Maintenance d’un site WordPress : ce qu’il faut faire chaque mois

La maintenance d’un site WordPress tient en une routine mensuelle simple : sauvegarder (et vérifier que la sauvegarde se restaure), mettre à jour WordPress, le thème et les extensions, contrôler la sécurité, tester les formulaires, chasser les liens cassés, surveiller la vitesse et lire la Search Console. Une à deux sessions par mois suffisent pour la plupart des sites vitrines, à condition de suivre toujours la même liste.

Je fais du SEO depuis 2010 et je construis des sites WordPress pour des PME. Le scénario que je rencontre le plus souvent n’est pas le piratage spectaculaire, c’est le site oublié : extensions jamais mises à jour, formulaire de contact en panne depuis des semaines, sauvegarde qui n’a jamais été testée. Voici la checklist que j’applique chaque mois, et de quoi décider si vous la faites vous-même ou si vous la déléguez.

Pourquoi la maintenance d’un site WordPress ne peut pas attendre

WordPress est un logiciel, pas une plaquette imprimée. Son cœur, votre thème et chaque extension évoluent en permanence, notamment pour corriger des failles de sécurité.

Le rapport annuel de Patchstack, société spécialisée dans la sécurité WordPress (« State of WordPress Security in 2026 »), donne une idée de l’enjeu : 11 334 nouvelles vulnérabilités ont été recensées dans l’écosystème WordPress en 2025, dont 91 % dans des extensions et 9 % dans des thèmes. Le cœur de WordPress n’en comptait que 6, toutes jugées peu prioritaires. Le même rapport indique que 46 % de ces failles n’avaient pas encore de correctif au moment de leur publication.

Autrement dit, le risque vient surtout des extensions que vous avez ajoutées, et il évolue chaque semaine. Un site qu’on ne touche plus pendant un an accumule des failles connues, donc faciles à exploiter.

La maintenance a aussi un intérêt commercial direct : un site lent, un formulaire cassé ou une page en erreur font perdre des demandes, même quand le référencement est bon.

Étape 1 : une sauvegarde complète, et testée

Avant toute intervention, je fais une sauvegarde. La documentation officielle de WordPress le recommande d’ailleurs avant chaque mise à jour.

• Sauvegardez les fichiers et la base de données, pas seulement l’un des deux. Sans la base, vous perdez tous vos textes.
• Stockez une copie hors du serveur (stockage en ligne, autre hébergeur). Si le serveur tombe ou est piraté, une sauvegarde rangée au même endroit ne sert à rien.
• Automatisez avec votre hébergeur ou une extension de sauvegarde, à une fréquence adaptée au rythme de vos modifications.
• Testez la restauration de temps en temps sur un site de test. Une sauvegarde qu’on n’a jamais restaurée est une hypothèse, pas une garantie.

Étape 2 : les mises à jour de WordPress, du thème et des extensions

Depuis WordPress 3.7, les versions mineures du cœur (maintenance et sécurité) s’installent automatiquement sur la plupart des sites, selon la documentation officielle. Depuis WordPress 5.5, vous pouvez aussi activer la mise à jour automatique extension par extension et thème par thème, depuis l’écran Extensions ou Apparence.

Ma méthode chaque mois :

• Lisez la liste des mises à jour disponibles dans le tableau de bord, et repérez les versions majeures (changement du premier ou du deuxième chiffre), plus susceptibles de casser quelque chose.
• Mettez à jour d’abord sur un site de test quand votre hébergeur le propose, surtout pour une boutique WooCommerce ou un site avec beaucoup d’extensions.
• Une extension à la fois pour les mises à jour importantes : si le site casse, vous savez laquelle est en cause.
• Supprimez les extensions et thèmes inutilisés. Désactivée, une extension reste présente sur le serveur ; supprimée, elle ne présente plus de risque.
• Vérifiez la version de PHP chez votre hébergeur. WordPress.org recommande aujourd’hui PHP 8.3 ou plus récent et précise que les versions plus anciennes, en fin de vie, peuvent exposer le site à des failles.

Activer toutes les mises à jour automatiques sans surveillance n’est pas idéal non plus : la plupart du temps tout se passe bien, mais le jour où une mise à jour casse la mise en page, personne ne s’en rend compte. Automatique ou non, il faut un passage humain.

Étape 3 : la sécurité et les accès

• Faites le tour des comptes utilisateurs : supprimez ceux des anciens prestataires et des salariés partis, et donnez à chacun le rôle minimal nécessaire (un rédacteur n’a pas besoin d’être administrateur).
• Imposez des mots de passe forts et la double authentification pour les administrateurs.
• Lisez les alertes de votre extension de sécurité ou de votre hébergeur : tentatives de connexion, fichiers modifiés, extensions vulnérables signalées.
• Contrôlez le certificat HTTPS et la date de renouvellement du nom de domaine. Un domaine expiré, c’est un site qui disparaît du jour au lendemain.

Étape 4 : formulaires, liens cassés et contenus

C’est la partie qu’on oublie le plus, et pourtant c’est celle qui touche directement vos demandes de devis.

