Checklist de maintenance WordPress : que faire chaque mois

WordPress fait tourner une grande part du web, ce qui en fait aussi une grande cible. La plupart des sites WordPress piratés ne sont pas victimes d’attaques sophistiquées. Ils utilisent une extension qui n’a pas été mise à jour depuis deux ans, avec un mot de passe inchangé depuis le lancement.

Un entretien régulier évite presque tout cela. Voici la checklist que je déroule sur les sites dont je m’occupe. Une fois en place, l’essentiel prend moins d’une heure par mois.

Chaque semaine

Vérifiez que le site fonctionne. Ouvrez la page d’accueil et une ou deux pages clés. Mieux encore, installez une surveillance de disponibilité qui vous envoie un e-mail quand le site tombe.

Regardez les envois de formulaires. Si les demandes s’arrêtent d’un coup, vérifiez que le formulaire de contact envoie toujours. Les pannes silencieuses de formulaire sont fréquentes après une mise à jour ou un changement de messagerie.

Chaque mois

Sauvegardez d’abord. Avant toute mise à jour, assurez-vous qu’une sauvegarde récente existe et qu’elle est stockée en dehors de votre compte d’hébergement. Des sauvegardes automatiques quotidiennes valent mieux, avec au moins 30 jours conservés.

Testez une restauration. Une fois par trimestre, restaurez une sauvegarde sur une copie de test. C’est le seul moyen de savoir que les sauvegardes fonctionnent vraiment.

Mettez à jour le cœur de WordPress, les thèmes et les extensions. Faites-le d’abord sur une copie de test si le site compte pour votre activité. Lisez le journal des modifications des versions majeures, puis mettez à jour le site en ligne et vérifiez les pages clés et les formulaires.

Supprimez ce que vous n’utilisez pas. Chaque extension et chaque thème inactif reste du code qui peut être attaqué. Supprimez-les, ne vous contentez pas de les désactiver.

Repérez les extensions abandonnées. Si une extension n’a pas été mise à jour depuis plus d’un an, cherchez une alternative maintenue.

Passez en revue les comptes utilisateurs. Retirez les personnes parties, vérifiez que seules les bonnes personnes sont administrateurs et que chacun utilise un mot de passe fort et unique, avec une connexion à deux facteurs.

Lancez une analyse de sécurité. Un scanner comme Wordfence, ou l’outil anti-malware de votre hébergeur, signalera les fichiers modifiés et les failles connues.

Contrôlez la vitesse. Passez votre page d’accueil dans PageSpeed Insights. Si le score mobile a baissé, regardez les extensions, images et scripts ajoutés récemment.

Consultez la Search Console. Cherchez les nouvelles erreurs, les pages sorties de l’index et les alertes de sécurité.

Chaque trimestre

Vérifiez votre version de PHP. Les anciennes versions de PHP ne reçoivent plus de correctifs de sécurité. Le panneau de contrôle de votre hébergeur indique laquelle vous utilisez ; demandez-lui avant de la mettre à niveau.

Faites le point sur votre hébergement. Le site est-il assez rapide, le support est-il réactif, les copies de test et les sauvegardes sont-elles incluses ? Un hébergement bon marché coûte souvent plus cher en temps.

Nettoyez la base de données. Les anciennes révisions, les commentaires indésirables et les transients expirés ralentissent le site. Une extension comme WP-Optimize peut les ranger, après une sauvegarde.

Contrôlez les renouvellements. Domaine, hébergement, SSL et licences d’extensions premium. Un domaine expiré est la panne la plus évitable qui soit.

Chaque année

Relisez votre contenu. Mettez à jour ou supprimez les pages dépassées, vérifiez que les coordonnées et les prix sont toujours justes, et corrigez les liens cassés.

Faites le point sur les accès. Hébergement, registrar du domaine, DNS, statistiques et administration WordPress. Notez-les au même endroit.

Quand quelque chose tourne mal

Si le site affiche un écran blanc, une erreur ou un contenu étrange, ne paniquez pas et ne commencez pas à supprimer des extensions sur le site en ligne. Faites une sauvegarde de l’état actuel, puis restaurez la dernière bonne sauvegarde ou travaillez sur une copie. Si le site a été piraté, changez tous les mots de passe après le nettoyage, pas avant, sinon l’attaquant peut simplement se reconnecter.

Le faire soi-même, ou non

Tout ce qui précède est à la portée d’un propriétaire de site rigoureux. Le plus difficile est de penser à le faire chaque mois, et de savoir quoi faire quand une mise à jour casse quelque chose. Si vous préférez ne plus y penser, mes forfaits de maintenance WordPress couvrent tout cela, avec un court rapport mensuel.