Comment mettre à jour WordPress sans casser votre site : guide pas à pas pour le cœur, les extensions et le thème

Publié le 10 novembre 2026 · L'équipe mitza.es

De nombreux sites WordPress ne sont pas mis à jour pour une raison compréhensible : la peur qu'en mettant à jour, quelque chose cesse de fonctionner. Le problème, c'est que cette peur coûte cher. Les alertes graves de ces dernières semaines, comme celle du cœur de WordPress 7.1.4, se corrigent par des mises à jour. Ce guide vous donne une méthode pour le faire sereinement et avec un filet de sécurité.

Ce qui se met à jour sur un site WordPress

• Le cœur de WordPress : les versions mineures et de sécurité (par exemple, de la 7.1.3 à la 7.1.4) sont petites et urgentes ; les versions majeures apportent des changements plus importants et demandent davantage de tests.
• Les extensions : la cause la plus fréquente des failles de sécurité, mais aussi des incompatibilités.
• Le thème (et le thème enfant, s'il y en a un).
• PHP et le serveur : ils se mettent à jour chez l'hébergeur, pas depuis WordPress. Si votre version de PHP est ancienne, certaines mises à jour ne seront plus proposées. Vous avez un exemple de l'importance du sujet dans l'alerte PHP2Shell.

Avant de mettre à jour : une checklist de cinq minutes

1. Faites une sauvegarde complète (fichiers et base de données) et vérifiez qu'elle existe et que vous savez où elle se trouve. Une sauvegarde dont vous n'avez jamais testé la restauration est un espoir, pas une sauvegarde. Plus de détails dans la règle 3-2-1.
2. Notez les versions actuelles du cœur, des extensions et du thème, au cas où il faudrait revenir en arrière.
3. Lisez les notes de version des extensions critiques (boutique en ligne, formulaires, constructeurs de pages) pour voir si elles signalent des changements importants.
4. Choisissez le bon moment. De préférence quand il y a peu de trafic, et pas juste avant une campagne. Si vous vendez en ligne, évitez de mettre à jour pendant la semaine du Black Friday : faites-le avant et gardez une marge pour repérer les problèmes.
5. Si le site est critique, utilisez un environnement de test (staging) : une copie du site où tester sans risque. De nombreux hébergeurs en proposent un.

Pas à pas depuis le tableau de bord

1. Allez dans Tableau de bord → Mises à jour. Vous verrez s'il existe une nouvelle version du cœur, ainsi que les listes des extensions et des thèmes en attente.
2. Si la mise à jour du cœur est une mise à jour de sécurité, commencez par elle. Mettez ensuite à jour les extensions et le thème.
3. Mettez à jour les extensions une par une ou par petits groupes, pas toutes d'un coup. Si quelque chose échoue, vous saurez laquelle est en cause.
4. Vérifiez le site après chaque étape importante : page d'accueil, une page intérieure, le formulaire de contact et, s'il y a une boutique, l'ajout d'un produit au panier.
5. Si le tableau de bord vous demande de mettre à jour la base de données après une mise à jour majeure, acceptez et attendez la fin du processus sans fermer l'onglet.

Avec WP-CLI (pour ceux qui ont un accès par terminal)

Si votre hébergeur autorise WP-CLI, ces commandes font le même travail et servent à le vérifier :

• wp core version affiche la version installée.
• wp core update met à jour le cœur.
• wp plugin update --all et wp theme update --all mettent à jour les extensions et les thèmes.
• wp core verify-checksums compare les fichiers du cœur avec les originaux, une vérification utile après une alerte de sécurité.

Après : que vérifier

• Le site se charge bien sur ordinateur et sur mobile, et aucun message d'erreur n'est visible.
• Les formulaires s'envoient et les e-mails arrivent (faites un vrai test).
• S'il y a une boutique : panier, passerelle de paiement et confirmation de commande.
• Vous pouvez accéder au tableau de bord et modifier une page.
• Videz le cache de l'extension et, si vous utilisez un CDN, celui du CDN également.
• Vérifiez qu'il n'y a pas de nouveaux utilisateurs administrateurs que vous ne reconnaissez pas.

