Comment mettre a jour WordPress en urgence sans casser votre site — 7 etapes testees

C'est la regle numero un, celle que vous ne devez jamais ignorer : sauvegardez avant de toucher a quoi que ce soit. Cette sauvegarde est votre filet de securite. Si la mise a jour casse votre site, vous pourrez restaurer en quelques minutes au lieu de passer des heures a reparer.

La sauvegarde doit inclure deux elements : les fichiers WordPress (tout le contenu du repertoire d'installation, y compris wp-content) et la base de donnees MySQL/MariaDB. Ne faites pas l'erreur de sauvegarder uniquement les fichiers — votre contenu, vos pages, vos commandes WooCommerce sont dans la base de donnees.

Methodes par hebergeur francais

• OVH / Kimsufi : panneau Manager > Hebergements > Bases de donnees > Dump SQL. Pour les fichiers, utilisez le backup FTP automatique (disponible sur les offres Pro et Performance)
• o2switch : cPanel > JetBackup > Full Account Backup. o2switch conserve des snapshots quotidiens sur 30 jours — c'est un filet de securite supplementaire
• Ionos (1&1) : panneau de controle > Sauvegardes > Creer une sauvegarde complete. Ionos propose egalement des points de restauration automatiques
• En ligne de commande (SSH) : mysqldump -u user -p database > backup_$(date +%Y%m%d).sql && tar czf wp_backup_$(date +%Y%m%d).tar.gz /path/to/wordpress/

Si vous utilisez un plugin de sauvegarde comme UpdraftPlus, Duplicator ou BackWPup, lancez une sauvegarde complete maintenant. Verifiez que le fichier de sauvegarde est bien telecharge localement ou stocke sur un service externe (Google Drive, S3) — pas uniquement sur le serveur que vous allez modifier.

Le mode maintenance empeche les visiteurs de voir un site partiellement mis a jour ou en erreur pendant le processus. WordPress active automatiquement un mode maintenance basique pendant les mises a jour via le tableau de bord, mais il est preferable de le controler manuellement pour eviter les surprises.

La methode la plus simple est de creer un fichier .maintenance a la racine de votre installation WordPress contenant :

Ce fichier affichera un message « Maintenance programmee. Revenez dans un instant. » a tous les visiteurs. Vous pourrez le supprimer une fois la mise a jour terminee et verifiee.

Si vous preferez un plugin, WP Maintenance Mode ou SeedProd permettent de personnaliser la page de maintenance avec votre logo et un message professionnel — ce qui rassure les clients qui visitent votre site pendant l'intervention. Pour une PME avec du trafic regulier, c'est un detail qui compte.

Conseil PME : si vous avez un site e-commerce WooCommerce avec des commandes en cours, prevoyez de faire la mise a jour en dehors des heures de pointe. Pour la majorite des PME B2B francaises, le creneau ideal est entre 6h et 8h du matin ou apres 20h. En situation d'urgence securite comme WP2Shell, la maintenance immediatement est cependant toujours preferable a l'attente.

Les plugins de cache (WP Super Cache, W3 Total Cache, WP Rocket, LiteSpeed Cache) et les CDN (Cloudflare, KeyCDN) peuvent interferer avec les mises a jour de deux manieres : ils peuvent servir des fichiers caches obsoletes apres la mise a jour, et certains systemes de cache d'objets peuvent bloquer les migrations de base de donnees. Desactivez-les temporairement avant de proceder.

• WP Rocket : Extensions > WP Rocket > Desactiver. Ou ajoutez define('WP_ROCKET_BYPASS', true); dans wp-config.php
• Cloudflare : dans le dashboard Cloudflare, activez le « Development Mode » qui desactive le cache pendant 3 heures
• LiteSpeed Cache : Extensions > LiteSpeed Cache > Purge All, puis desactivez temporairement le plugin
• Cache OPcache PHP : si votre hebergeur utilise OPcache, les nouveaux fichiers PHP peuvent ne pas etre pris en compte immediatement. Apres la mise a jour, purgez OPcache depuis le panneau hebergeur ou via opcache_reset();

Ne vous inquietez pas de l'impact sur les performances : le mode maintenance activie a l'etape precedente empeche deja le trafic d'atteindre votre site. Une fois la mise a jour terminee et verifiee, vous reactiverez le cache et purgerez les anciennes versions.

C'est l'etape critique. Vous avez trois options pour appliquer la mise a jour du core WordPress, classees de la plus simple a la plus technique :

Option A : Via le tableau de bord (recommande pour la plupart des PME)

Connectez-vous a votresite.fr/wp-admin, allez dans Tableau de bord > Mises a jour, et cliquez sur « Mettre a jour maintenant ». WordPress telecharge les fichiers, les decompresse, met a jour la base de donnees et vous redirige vers la page « Bienvenue » de la nouvelle version. C'est la methode la plus sure pour les utilisateurs non techniques.

Option B : Via WP-CLI (recommande pour les equipes techniques)

WP-CLI est l'outil en ligne de commande officiel de WordPress. Si vous avez un acces SSH a votre serveur (disponible chez OVH Pro, o2switch, Ionos VPS), c'est la methode la plus rapide et la plus fiable. Elle evite les problemes de timeout du navigateur et les erreurs de connexion qui peuvent interrompre une mise a jour via l'interface web.

