Maintenance d’un site WordPress : ce qu’elle doit couvrir

La maintenance d’un site WordPress regroupe les travaux qui le gardent à jour, sûr et fonctionnel une fois en ligne : le cœur, les extensions, le thème, la version de PHP, les sauvegardes et la correction des anomalies. WordPress en fait une partie tout seul, pas le reste. Ce guide dit ce qui est automatique, ce qui ne l’est pas, ce qu’une maintenance sérieuse couvre et ce qu’il faut écrire au contrat.

Il s’adresse aux dirigeants, aux responsables marketing et aux DSI dont le site WordPress porte une partie de l’activité : demandes de contact, boutique WooCommerce, espace client, extensions développées sur mesure. Pour ces sites, la maintenance relève souvent de la maintenance applicative plus que du simple entretien.

Qu’est-ce que la maintenance d’un site WordPress ?

La maintenance d’un site WordPress désigne les travaux qui le gardent en état de marche après sa mise en ligne : appliquer les mises à jour du cœur, des extensions et du thème, suivre les versions de PHP et de la base de données, sauvegarder, surveiller et corriger ce qui ne fonctionne plus. Elle ne change pas ce que fait le site ; ses évolutions se traitent à part.

Elle recouvre les familles classiques de la maintenance : le préventif (appliquer une mise à jour avant qu’une faille serve), l’adaptatif (suivre une nouvelle version de PHP), le correctif (réparer ce qui casse) et, souvent négocié à part, l’évolutif. Notre article sur la maintenance évolutive trace les frontières entre les quatre.

Pourquoi un site WordPress a-t-il besoin d’une maintenance suivie ?

Un site WordPress demande une maintenance suivie parce que seule sa dernière version est officiellement prise en charge et que la plupart des failles viennent des extensions. La page sécurité de WordPress.org l’écrit sans détour : « only the latest version of WordPress is officially supported ». Les correctifs reportés sur des versions plus anciennes le sont à titre de courtoisie, sans engagement.

Le cœur n’est pas le point faible. Selon le rapport de Patchstack sur l’état de la sécurité de WordPress en 2026, 11 334 nouvelles failles ont été recensées dans l’écosystème WordPress en 2025 : 91 % dans des extensions, 9 % dans des thèmes, et seulement 6 dans le cœur. Le même rapport relève que 46 % de ces failles n’avaient pas de correctif de leur développeur au moment où elles ont été rendues publiques.

Une faille sans correctif ne se règle pas en cliquant sur « mettre à jour » : il faut désactiver l’extension, la remplacer ou corriger le code. C’est ce qui sépare une maintenance suivie de mises à jour faites de temps en temps.

L’environnement compte aussi. WordPress recommande PHP 8.3 ou plus, et MySQL 8.0 ou plus ou MariaDB 10.11 ou plus. Il fonctionne encore avec PHP 7.4, mais ces versions en fin de vie, prévient WordPress.org, « may expose your site to security vulnerabilities ». Notre article sur la fin du support de PHP 8.2 détaille le calendrier des versions.

Que met à jour WordPress tout seul, et que reste-t-il à faire ?

WordPress applique seul ses mises à jour mineures et de sécurité depuis la version 3.7 ; les extensions et les thèmes demandent une action. La documentation d’administration de WordPress distingue ce qui part par défaut et ce qui ne part pas :

La même documentation demande de sauvegarder avant toute mise à jour et de vérifier que les sauvegardes « are there and usable » : présentes et utilisables. Une sauvegarde que personne n’a jamais restaurée reste une hypothèse.

Que doit couvrir une maintenance WordPress sérieuse ?

Une maintenance WordPress sérieuse tient en sept tâches, faites à un rythme écrit et tracées dans un journal que le client peut lire.

• Les mises à jour testées. Cœur, extensions et thème, appliqués d’abord sur une copie du site (la préproduction), puis en production.
• Les sauvegardes vérifiées. Fichiers et base de données, stockés hors du serveur du site, avec un essai de restauration à intervalle fixe.
• La veille sur les extensions. Sur WordPress.org, une extension fermée affiche « This plugin has been closed and is no longer available for download », et la raison de la fermeture n’apparaît qu’après 60 jours. Une autre signale qu’elle « hasn’t been tested with the latest 3 major releases » de WordPress. Chaque alerte demande une décision : garder, remplacer ou retirer.
• Le suivi de PHP et de la base de données. Les versions en service, leur fin de support, et la compatibilité du site avant chaque changement.
• La surveillance. La disponibilité du site, les erreurs, les formulaires qui n’envoient plus rien.
• La correction des anomalies. Ce qui casse après une mise à jour ou sans raison apparente, classé par gravité (voir notre article sur la maintenance corrective).
• Le compte rendu. Ce qui a été mis à jour, ce qui a été reporté et pourquoi, ce qui attend une décision du client.

Quand un site WordPress relève-t-il de la maintenance applicative ?

Un site WordPress relève de la maintenance applicative dès qu’il contient du code propre à l’entreprise : une boutique WooCommerce reliée à un ERP, un espace client, une extension développée sur mesure, un échange avec un CRM. Mettre à jour ne suffit plus : chaque mise à jour peut casser ce code, et ce code a lui-même ses anomalies et ses évolutions.

Pour un site métier, on raisonne comme pour une application : un état des lieux du code et des extensions, des tests avant chaque mise en production, une file de demandes qualifiées, un suivi de la dette technique. C’est le périmètre de la tierce maintenance applicative. Quand le site a été construit par un prestataire qui n’est plus là, notre méthode de reprise d’application web s’applique aussi à WordPress.

Que vérifier dans un contrat de maintenance WordPress ?

Un contrat de maintenance WordPress se juge à six points écrits, pas à la liste des tâches d’une plaquette.

• Le périmètre. Le cœur, les extensions listées une à une, le thème, le code sur mesure : ce qui n’est pas nommé n’est pas couvert.
• La méthode de mise à jour. Le rythme, le test sur une copie du site, et ce qui se passe quand une mise à jour casse quelque chose.
• Les sauvegardes. Leur fréquence, leur lieu de stockage, leur durée de conservation et l’essai de restauration.
• Les délais par gravité. La prise en charge et la correction, avec la plage horaire pendant laquelle ils courent.
• Le hors forfait. Ce qui relève de l’évolution et se chiffre à part, avant d’être fait. Le choix entre forfait et régie se pose ici aussi.
• La réversibilité. Les accès (hébergement, nom de domaine, administration du site), les sauvegardes et la documentation restent au client et lui sont remis en fin de contrat.

Ces clauses sont détaillées, pour toute application, dans notre guide du contrat de maintenance applicative.

Questions fréquentes

Maintenance WordPress : commencez par l’inventaire

Avant de choisir une formule, faites l’inventaire du site : la version de WordPress et de PHP, la liste des extensions avec leur dernière mise à jour, ce qui a été développé sur mesure, et qui détient les accès. Cet inventaire dit si le site demande un entretien régulier ou une vraie maintenance applicative.

L’équipe iones assure, en nearshore depuis la Tunisie, la maintenance applicative de sites et d’applications en service, WordPress compris, et peut commencer par un audit de l’existant. Vous pouvez aussi nous écrire pour un premier échange.