La maintenance WordPress est souvent oubliée dans le budget de lancement d’une entreprise. Une fois le site créé et mis en ligne, il peut être tentant de le considérer comme terminé. Pourtant, WordPress repose sur un cœur, un thème et des extensions qui évoluent régulièrement et nécessitent des mises à jour, des sauvegardes et une surveillance.
Prévoir dès le départ qui assure la maintenance du site, où sont stockées les sauvegardes et quel budget y consacrer permet de réduire les risques de panne, de piratage ou de perte de données. La maintenance doit donc être anticipée dès la création du site, et non uniquement lorsqu’un problème survient.
- WordPress équipe 58,2 % des sites dont le CMS est identifié (W3Techs, novembre 2026) : c’est aussi l’une des cibles les plus surveillées par les attaquants.
- En 2025, 91 % des nouvelles failles WordPress concernaient les extensions, contre seulement 6 failles identifiées dans le cœur de WordPress (Patchstack).
- Environ la moitié des failles à fort impact sont exploitées en moins de 24 heures (Patchstack) : repousser une mise à jour de plusieurs semaines peut donc exposer inutilement votre site.
- Une sauvegarde stockée sur le même serveur que votre site ne vous protège pas suffisamment contre un piratage, une panne serveur ou un incident chez votre hébergeur.
- La maintenance WordPress doit être considérée comme une charge récurrente, au même titre que l’hébergement, le nom de domaine ou certains outils professionnels.
Pourquoi un site WordPress ne s’arrête pas à sa mise en ligne
WordPress n’est pas un logiciel figé. Selon W3Techs, il fait tourner 58,2 % des sites web dont le système de gestion de contenu est connu, d’après le relevé du 4 novembre 2026. Cette position dominante a un revers : un défaut découvert dans une extension répandue concerne un très grand nombre de sites à la fois, ce qui rend son exploitation automatisée rentable pour un attaquant.
Le rapport annuel de Patchstack sur l’année 2025 donne l’ordre de grandeur. Il recense 11 334 nouvelles vulnérabilités dans l’écosystème WordPress, soit 42 % de plus qu’en 2024. Le cœur de WordPress n’en compte que six, toutes de faible priorité. Les extensions en concentrent 91 % et les thèmes 9 %. Le risque se trouve donc dans ce que l’on ajoute au site pour le formulaire de contact, la prise de rendez-vous ou la boutique, pas dans WordPress lui-même.
Deux autres données du même rapport changent la manière d’organiser la maintenance. D’une part, 46 % des failles n’avaient reçu aucun correctif de l’éditeur au moment de leur divulgation publique : mettre à jour ne suffit pas toujours, il faut parfois remplacer ou désactiver une extension. D’autre part, pour les failles les plus massivement attaquées, le délai médian pondéré avant la première exploitation est de cinq heures, et environ la moitié des failles à fort impact sont exploitées dans les 24 heures. Une vérification mensuelle laisse donc des semaines d’exposition sur une faille connue.
Ce qu’il faut prévoir après la mise en ligne
Le tableau ci-dessous reprend chaque tâche avec une fréquence raisonnable pour un site de TPE et ce qu’elle demande si l’on s’en occupe soi-même.
La sauvegarde hors serveur mérite un point à part. Beaucoup d’extensions de sauvegarde enregistrent par défaut leurs archives dans le dossier du site. Si le site est compromis ou si l’hébergement est suspendu, ces archives disparaissent avec lui. Une copie sur un espace indépendant, testée au moins une fois par une vraie restauration, est la seule sauvegarde qui protège.
Ces tâches peuvent être regroupées dans un contrat de maintenance de site WordPress, qui fixe la fréquence des mises à jour, le lieu de stockage des sauvegardes et le délai d’intervention en cas de panne. Que l’on signe un tel contrat ou non, ce sont ces trois points qu’il faut avoir tranchés avant la mise en ligne, et non après le premier incident.
Le faire soi-même ou le confier
Le choix ne dépend pas d’abord des compétences techniques, mais de la place du site dans l’activité. Prenons un consultant indépendant dont le site sert surtout de carte de visite, avec quatre pages et un formulaire de contact. Il peut tenir lui-même une vérification hebdomadaire, à condition d’activer une sauvegarde externe et de garder peu d’extensions.
La situation change pour une créatrice qui vend en ligne ou prend des réservations par son site. Une mise à jour d’extension qui casse le module de paiement un vendredi soir se traduit directement en ventes perdues, et le diagnostic demande de savoir revenir à la version précédente sans abîmer la base de données. Dans ce cas, le temps passé à apprendre et la dépendance à une seule personne pèsent plus lourd que le coût d’un prestataire.
Trois questions aident à trancher :
- Combien de demandes ou de ventes le site génère-t-il chaque semaine, et que coûte une journée d’arrêt ?
- Qui sait restaurer une sauvegarde aujourd’hui, et l’a déjà fait au moins une fois ?
- Qui est prévenu, et sous quel délai, quand une faille touche une extension installée sur le site ?
Si l’une de ces réponses est « personne », la maintenance n’est pas organisée, quel que soit le mode choisi.
Intégrer la maintenance au budget de lancement
Dans un prévisionnel, le site apparaît souvent comme une dépense de création unique. La maintenance relève pourtant des charges externes récurrentes, au même titre que l’hébergement, le nom de domaine et les abonnements logiciels. L’inscrire en mensuel dès la première année évite qu’elle saute au premier arbitrage de trésorerie.
Pour la chiffrer, trois éléments suffisent : le nombre d’extensions installées, la présence ou non d’une boutique ou d’un espace client, et le niveau d’urgence acceptable en cas de panne. Un site vitrine sobre et une boutique en ligne n’appellent pas la même fréquence de sauvegarde ni le même délai d’intervention. Demander au créateur du site ce qui est inclus après la livraison permet de comparer les devis sur une même base.
Enfin, le choix des extensions à la création est la première décision de maintenance : chacune engage des mises à jour pour toute la vie du site.
Questions fréquentes
Les mises à jour automatiques de WordPress suffisent-elles ?
Une mise à jour automatique ne remplace toutefois pas la surveillance du site : une nouvelle version peut provoquer une incompatibilité ou casser une fonctionnalité sans que vous le remarquiez immédiatement.
À quelle fréquence sauvegarder le site WordPress d’une entreprise ?
En revanche, un site qui reçoit des commandes, des réservations ou des demandes clients devrait être sauvegardé quotidiennement, voire plus fréquemment pour une activité importante.
Dans tous les cas, au moins une copie de la sauvegarde doit être conservée hors du serveur principal.
Que faire si le site est piraté avant tout contrat de maintenance ?
Il faut ensuite identifier et corriger la cause de l’intrusion : extension vulnérable, thème compromis, mot de passe piraté ou fichier infecté.
Une sauvegarde saine antérieure à l’attaque peut ensuite être restaurée, à condition de corriger la faille d’origine afin d’éviter une nouvelle infection.
