C’est l’objection la plus fréquente, et elle est légitime : WordPress affiche « mises à jour automatiques activées », alors pourquoi payer quelqu’un pour ça ? La réponse tient en une distinction que l’interface ne fait pas clairement.
Ce que WordPress fait seul
Depuis plusieurs années, WordPress applique automatiquement les correctifs de sécurité mineurs de son cœur. C’est réel, c’est utile, et ça a évité un nombre considérable d’intrusions.
Concrètement, cela couvre :
- Les versions correctives du cœur (5.9.1 vers 5.9.2, par exemple).
- Certaines failles critiques, poussées en urgence par l’équipe de sécurité.
Ce qu’il ne fait pas
Le périmètre s’arrête là, et c’est le point aveugle :
- Vos extensions. Elles ne se mettent à jour automatiquement que si vous avez activé l’option, extension par extension. Par défaut, non.
- Votre thème. Même chose, et un thème premium acheté hors du répertoire officiel ne remonte souvent aucune notification.
- Les versions majeures du cœur. Le passage d’une version à l’autre reste manuel dans la plupart des configurations.
- La version de PHP. Elle dépend de votre hébergeur, pas de WordPress.
Et surtout : rien ne vérifie que votre site fonctionne encore après. WordPress applique, puis passe à autre chose.
Pourquoi c’est là que les piratages passent
Dans l’immense majorité des cas, un site n’est pas visé personnellement. Des robots parcourent le web en continu à la recherche d’une extension connue pour être vulnérable et non mise à jour. Ils testent, et quand ça passe, ils entrent.
Les causes qu’on retrouve le plus souvent en intervention :
- Une extension abandonnée par son auteur, qui ne recevra plus jamais de correctif.
- Un thème premium téléchargé gratuitement sur un site de partage, souvent déjà modifié.
- Une version de PHP qui n’est plus maintenue.
Aucune de ces trois situations n’est couverte par la mise à jour automatique. Les symptômes qui suivent sont détaillés dans Les 8 signes qu’un site WordPress est piraté.
L’extension abandonnée : le cas le plus sournois
Une extension abandonnée ne prévient pas. Elle continue de fonctionner parfaitement, n’affiche aucune alerte, et votre site tourne normalement pendant des mois. Le répertoire WordPress signale bien « non testée avec les dernières versions », mais ce message n’apparaît que si vous allez le chercher.
Le seul moyen de le savoir est de vérifier régulièrement, extension par extension, la date de la dernière mise à jour. Sur un site qui en compte vingt-cinq, c’est un travail de veille, pas un réglage.
Le point qu’aucune automatisation ne remplace
Même en activant toutes les mises à jour automatiques possibles, il reste un angle mort : personne ne regarde le résultat.
Une mise à jour peut casser une mise en page, un formulaire de contact ou un tunnel de commande sans afficher la moindre erreur. Le site répond, les pages s’affichent, tout semble normal — et les demandes de devis ne partent plus. Le problème se découvre en général par un client qui appelle pour dire qu’il n’a jamais eu de réponse. C’est le sujet de Une mise à jour a cassé mon site : pourquoi, et comment l’éviter.
Ce qu’il faut retenir
La mise à jour automatique de WordPress est un filet de sécurité, pas une maintenance. Elle couvre le cœur, laisse de côté ce par quoi passent la plupart des intrusions, et ne vérifie jamais que votre site fonctionne encore ensuite.
Ce que couvre un suivi réel : mises à jour du cœur, du thème et des extensions, testées en préproduction quand elles sont sensibles, puis vérifiées à la main sur le site réel. C’est le contenu de nos forfaits de maintenance WordPress.
Et si l’intrusion a déjà eu lieu, c’est un autre métier : le nettoyage de site piraté traite l’infection puis referme la faille, sans quoi le site est recompromis en quelques jours.
