Un site qu’on ne met pas à jour vieillit en silence
Vous vous connectez à l’administration de votre site pour changer une photo, et vous êtes accueilli par une série d’alertes. Des pastilles rouges sur le menu, un message qui annonce qu’une nouvelle version est disponible, une liste d’extensions « à mettre à jour ». Vous hésitez. Si vous cliquez, le site risque-t-il de casser ? Si vous ne cliquez pas, que se passe-t-il ? Et d’ailleurs, est-ce bien à vous de le faire ?
Ces questions, beaucoup de patrons de petites entreprises se les posent, et la plupart choisissent de ne rien faire. Le site fonctionne, pourquoi y toucher ? C’est une réaction compréhensible, mais elle repose sur une idée fausse : celle qu’un site qui fonctionne aujourd’hui fonctionnera de la même façon demain. Un site construit avec WordPress n’est pas une plaquette imprimée une fois pour toutes. C’est un logiciel, qui vieillit, et dont les défauts se découvrent avec le temps.
Chaque mise à jour corrige quelque chose. Parfois un petit défaut d’affichage, parfois une incompatibilité avec les navigateurs récents, et souvent une faille de sécurité. Quand une faille est découverte dans une version, elle est rendue publique au moment où la correction est publiée. À partir de ce moment, les sites qui n’ont pas fait la mise à jour sont identifiables et exposés. Des programmes automatiques parcourent internet à la recherche précisément de ces sites, sans se soucier de leur taille ou de leur importance.
C’est pourquoi les petits sites sont autant visés que les grands. Le pirate ne cherche pas votre entreprise en particulier. Il cherche une version vulnérable, et la vôtre en est une parmi des milliers. Un site jamais mis à jour finit tôt ou tard par être détourné : pages d’arnaque cachées dans le site, redirection des visiteurs vers des sites douteux, envoi de courriels indésirables en votre nom. Les conséquences de ce scénario sont détaillées dans notre article sur les signes d’un site piraté.
Prenons le cas d’un cabinet de kinésithérapie dont le site avait été créé par un proche, puis laissé tel quel pendant plusieurs années. Un jour, des patients ont signalé que le site les envoyait vers une page de jeux d’argent. Une extension de formulaire, jamais mise à jour, contenait une faille connue depuis longtemps. Le nettoyage a coûté bien plus cher, en temps et en argent, que des années de mises à jour régulières.
Voici ce qui se met à jour dans un site WordPress, qui doit s’en charger, les précautions à prendre avant de cliquer, l’ordre qui évite la casse, la façon de réagir quand une mise à jour pose problème, et comment repérer les extensions abandonnées.
Ce qui se met à jour
Un site WordPress se compose de trois couches, qui se mettent à jour séparément. Comprendre ce découpage permet de lire les alertes de l’administration et de savoir ce qu’on fait quand on clique.
La première couche est le cœur, c’est-à-dire WordPress lui-même. C’est le moteur du site, celui qui gère les pages, les comptes, l’administration. Ses mises à jour sont de deux sortes. Les mises à jour mineures corrigent des défauts et des failles sans rien changer à l’utilisation. Elles sont fréquentes, et souvent appliquées automatiquement. Les mises à jour majeures apportent de nouvelles fonctions et des changements plus profonds. Elles sont moins fréquentes, et méritent un peu plus de précaution.
La deuxième couche est le thème. C’est lui qui donne au site son apparence : la mise en page, les couleurs, les polices, la disposition des éléments. Un thème est souvent conçu par une société ou un développeur indépendant, qui publie des mises à jour pour le maintenir compatible avec les nouvelles versions du cœur. Si votre prestataire a modifié directement le thème pour l’adapter à votre site, une mise à jour peut effacer ces modifications, ce qu’il faut savoir avant de cliquer.
La troisième couche est celle des extensions. Ce sont des modules qui ajoutent des fonctions : formulaire de contact, galerie de photos, module d’avis, outil de sécurité, bandeau de consentement, gestion du référencement. Un site vitrine en compte souvent une dizaine, parfois beaucoup plus. Chacune est développée par un auteur différent, avec son propre rythme de mises à jour. C’est la couche la plus exposée : la plupart des failles exploitées sur les sites WordPress se trouvent dans des extensions, et non dans le cœur.
À ces trois couches s’ajoute un élément que vous ne voyez pas dans l’administration : la version du langage informatique utilisé par le serveur pour faire fonctionner le site. Elle dépend de l’hébergeur. Une version trop ancienne finit par ne plus être compatible avec les mises à jour du cœur et des extensions. C’est un point à vérifier avec votre prestataire ou votre hébergeur, une fois de temps en temps.
