Maintenance préventive d'un site WordPress : ce qu'il faut vérifier
La maintenance préventive d'un site WordPress regroupe les vérifications qui évitent la panne ou le piratage : mises à jour du cœur, des extensions et du thème, sauvegardes hors du serveur dont on a testé la restauration, revue des comptes et des modules installés, suivi du certificat et de la disponibilité. Faite régulièrement, elle prend peu de temps et coûte bien moins qu'une remise en état après incident. Négligée, elle laisse s'accumuler des failles que d'autres savent exploiter.
Pourquoi un site WordPress demande de l'entretien
Un site évolue, même quand on n'y touche pas
Un site WordPress n'est pas un document figé. Il repose sur un cœur, un thème et une série d'extensions, chacun publié par un éditeur différent, et sur un serveur dont la version de PHP évolue elle aussi. Des failles sont découvertes et corrigées en permanence dans l'une ou l'autre de ces briques. Un site livré il y a trois ans et jamais mis à jour accumule ainsi des correctifs manquants, qui sont autant de failles connues, publiées, et donc recherchées par des robots qui parcourent le web en continu.
Les pannes silencieuses
Toutes les dégradations ne relèvent pas de la sécurité. Le renouvellement automatique du certificat échoue un jour, après un changement de configuration, et le navigateur affiche une alerte de sécurité à la place de la page d'accueil. Le formulaire de contact s'affiche toujours, mais ses messages n'arrivent plus : ils partent en indésirables chez le destinataire, faute d'un nom de domaine correctement protégé par SPF, DKIM et DMARC. Personne ne s'en aperçoit pendant des semaines, et les demandes de devis se perdent. Repérer ces pannes avant les clients, c'est précisément le rôle d'une maintenance de site internet.
Mettre à jour le cœur, les extensions et le thème
Une sauvegarde avant chaque mise à jour
Une mise à jour de WordPress, qu'elle touche le cœur, une extension ou le thème, se fait dans un ordre réfléchi. On sauvegarde d'abord le site complet, fichiers et base de données, pour pouvoir revenir à l'état précédent si quelque chose casse. On lit ensuite ce que change chaque mise à jour : un correctif de sécurité s'applique sans tarder, alors qu'une nouvelle version majeure d'une extension de boutique mérite d'être essayée sur une copie du site. Par défaut, le cœur de WordPress installe de lui-même ses mises à jour mineures, celles qui corrigent les failles, sauf si ce réglage a été désactivé. Les versions majeures, les extensions et le thème demandent en revanche un suivi : même quand on active leur mise à jour automatique, quelqu'un doit vérifier qu'elles n'ont rien cassé.
Tester, puis savoir revenir en arrière
Après la mise à jour, on vérifie les pages qui comptent : l'accueil, le formulaire de contact, le tunnel de commande d'une boutique, l'espace client s'il existe. Une extension de paiement qui ne s'entend plus avec la nouvelle version de WooCommerce peut bloquer les ventes sans afficher la moindre erreur. Dans ce cas, on revient à la sauvegarde prise juste avant, on signale le problème à l'éditeur et l'on attend son correctif. Les personnalisations doivent par ailleurs se trouver dans un thème enfant, faute de quoi la mise à jour du thème d'origine les efface.
Sauvegarder le site et tester la restauration
Fichiers et base de données, hors du serveur
Une sauvegarde de site WordPress comprend deux parties : les fichiers, où se trouvent le thème, les extensions et les médias, et la base de données, qui contient les pages, les réglages, les comptes et les commandes. Sans l'une, l'autre ne permet pas de remonter le site. La copie doit partir hors du serveur, car une sauvegarde stockée à côté du site tombe avec lui le jour d'une panne matérielle ou d'un piratage. Sa fréquence dépend de la vie du site : une boutique qui prend des commandes tous les jours ne peut pas se contenter de la copie hebdomadaire qui suffit à une vitrine rarement modifiée.
Une restauration testée
Une sauvegarde n'a de valeur que si elle se restaure. Beaucoup de propriétaires de site le découvrent le jour où ils en ont besoin : l'archive est incomplète, la base de données manque, ou l'extension de sauvegarde avait cessé de fonctionner depuis des mois sans prévenir personne. Le seul moyen de s'en assurer est de restaurer régulièrement une sauvegarde sur une copie du site, à l'écart de la version en ligne, puis de vérifier que tout s'affiche et fonctionne. L'exercice permet aussi de mesurer combien de temps prend une restauration complète.
