---
title: "Maintenance WordPress : tâches et liste de contrôle"
description: "Maintenance WordPress expliquée : mises à jour, sauvegardes, sécurité et surveillance, avec une liste de contrôle hebdomadaire, mensuelle et trimestrielle."
url: "https://www.noordev.com/fr/blogue/maintenance-wordpress/"
lang: "fr-CA"
---

[Blogue](https://www.noordev.com/fr/blogue/)

# Maintenance WordPress : tâches et liste de contrôle

Par Sara L, Blogueuse · Publié le 26 octobre 2026

![Une main qui s’approche d’une icône lumineuse de clé et de tournevis sur un fond bleu foncé de points reliés](https://www.noordev.com/assets/blog/wordpress-maintenance/hero.webp)

La maintenance WordPress est le travail courant qui garde un site sécurisé, récupérable et fonctionnel : mettre à jour le noyau de WordPress, les thèmes et les extensions, conserver des sauvegardes testées, surveiller les problèmes de sécurité et les pannes, et retirer ce que vous n’utilisez plus. Ce guide décrit chaque tâche et sa fréquence.

Il s’adresse à la personne qui possède le site ou qui s’en occupe, et s’appuie sur la documentation de WordPress.org, la politique de soutien de PHP et les conseils du Centre canadien pour la cybersécurité à l’intention des petites organisations. Si vous préférez que quelqu’un s’en charge, notre page [maintenance de site web](https://www.noordev.com/fr/maintenance-site-web/) explique comment nous procédons.

## Ce que comprend la maintenance WordPress

Cinq tâches en couvrent presque tout : les mises à jour, les sauvegardes, la sécurité, la surveillance et l’entretien courant. Aucune n’est compliquée. Le risque est que chacune se remette facilement à plus tard, et que rien ne casse visiblement avant le jour où cela compte.

### Mises à jour

Quatre éléments sont à tenir à jour : le noyau de WordPress, les extensions, les thèmes et PHP.

**Le noyau.** La [documentation de mise à niveau](https://developer.wordpress.org/advanced-administration/upgrade/upgrading/) de WordPress.org (en anglais) indique que les mises à jour automatiques sont activées par défaut sur la plupart des sites. Les installations existantes reçoivent automatiquement les mises à jour mineures du noyau. Les nouvelles installations depuis WordPress 5.6 reçoivent aussi les mises à jour majeures, alors que les installations plus anciennes gardent leur comportement antérieur, à moins qu’on y active les mises à jour majeures automatiques. Vérifiez quel comportement s’applique à votre site : s’il n’installe pas seul les versions majeures, quelqu’un doit s’en charger.

**Les extensions et les thèmes.** Les mises à jour automatiques du noyau ne les couvrent pas en général : la même page précise qu’elles ne se produisent que dans des cas particuliers. Depuis WordPress 5.5, un administrateur peut les activer extension par extension et thème par thème; WordPress les exécute alors par défaut deux fois par jour et envoie le résultat par courriel au propriétaire du site, selon la [documentation sur les mises à jour automatiques des extensions et des thèmes](https://wordpress.org/documentation/article/plugins-themes-auto-updates/) (en anglais). Cette page recommande de toujours installer la dernière version des extensions et des thèmes pour garder le site sécurisé, et de s’assurer de pouvoir revenir à une version antérieure du site avant d’activer les mises à jour automatiques, au cas où quelque chose tournerait mal. En pratique : sauvegardez, mettez à jour, puis ouvrez le site et testez les pages qui comptent.

**PHP.** PHP est le langage sur lequel WordPress fonctionne, et la version dépend de votre hébergeur. La [page des exigences](https://wordpress.org/about/requirements/) de WordPress.org (en anglais) recommande PHP 8.3 ou plus récent. Elle précise que WordPress fonctionne aussi avec PHP 7.4 et les versions suivantes, mais que celles-ci ont atteint leur fin de vie et peuvent exposer le site à des failles de sécurité. La [politique de PHP](https://www.php.net/supported-versions.php) (en anglais) accorde à chaque branche deux ans de soutien actif, puis deux autres années de correctifs pour les seules failles de sécurité critiques; après quatre ans, la branche n’est plus prise en charge et ses utilisateurs peuvent être exposés à des failles non corrigées. Cherchez votre branche sur cette page et demandez à votre hébergeur comment passer à une branche prise en charge.