Qui doit le faire
Avant de vous lancer, la première question est de savoir si c’est à vous de le faire. La réponse se trouve dans votre contrat. Si vous payez un abonnement mensuel ou un contrat de maintenance, les mises à jour en font normalement partie. Dans ce cas, des alertes qui s’accumulent depuis des mois dans votre administration sont le signe que le service n’est pas rendu. C’est une question légitime à poser à votre prestataire.
Si votre site a été livré sans contrat de maintenance, la responsabilité vous revient, à vous ou à la personne que vous désignez. C’est une situation fréquente pour les sites achetés une fois, réalisés par un indépendant ou par un proche. Le site vous a été remis, il est à vous, et son entretien aussi. Personne ne viendra faire les mises à jour à votre place si vous ne le demandez pas.
Entre ces deux cas, il existe une solution intermédiaire : un contrat de maintenance léger, qui ne couvre que les mises à jour et les sauvegardes. Beaucoup de prestataires le proposent. Pour un site vitrine, c’est souvent la façon la plus raisonnable de déléguer cette tâche sans payer un abonnement complet.
Si vous décidez de faire les mises à jour vous-même, rien ne vous en empêche. L’opération ne demande pas de connaissances en programmation. Elle demande en revanche de la méthode, et quelques précautions décrites plus bas. Si votre site a été très personnalisé par un développeur, demandez-lui d’abord s’il y a des éléments à ne pas mettre à jour sans lui. C’est particulièrement vrai pour le thème.
Dans tous les cas, clarifiez la question une fois pour toutes, par écrit. « Qui fait les mises à jour de mon site, et à quel rythme ? » Une réponse claire évite que chacun pense que l’autre s’en occupe, ce qui est la cause la plus fréquente des sites jamais mis à jour.
Avant de cliquer
La règle qui précède toute mise à jour est simple : on ne met jamais à jour sans une sauvegarde fraîche. Une sauvegarde faite la veille ou le jour même, complète, qui contient à la fois les fichiers du site et sa base de données. Si la mise à jour casse quelque chose, cette sauvegarde permet de revenir exactement à l’état précédent.
Vérifiez d’abord que vous savez où se trouve cette sauvegarde, et comment la restaurer. Beaucoup d’hébergeurs font des sauvegardes automatiques, mais elles ne sont pas toujours accessibles facilement, ni conservées assez longtemps. Une extension de sauvegarde peut compléter le dispositif, en créant une copie à la demande juste avant la mise à jour. Gardez une copie en dehors du serveur, par exemple sur votre ordinateur ou sur un espace de stockage en ligne. Une sauvegarde qui se trouve sur le même serveur que le site disparaît avec lui en cas de gros problème.
Choisissez ensuite le moment. Une mise à jour ne se fait pas cinq minutes avant un rendez-vous, ni un vendredi soir, ni en pleine période d’activité. Elle se fait à un moment calme, où vous avez le temps de vérifier le résultat et de réagir si quelque chose ne va pas. Un début de matinée en milieu de semaine est souvent un bon choix.
Lisez enfin rapidement ce que contient la mise à jour. Pour une mise à jour majeure du cœur ou d’une extension importante, les notes de version indiquent souvent les changements et les éventuelles incompatibilités connues. Vous n’avez pas à tout comprendre, mais une mention d’incompatibilité avec votre thème ou une autre extension que vous utilisez doit vous inciter à attendre ou à demander conseil.
Dans quel ordre
L’ordre des mises à jour compte, parce que les trois couches dépendent les unes des autres. La méthode la plus prudente pour un site vitrine consiste à procéder par étapes, en vérifiant le site entre chacune.
Commencez par les extensions, une par une. Mettez-en une à jour, puis ouvrez le site dans un autre onglet et vérifiez qu’il s’affiche correctement. Passez à la suivante. Cette méthode est plus lente que la mise à jour groupée de toutes les extensions d’un coup, mais elle a un avantage décisif : si le site casse, vous savez immédiatement quelle extension en est la cause. Avec une mise à jour groupée, il faut tout reprendre pour trouver le coupable.
Passez ensuite au thème. Si votre prestataire l’a modifié directement, assurez-vous auparavant que ces modifications sont protégées, généralement grâce à ce qu’on appelle un thème enfant, qui conserve les personnalisations séparément. S’il n’y en a pas, une mise à jour du thème risque d’effacer les modifications. Dans le doute, demandez à votre prestataire avant de mettre à jour le thème.
Terminez par le cœur, surtout s’il s’agit d’une mise à jour majeure. Les mises à jour mineures, qui corrigent des failles, sont souvent appliquées automatiquement. Pour une mise à jour majeure, attendez quelques jours après sa sortie si vous le pouvez : les premiers défauts sont généralement corrigés rapidement par une version mineure, et les auteurs d’extensions ont le temps d’adapter leurs modules.
Après chaque étape, vérifiez les éléments essentiels du site :
- la page d’accueil s’affiche correctement, sur ordinateur et sur téléphone ;
- le menu et les liens principaux fonctionnent ;
- le formulaire de contact envoie bien ses messages ;
- l’administration du site reste accessible.