• Envoyez-vous un message test par chaque formulaire du site et vérifiez qu’il arrive bien, sans finir en courrier indésirable.
• Testez le téléphone cliquable et les boutons de prise de rendez-vous depuis un smartphone.
• Cherchez les liens cassés avec un outil de crawl (Screaming Frog dans sa version gratuite, par exemple) ou dans le rapport d’indexation de la Search Console.
• Relisez les informations qui changent : horaires, tarifs, coordonnées, mentions légales, équipe.
• Videz les commentaires indésirables si les commentaires sont ouverts.

Étape 5 : la vitesse et la Search Console

Un site WordPress ralentit souvent avec le temps : nouvelles extensions, images trop lourdes, base de données qui grossit. Chaque mois, je regarde deux choses.

• Les signaux Web essentiels (Core Web Vitals) dans la Search Console ou PageSpeed Insights. Google, sur web.dev, considère une page comme bonne quand l’affichage du contenu principal (LCP) se fait en 2,5 secondes ou moins, la réactivité (INP) en 200 millisecondes ou moins et la stabilité visuelle (CLS) à 0,1 ou moins, mesurés sur 75 % des visites.
• Les rapports de la Search Console : indexation des pages, problèmes de sécurité, actions manuelles et évolution des clics. Une chute brutale ou une page importante soudain exclue de l’index se repère ici avant de se voir dans le chiffre d’affaires.

Si votre score se dégrade, mon guide PageSpeed 90+ sur WordPress détaille les réglages qui font vraiment la différence.

La checklist de maintenance WordPress à recopier

Voici la version courte, à garder sous la main :

• Sauvegarde complète (fichiers + base de données), copie hors serveur, test de restauration régulier.
• Mises à jour du cœur, du thème et des extensions, après sauvegarde.
• Suppression des extensions et thèmes inutilisés.
• Version de PHP à jour chez l’hébergeur.
• Revue des comptes utilisateurs et des alertes de sécurité.
• Certificat HTTPS et nom de domaine valides.
• Test de chaque formulaire et du téléphone cliquable.
• Liens cassés et informations pratiques à jour.
• Signaux Web essentiels et PageSpeed.
• Rapports de la Search Console : indexation, sécurité, clics.

Faire soi-même ou déléguer la maintenance ?

Vous pouvez tout à fait gérer cette routine vous-même si votre site est simple et que vous êtes à l’aise avec le tableau de bord. Pour fixer les idées, prenons une hypothèse : un site vitrine d’une quinzaine de pages, une dizaine d’extensions, aucune boutique. Une fois la méthode rodée, comptez une à deux heures par mois, un peu plus quand une mise à jour pose problème.

Déléguer devient intéressant dans trois cas :

• Le site rapporte des contacts ou des ventes chaque semaine : une panne non détectée coûte plus cher que la maintenance.
• Personne en interne n’a le temps, ou la personne qui s’en occupait est partie.
• Le site est complexe : boutique en ligne, espace client, nombreuses extensions, développements sur mesure.

Le vrai risque n’est pas de choisir l’une ou l’autre option, c’est de ne rien faire. Si vous déléguez, demandez un compte rendu mensuel : mises à jour faites, sauvegardes vérifiées, anomalies trouvées.

C’est la logique que j’applique dans mes prestations de création et de suivi de sites WordPress : un site pensé pour être simple à maintenir, avec peu d’extensions, des sauvegardes hors serveur et un suivi de la Search Console. Et si vous voulez savoir où en est votre site aujourd’hui, je vous propose un diagnostic gratuit sous 24h.

Questions fréquentes sur la maintenance WordPress

Les mises à jour automatiques suffisent-elles ?

Elles réduisent le risque, mais elles ne remplacent pas un contrôle humain. Elles ne testent ni vos formulaires, ni votre affichage, ni vos sauvegardes, et une mise à jour qui casse la mise en page peut passer inaperçue pendant des semaines.

Que faire si une mise à jour casse mon site ?

Restaurez la sauvegarde faite juste avant, ou désactivez l’extension en cause. Si vous n’avez plus accès au tableau de bord, renommer le dossier de l’extension par FTP ou depuis le gestionnaire de fichiers de l’hébergeur suffit généralement à la désactiver.

Mon hébergeur fait des sauvegardes, est-ce suffisant ?

C’est une bonne base, mais vérifiez leur fréquence, leur durée de conservation et la façon de les restaurer. Gardez aussi une copie ailleurs : si vous changez d’hébergeur ou si le compte est bloqué, vous ne dépendez pas de lui.

La maintenance a-t-elle un effet sur le référencement ?

Indirectement, oui. Un site rapide, sans erreurs, sans pages piratées et sans liens cassés est plus facile à explorer pour Google et plus agréable pour vos visiteurs. La Search Console vous alerte aussi des problèmes de sécurité qui peuvent faire afficher un avertissement dans les résultats.

À lire aussi : PageSpeed 90+ sur WordPress : passer de 40 à 95 sans refaire son site · Mon site est en ligne mais invisible sur Google