### Sauvegardes

Une sauvegarde n’est utile que si vous pouvez la restaurer.

-   **Sauvegardez les deux parties.** Le [guide de sauvegarde](https://developer.wordpress.org/advanced-administration/security/backup/) de WordPress.org (en anglais) indique qu’un site se compose de deux parties, la base de données et les fichiers, et qu’il faut les deux pour restaurer entièrement un site WordPress type.
-   **Choisissez une fréquence.** Le même guide recommande de sauvegarder avant chaque mise à niveau, et suggère des sauvegardes hebdomadaires pour les petits sites et quotidiennes pour les sites très actifs.
-   **Gardez des copies à plus d’un endroit.** Il cite le serveur d’hébergement, un stockage infonuagique et un ordinateur local comme emplacements distincts.
-   **Contrôlez qui y a accès.** Les [contrôles de base pour les petites et moyennes organisations](https://www.cyber.gc.ca/fr/orientation/controles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations) du Centre canadien pour la cybersécurité (contrôle 3.7) demandent de sauvegarder les systèmes essentiels, de s’assurer que la reprise les restaure réellement et de limiter l’accès aux sauvegardes.
-   **Testez la restauration.** Le même contrôle veut que l’organisation ait des procédures claires pour rétablir ses activités à partir des sauvegardes. Une copie qui n’a jamais été restaurée est un pari. Restaurez-la ailleurs que sur votre site en ligne, et notez les étapes.

### Sécurité

L’essentiel de la sécurité d’un site tient aux quatre autres tâches faites à temps. Quelques habitudes sont propres à la sécurité, toutes tirées du [guide de renforcement](https://developer.wordpress.org/advanced-administration/security/hardening/) de WordPress.org (en anglais), sauf indication contraire :

-   Gardez les extensions à jour, et supprimez toute extension que vous n’utilisez pas.
-   Utilisez des mots de passe forts et activez l’authentification en deux étapes. Évitez les noms d’utilisateur évidents comme `admin`.
-   Exigez HTTPS pour la zone d’administration, et utilisez SFTP plutôt que FTP si votre hébergeur l’offre.
-   Accordez à chaque personne seulement l’accès dont son travail a besoin. Le contrôle 3.12 du Centre pour la cybersécurité énonce le principe des autorisations minimales, et son contrôle 3.5 demande une authentification à deux facteurs pour les comptes de grande valeur, dont les comptes d’administrateur.

Si votre entreprise a besoin de plus qu’une bonne hygiène du site, par exemple des politiques de sécurité écrites, un registre des risques ou la certification ISO 27001, consultez notre page [sécurité et ISO 27001](https://www.noordev.com/fr/securite/).

### Surveillance et performance

WordPress offre une vérification intégrée. L’[écran Santé du site](https://wordpress.org/documentation/article/site-health-screen/) (en anglais; menu Outils, puis Santé du site) classe les résultats en problèmes critiques, améliorations recommandées et tests réussis. Parmi les problèmes qu’il peut signaler : une version de PHP périmée, des extensions en attente de mise à jour, des mises à jour en arrière-plan qui ne fonctionnent pas, et un site qui n’arrive pas à joindre WordPress.org pour récupérer les mises à jour. Il recommande aussi de retirer les thèmes inactifs que vous ne comptez pas utiliser.

Deux choses échappent à Santé du site : vous dire que le site est en panne, et vous dire qu’un formulaire ne livre plus ses messages. Pour la première, utilisez un outil externe de surveillance de la disponibilité qui vous écrit ou vous envoie un texto. Pour la seconde, envoyez vous-même votre formulaire de contact et passez une commande de test à intervalle régulier. La vitesse des pages dépend aussi de ce qui est installé et de ce qui est téléversé : retirer les extensions inutiles et redimensionner les images avant de les téléverser sont les premiers endroits où regarder.

### Entretien courant

Les autres tâches sont petites et faciles à oublier : vérifier qui a un compte, retirer les personnes parties, parcourir vos propres liens, renouveler le nom de domaine et le certificat HTTPS avant leur expiration, et lire les courriels de notification de WordPress, puisque c’est ainsi que vous apprenez qu’une mise à jour automatique a échoué.