Quand une mise à jour casse quelque chose
Malgré les précautions, il arrive qu’une mise à jour pose problème. Une page s’affiche mal, une fonction ne marche plus, ou dans le pire des cas, le site affiche une erreur et l’administration devient inaccessible. Pas de panique : c’est précisément pour ce cas que vous avez fait une sauvegarde.
Si vous avez mis à jour les extensions une par une, vous savez laquelle est en cause. La solution la plus simple est souvent de la désactiver depuis l’administration, ce qui rétablit le site, puis de chercher si une correction est prévue ou s’il existe une alternative. Beaucoup d’auteurs d’extensions publient une version corrigée rapidement quand un défaut est signalé par de nombreux utilisateurs.
Si l’administration est inaccessible, la désactivation se fait autrement, par le gestionnaire de fichiers de l’hébergement. C’est une opération un peu plus technique, que votre prestataire ou l’assistance de votre hébergeur peut faire pour vous. Les versions récentes de WordPress proposent aussi un mode de récupération, qui envoie un lien par mail à l’administrateur pour désactiver l’élément fautif.
Si le problème est plus profond, la restauration de la sauvegarde ramène le site à son état d’avant la mise à jour. C’est la solution la plus radicale, et la plus sûre. Une fois le site rétabli, ne relancez pas immédiatement la même mise à jour. Cherchez d’abord la cause, ou demandez conseil, pour ne pas reproduire la même panne.
Gardez une trace de ce qui s’est passé : quelle mise à jour, quel symptôme, quelle solution. Ces notes vous serviront la prochaine fois, et elles seront utiles si vous devez faire appel à un prestataire.
Les extensions abandonnées
Une extension qui ne reçoit plus de mises à jour est un risque plus grand qu’une extension qu’on oublie de mettre à jour. Si son auteur l’a abandonnée, les failles qui y seront découvertes ne seront jamais corrigées. Et vous ne recevrez aucune alerte dans l’administration, puisqu’il n’y a pas de nouvelle version à installer. L’extension semble à jour, alors qu’elle est figée.
Pour repérer ces extensions, regardez la date de leur dernière mise à jour, indiquée dans la liste des extensions ou sur leur page de présentation. Une extension qui n’a pas été mise à jour depuis très longtemps, ou qui est signalée comme non testée avec les versions récentes du cœur, doit attirer votre attention. Il arrive aussi qu’une extension soit retirée du répertoire officiel, souvent pour un problème de sécurité non corrigé.
Pour chaque extension douteuse, posez-vous deux questions. Est-elle encore utile ? Beaucoup de sites portent des extensions installées pour un essai et jamais retirées, ou dont la fonction n’est plus utilisée. Celles-là se suppriment simplement, après une sauvegarde. Si elle est utile, existe-t-il une alternative maintenue ? Pour les fonctions courantes, comme un formulaire ou une galerie, il en existe presque toujours.
Faire régulièrement ce tri réduit les risques et allège le site. Moins d’extensions, c’est moins de mises à jour à faire, moins de failles possibles et souvent un site plus rapide. Pour d’autres conseils sur l’entretien de votre site, retrouvez nos repères pour le site vitrine, ou revenez à l’accueil de Web Motion.
Questions fréquentes
À quelle fréquence faut-il mettre à jour un site WordPress ?
Un passage régulier, par exemple une fois par mois, suffit pour la plupart des sites vitrines, en plus des mises à jour de sécurité appliquées automatiquement. L’important est la régularité : un site vérifié chaque mois accumule peu de retard, alors qu’un site laissé de côté pendant des années demande un rattrapage plus risqué.
Peut-on activer les mises à jour automatiques ?
Oui, WordPress le permet pour le cœur et pour les extensions. C’est une bonne option pour les mises à jour de sécurité mineures. Pour les extensions et les mises à jour majeures, l’automatisme est plus risqué, car une incompatibilité peut casser le site sans que personne ne s’en aperçoive. Si vous l’activez, gardez des sauvegardes automatiques et vérifiez le site régulièrement.
Une mise à jour peut-elle effacer le contenu de mon site ?
Les mises à jour du cœur et des extensions ne touchent normalement pas à vos textes et à vos images, stockés à part. Le risque concerne surtout les modifications faites directement dans le thème, qu’une mise à jour peut écraser. Une sauvegarde complète avant chaque mise à jour protège de toute mauvaise surprise.
Mon site n’a pas été mis à jour depuis des années, que faire ?
Ne lancez pas toutes les mises à jour d’un coup. Faites d’abord une sauvegarde complète, puis demandez à un prestataire de faire le rattrapage étape par étape, en vérifiant la compatibilité entre le thème, les extensions et le serveur. Sur un site très ancien, il peut être plus simple de reconstruire certaines parties que de tout mettre à jour.