Si quelque chose casse

1. Écran blanc ou erreur critique : WordPress peut envoyer à l'administrateur un e-mail contenant un lien vers le « mode de récupération », qui permet de se connecter et de désactiver l'extension ou le thème fautif.
2. Si vous ne pouvez pas accéder au tableau de bord : connectez-vous par SFTP ou via le gestionnaire de fichiers de l'hébergeur et renommez le dossier de l'extension suspecte dans wp-content/plugins. WordPress la désactivera.
3. Si le problème vient du thème : renommer le dossier du thème actif oblige WordPress à utiliser un thème par défaut et vous permet de vous reconnecter.
4. Si vous ne trouvez pas la cause : restaurez la sauvegarde faite avant et recommencez la mise à jour pas à pas, en testant chaque extension.
5. Si le site semble compromis et pas seulement cassé (redirections, pages étranges, nouveaux utilisateurs), suivez le guide que faire si votre site WordPress est piraté.

Mises à jour automatiques : quand les activer

• Cœur : les versions mineures et de sécurité se mettent à jour toutes seules par défaut sur la plupart des installations. Vérifiez quand même qu'elles ont bien été appliquées, comme nous l'expliquons dans l'alerte sur la 7.1.4.
• Extensions et thèmes : la mise à jour automatique est facultative depuis WordPress 5.5. Il est raisonnable de l'activer pour des extensions simples et très répandues ; pour les extensions critiques (boutique, constructeurs de pages, abonnements), il vaut mieux tester d'abord en staging. Depuis WordPress 6.6, si la mise à jour automatique d'une extension provoque une erreur fatale, le système tente de l'annuler.
• Quelle que soit votre décision, vérifiez le site une fois par semaine et mettez en place des alertes en cas de panne.

À quelle fréquence mettre à jour et ce qu'il faut éviter

• Revue hebdomadaire des mises à jour en attente ; celles de sécurité critiques, sous 48 heures.
• Supprimez les extensions et les thèmes que vous n'utilisez pas : les désactiver ne suffit pas. Remplacez les projets abandonnés par des alternatives maintenues.
• Méfiez-vous des extensions et des thèmes « nulled » (copies piratées de versions payantes) : ils contiennent des portes dérobées.
• Si vous n'avez pas fait de mise à jour depuis longtemps, ne sautez pas d'un coup : faites-la en staging et par étapes, car les changements accumulés peuvent être importants.

Pour savoir quels délais sont raisonnables selon la gravité, consultez notre guide pour lire un avis de sécurité.

Questions fréquentes

Puis-je mettre à jour sans faire de sauvegarde si ce n'est que « pour une extension » ?

Nous ne le recommandons pas. Une petite extension peut casser tout le site, et la sauvegarde prend quelques minutes. C'est la mesure qui donne le plus de tranquillité.

Que se passe-t-il si je ne mets pas à jour ?

Chaque version en attente est une vulnérabilité connue et publique que n'importe qui peut tester contre votre site. De plus, l'hébergeur peut cesser de prendre en charge les anciennes versions de PHP, et les nouvelles extensions exigeront des versions récentes.

Vaut-il mieux déléguer la maintenance ?

Si le site fait partie de votre activité et que vous n'avez ni le temps ni l'envie, oui. Vous trouverez le détail de ce que devrait inclure un service de maintenance dans maintenance de site web : ce qu'elle comprend et combien elle coûte.

Comment Mitza peut vous aider

Notre service de maintenance de site web comprend les sauvegardes, les mises à jour avec tests préalables et un contrôle de sécurité. Si vous voulez commencer par savoir dans quel état se trouve votre installation, il y a l'audit de sécurité web, ou vous pouvez nous écrire depuis la page de contact.

À lire aussi : WordPress 7.1.2 et CVE-2026-87902 et wp2shell.