## Une liste de contrôle pour la maintenance WordPress

Les fréquences ci-dessous sont le rythme que nous suggérons, pas une norme de WordPress.org. L’exception est la fréquence des sauvegardes, pour laquelle le guide cité plus haut donne sa propre suggestion. Rehaussez-les si le site prend des commandes ou change tous les jours.

| Quand | Tâche | Pourquoi |
| --- | --- | --- |
| Chaque semaine | Faire une sauvegarde, puis exécuter les mises à jour du noyau, des extensions et des thèmes en attente | La sauvegarde est votre chemin de retour si une mise à jour casse quelque chose |
| Chaque semaine | Ouvrir le site et tester les pages qui rapportent : le formulaire de contact, le paiement, la connexion | Santé du site ne voit pas un formulaire qui a cessé de fonctionner en silence |
| Chaque semaine | Lire les courriels de mise à jour et l’onglet de statut de Santé du site | Les courriels signalent les mises à jour automatiques échouées, et Santé du site signale celles en arrière-plan qui ne fonctionnent pas |
| Chaque mois | Confirmer que les sauvegardes s’exécutent et qu’une copie est conservée ailleurs que sur le serveur Web | Une sauvegarde sur le même serveur se perd avec le serveur |
| Chaque mois | Revoir les comptes d’utilisateurs et leurs rôles; retirer ceux qui n’ont plus besoin d’accès | Les autorisations minimales limitent ce que permet un mot de passe volé |
| Chaque mois | Supprimer les extensions et les thèmes inutilisés | Chacun est du code à garder corrigé |
| Chaque mois | Comparer la version de PHP aux branches prises en charge | Les branches non prises en charge ne reçoivent aucun correctif de sécurité |
| Chaque trimestre | Restaurer une sauvegarde complète vers une copie de test et noter les étapes | Cela prouve que la sauvegarde fonctionne, avant l’urgence |
| Chaque trimestre | Passer chaque extension en revue : encore nécessaire, encore maintenue, encore mise à jour | Une extension que personne ne met à jour est un risque permanent |
| Chaque trimestre | Vérifier les dates de renouvellement du nom de domaine, du certificat HTTPS et de l’hébergement | Un certificat ou un domaine expiré met le site hors ligne |
| Chaque trimestre | Revoir les comptes d’administrateur et activer l’authentification à deux facteurs là où elle manque | Les comptes d’administrateur sont ceux de grande valeur |

## Ce qui tourne mal sans maintenance

Chaque point ci-dessous découle des sources citées plus haut.

-   **Les failles connues restent ouvertes.** Le guide de renforcement de WordPress.org dit que les anciennes versions de WordPress ne reçoivent plus de mises à jour de sécurité, et l’écran Santé du site rappelle que les extensions ont un accès étendu à votre site, d’où l’importance de les tenir à jour.
-   **Les mises à jour s’arrêtent en silence.** Les mises à jour automatiques des extensions et des thèmes reposent sur les tâches planifiées de WordPress pour s’exécuter, et Santé du site signale quand les mises à jour en arrière-plan ne fonctionnent pas. Un site que personne n’ouvre peut prendre du retard sans que personne s’en aperçoive.
-   **Le serveur exécute une version de PHP non prise en charge.** PHP indique que les utilisateurs d’une branche en fin de vie peuvent être exposés à des failles de sécurité non corrigées.
-   **Il n’y a rien à restaurer.** Il faut la base de données et les fichiers pour restaurer entièrement un site, et une sauvegarde jamais testée peut se révéler incomplète.
-   **Une mauvaise mise à jour n’a pas de retour en arrière.** Les mises à jour d’extensions et de thèmes peuvent mal tourner, d’où la consigne de la documentation de pouvoir revenir en arrière d’abord.
-   **Personne ne le remarque.** Sans surveillance, le premier signe d’une panne ou d’un formulaire en panne est un client qui vous l’apprend.