Option C : Via FTP/SFTP (dernier recours)

Si le tableau de bord est inaccessible (site deja compromis ou erreur critique), vous pouvez telecharger la derniere version de WordPress depuis wordpress.org, decompresser l'archive, et uploader les fichiers via FTP/SFTP en ecrasant les fichiers existants. Ne supprimez pas le dossier wp-content — c'est la qu'est tout votre contenu, vos themes et vos plugins. Ecrasez uniquement wp-admin, wp-includes et les fichiers a la racine (sauf wp-config.php).

Une fois le core WordPress a jour, passez aux plugins et au theme actif. La regle d'or : mettez a jour un plugin a la fois. Si un plugin casse votre site, vous saurez immediatement lequel est responsable. Si vous mettez tout a jour en masse, identifier le coupable demandera de desactiver les plugins un par un — un processus fastidieux en situation d'urgence.

Commencez par les plugins de securite (Wordfence, Sucuri, iThemes Security) car ils incluent souvent des regles de protection contre les failles recemment corrigees. Puis passez aux plugins critiques pour votre activite : WooCommerce, formulaires de contact (Contact Form 7, Gravity Forms, WPForms), puis les plugins secondaires.

Via WP-CLI, la procedure est encore plus claire :

Cas PME reel : une agence immobiliere lyonnaise que nous accompagnons avait 23 plugins installes, dont 8 avec des mises a jour en attente. En les mettant a jour un par un, nous avons decouvert que le plugin de galerie d'images (version 2019, jamais mis a jour) etait incompatible avec WordPress 7.x. Nous l'avons remplace par un plugin maintenu avant de continuer. Si nous avions tout mis a jour en bloc, le site serait tombe en erreur 500 et l'identification du probleme aurait pris beaucoup plus de temps.

Profitez-en pour faire le menage : desactivez et supprimez les plugins que vous n'utilisez plus. Chaque plugin inactif est une porte d'entree potentielle que vous ne pensez pas a mettre a jour. Moins de plugins = moins de surface d'attaque.

Avant de desactiver le mode maintenance, passez en revue les points de controle suivants. Ne vous contentez pas de regarder la page d'accueil — testez les fonctionnalites critiques pour votre entreprise :

• Page d'accueil : charge sans erreur, les images s'affichent, le menu fonctionne
• Pages interieures : testez au moins 3 pages differentes (une page service, un article de blog, la page contact)
• Formulaire de contact : envoyez un message test. Verifiez que l'email arrive bien. Un formulaire de contact casse = des leads perdus
• E-commerce (si WooCommerce) : ajoutez un produit au panier, lancez un faux tunnel de commande, verifiez que la passerelle de paiement repond
• Espace membre / connexion : testez la connexion et deconnexion. Verifiez que les roles utilisateur fonctionnent
• Responsive mobile : verifiez le rendu sur mobile (outils Chrome DevTools ou BrowserStack)
• Console navigateur : ouvrez les DevTools (F12), onglet Console. Des erreurs JavaScript rouges signalent souvent une incompatibilite de plugin

Si tout fonctionne, supprimez le fichier .maintenance a la racine et reactivez vos plugins de cache. Purgez le cache completement pour que les visiteurs voient les nouvelles pages.

Si quelque chose ne fonctionne pas, vous avez deux options : soit vous identifiez et corrigez le probleme (souvent une incompatibilite de plugin, resolvable en desactivant le plugin concerne), soit vous restaurez depuis la sauvegarde de l'etape 1 et preparez une mise a jour plus approfondie avec un environnement de staging.

La mise a jour est appliquee, le site fonctionne. Mais le travail n'est pas termine. Cette derniere etape transforme une intervention d'urgence en amelioration durable de votre posture de securite :

Durcissement immediat

• Ajoutez define('DISALLOW_FILE_EDIT', true); dans wp-config.php pour desactiver l'editeur de fichiers WordPress — c'est le vecteur utilise par XSS2Shell pour transformer un vol de session admin en RCE
• Verifiez que les mises a jour automatiques sont activees : define('WP_AUTO_UPDATE_CORE', true);
• Changez le prefixe de table si c'est encore wp_ (utile contre les injections SQL automatisees qui ciblent le prefixe par defaut)
• Ajoutez des en-tetes de securite HTTP dans votre .htaccess ou configuration nginx : X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Content-Security-Policy

Monitoring continu

• Configurez une alerte uptime (UptimeRobot gratuit, ou Pingdom) pour etre prevenu si votre site tombe
• Activez define('WP_DEBUG_LOG', true); (sans WP_DEBUG_DISPLAY) pour capturer les erreurs PHP dans un fichier log
• Programmez des sauvegardes automatiques quotidiennes avec retention de 30 jours
• Planifiez un audit de securite annuel pour identifier les failles avant les attaquants

Conseil PME : une TPE de Bordeaux specialisee dans le vin en ligne nous a contactes apres une compromission WP2Shell. Leur site n'avait pas ete mis a jour depuis 14 mois. Nous avons applique ce processus en 7 etapes, puis mis en place un contrat de maintenance mensuel a 150 euros/mois incluant mises a jour, monitoring et sauvegardes. Le cout de la compromission initiale ? Plus de 8 000 euros en remediation et perte de chiffre d'affaires. La prevention aurait coute 1 800 euros sur l'annee entiere.