous ne savez pas si votre site est déjà négligé, commencez par l’outil gratuit Analyser votre site. En 30 secondes, il vérifie la vitesse, le SEO, la sécurité et d’autres domaines, et le résultat montre ce qu’il faut corriger en priorité. Cela ne remplace pas un examen du panneau WordPress, mais révèle tout de suite les problèmes visibles.

En résumé

Une mise à jour sûre, c’est une sauvegarde, une copie de test là où c’est important, le bon ordre et un plan en cas de panne. La peur de cliquer disparaît quand on sait comment annuler les changements.

Si vous ne souhaitez pas vous en occuper vous-même, je prends en charge les mises à jour dans le cadre de la maintenance technique : sauvegardes, mises à jour et réaction rapide à partir de 149 PLN HT par mois. Vous pouvez aussi m’écrire, et je répondrai sous 24 heures.