## Que faire si votre site affiche un message de maintenance

Pendant une mise à jour, WordPress met le site en mode maintenance. Selon la référence pour développeurs de [`WP_Upgrader::maintenance_mode()`](https://developer.wordpress.org/reference/classes/wp_upgrader/maintenance_mode/) (en anglais), il le fait en créant un fichier nommé `.maintenance` dans le répertoire racine de WordPress, et il supprime ce fichier pour désactiver le mode maintenance. Tant que le fichier existe, les visiteurs voient, dans la langue du site, un message par défaut qui indique que le site est brièvement indisponible pour cause de maintenance planifiée et qu’il faut revenir dans une minute, envoyé avec un code d’état 503, comme le documente [`wp_maintenance()`](https://developer.wordpress.org/reference/functions/wp_maintenance/) (en anglais). Un fichier nommé `maintenance.php` dans le répertoire `wp-content` remplace cet écran par défaut par le vôtre, mais seulement quand WordPress est déjà en mode maintenance : le fichier n’active pas le mode.

Si le message ne disparaît pas après la fin d’une mise à jour, attendez environ dix minutes. La référence de [`wp_is_maintenance_mode()`](https://developer.wordpress.org/reference/functions/wp_is_maintenance_mode/) (en anglais) indique que WordPress n’est en mode maintenance que si le fichier `.maintenance` a été créé il y a moins de 10 minutes : un fichier oublié cesse donc de compter de lui-même. Si le message est toujours là ensuite, vérifiez à la racine du site, avec le gestionnaire de fichiers de votre hébergeur ou SFTP, que le fichier a bien disparu, et demandez à votre hébergeur si une page en cache ou une extension affiche le message. Faites d’abord une sauvegarde. Si le site se comporte toujours mal, la mise à jour n’est peut-être pas terminée : relancez-la, ou restaurez votre sauvegarde.

## Le faire soi-même ou se faire aider

Un petit site doté de quelques extensions peut suivre la liste de contrôle ci-dessus tout seul. Cela se complique quand le site gagne des extensions, des langues, des clients ou des intégrations, et quand la personne qui s’en occupe dirige aussi l’entreprise. Avant de confier la tâche à quelqu’un, demandez les mêmes choses par écrit : ce qui est sauvegardé, à quelle fréquence, où sont gardées les copies, si une restauration a été testée, qui applique les mises à jour et qui est avisé quand quelque chose échoue.

Le coût dépend du fournisseur, du forfait et de la taille du site; nous n’en donnons donc pas de chiffre ici. Notre guide sur [ce que vous continuez de payer après le lancement](https://www.noordev.com/fr/blogue/prix-site-web-quebec/) explique comment le demander comme une ligne distincte.

## Questions fréquentes

### Que doit comprendre un plan de maintenance WordPress?

Les mises à jour du noyau, des extensions et des thèmes; des sauvegardes, avec une restauration testée; des vérifications de sécurité; une surveillance de la disponibilité; et l’entretien courant, comme retirer les extensions inutilisées et revoir les comptes d’utilisateurs. La liste de contrôle ci-dessus répartit chacun en tâches hebdomadaires, mensuelles ou trimestrielles.

### Comment entretenir un site WordPress?

Sauvegardez, mettez à jour, testez, et lisez ce que WordPress signale. Commencez par les tâches hebdomadaires, qui attrapent la plupart des problèmes, puis ajoutez les mensuelles et les trimestrielles.

### À quelle fréquence mettre WordPress à jour?

WordPress installe automatiquement les mises à jour mineures du noyau sur la plupart des sites. Pour les extensions, les thèmes et les versions majeures, vérifiez au moins chaque semaine, et mettez à jour le jour même d’une annonce de correctif de sécurité si vous le pouvez.

### Comment mettre WordPress en maintenance?

Le noyau de WordPress entre de lui-même en mode maintenance pendant les mises à jour, au moyen du fichier `.maintenance`. Un fichier `maintenance.php` dans `wp-content` ne fait que personnaliser l’écran que voient les visiteurs pendant que ce mode est actif; il ne l’active pas. Le noyau de WordPress n’a pas de réglage pour un mode maintenance planifié : pour des travaux planifiés, on utilise donc une extension ou les outils de son hébergeur.

### Combien coûte la maintenance WordPress?

Cela dépend du site et du fournisseur; nous n’en donnons donc pas de chiffre. Obtenez chaque coût récurrent par écrit, comme une ligne distincte.

Vous voulez qu’on le fasse pour votre entreprise ?

[Voir le service](https://www.noordev.com/fr/maintenance-site-web/)

[Tous les articles](https://www.noordev.com/fr/blogue/)