Sécuriser son site WordPress au quotidien
Faire le ménage dans les comptes
Sécuriser WordPress commence par les comptes administrateurs, qui se multiplient au fil des ans : celui de l'agence qui a créé le site, celui du stagiaire qui a mis à jour le catalogue, celui du prestataire qui a corrigé un défaut d'affichage. Chacun est une porte d'entrée, d'autant plus fragile que son mot de passe est ancien. La maintenance préventive passe donc en revue les utilisateurs, supprime ceux qui n'ont plus rien à faire sur le site et ramène les autres au rôle dont ils ont besoin, car un rédacteur n'a pas à être administrateur. L'accès à l'administration se protège ensuite par des mots de passe uniques et une double authentification.
Extensions abandonnées, certificat et pare-feu
Une extension que son éditeur ne met plus à jour ne recevra aucun correctif le jour où une faille y sera découverte : mieux vaut la remplacer par une solution suivie, ou s'en passer. Les extensions désactivées qui dorment sur le serveur doivent, elles, être supprimées, car leurs fichiers restent sur le serveur, et certaines failles s'exploitent même quand l'extension n'est plus active. On vérifie aussi la date d'expiration du certificat de sécurité et le bon fonctionnement de son renouvellement. Un pare-feu applicatif, enfin, filtre les requêtes malveillantes avant qu'elles n'atteignent WordPress ; il ne remplace pas les mises à jour, mais il arrête une bonne partie des attaques automatisées. Le guide consacré au site WordPress piraté montre ce qu'il en coûte quand ces précautions manquent.
Disponibilité, performances et suivi du site
Surveiller la disponibilité
Une surveillance externe interroge le site à intervalles réguliers et prévient dès qu'il ne répond plus, que la cause soit un serveur en panne, une base de données saturée ou une mise à jour malheureuse. Sans elle, c'est souvent un client qui signale la panne, parfois plusieurs heures après. La même surveillance peut suivre l'espace disque du serveur, dont la saturation coupe un site aussi sûrement qu'une panne.
Garder un site rapide
Un site WordPress ralentit à mesure qu'il vieillit : la base de données s'alourdit de révisions et de données temporaires, les images ajoutées au fil des actualités sont trop lourdes, les extensions s'empilent. La maintenance préventive nettoie la base, contrôle le poids des nouvelles images et vérifie que la mise en cache fonctionne. Ces gestes servent les visiteurs, qui n'attendent pas une page lente, et le référencement, puisque Google prend en compte l'expérience offerte aux internautes. Ils ont leur place dans le plan de maintenance informatique de l'entreprise, au même titre que l'entretien des postes et des serveurs.
Ce que comprend notre formule
Chez KERIONIS, la maintenance de site prend la forme d'une formule mensuelle unique, pour WordPress, WooCommerce ou un développement sur mesure. Le site est hébergé en France, sur des serveurs que nous administrons, et supervisé, pour que nous sachions avant vos clients qu'il ne répond plus. Il est sauvegardé chaque jour en dehors du serveur, avec des restaurations testées régulièrement. Nous contrôlons chaque mise à jour, nous revenons en arrière si l'une d'elles casse quelque chose et nous suivons le renouvellement du certificat. En fin de contrat, vous repartez avec votre site, vos sauvegardes et vos accès.
Confier l'entretien de votre site
Voyez ce que comprend notre formule : hébergement en France, supervision, sauvegarde quotidienne hors du serveur, mises à jour contrôlées.
Elle couvre WordPress, WooCommerce et les sites développés sur mesure.
Questions fréquentes : Maintenance préventive WordPress
Que comprend la maintenance préventive d'un site WordPress ?
La maintenance préventive d'un site WordPress comprend les mises à jour du cœur, des extensions et du thème après une sauvegarde, des sauvegardes hors du serveur dont la restauration est testée, la revue des comptes et des modules, le suivi du certificat et la surveillance de la disponibilité. S'y ajoutent le nettoyage de la base de données et le contrôle des performances.
À quelle fréquence mettre à jour WordPress ?
Les correctifs de sécurité s'appliquent sans tarder, après une sauvegarde. WordPress installe déjà seul, par défaut, les mises à jour mineures du cœur ; pour les extensions, le thème et les versions majeures, un point au moins chaque semaine est un rythme raisonnable, suivi d'un test des pages essentielles une fois les modifications appliquées.
Faut-il tester ses sauvegardes de site ?
Oui. Une sauvegarde peut être incomplète ou avoir cessé de fonctionner sans prévenir, et on ne le découvre souvent que le jour où l'on en a besoin. Restaurer régulièrement une sauvegarde sur une copie du site, à l'écart de la version en ligne, est le seul moyen de s'assurer qu'elle servira.