Maintenance WordPress : la checklist mensuelle qui protège votre site et booste vos performances

Étape 1 : Vérifier et créer une sauvegarde complète

Commençons par le plus crucial : la sauvegarde WordPress. Avant toute intervention sur votre site, avant toute mise à jour, vous devez disposer d’une sauvegarde récente et fonctionnelle. C’est votre filet de sécurité, votre plan B, votre police d’assurance.

Vérifiez d’abord que vos sauvegardes automatiques fonctionnent correctement. La plupart des plugins de sauvegarde (UpdraftPlus, BackWPup, Duplicator) créent des sauvegardes selon un calendrier. Mais une sauvegarde programmée n’est pas une sauvegarde garantie. Le processus peut échouer silencieusement pour mille raisons : espace disque insuffisant sur votre serveur web, timeout de script, conflit avec un autre plugin, changement de permissions sur les dossiers.

Consultez l’historique de vos sauvegardes. La dernière s’est-elle bien déroulée ? Combien de temps a-t-elle pris ? Quelle est sa taille ? Une sauvegarde anormalement petite ou rapide suggère un problème. Une sauvegarde complète d’un site standard devrait peser plusieurs centaines de Mo et inclure : tous vos fichiers WordPress (core, thèmes, plugins, uploads), votre base de données complète, vos fichiers de configuration (.htaccess, wp-config.php).

Créez une sauvegarde manuelle supplémentaire avant votre session de maintenance. C’est une sécurité additionnelle. Si votre mise à jour WordPress provoque un bug imprévu, vous pourrez restaurer instantanément l’état précédent. Beaucoup de plugins proposent une option « Backup Now » qui lance une sauvegarde complète en un clic.

Stockez vos sauvegardes hors site. Une sauvegarde sur le même serveur web que votre site est mieux que rien, mais si le serveur crash ou est compromis, vous perdez tout. Utilisez un stockage cloud (Dropbox, Google Drive, Amazon S3) automatiquement synchronisé. Les meilleurs plugins de sauvegarde WordPress intègrent cette fonctionnalité nativement.

Testez occasionnellement vos sauvegardes en les restaurant sur un environnement de développement. Une sauvegarde que vous n’avez jamais testé de restaurer est théorique. Le jour où vous en aurez vraiment besoin, sous stress, ce n’est pas le moment de découvrir que vos fichiers de sauvegarde sont corrompus ou incomplets.

Étape 2 : Mettre à jour WordPress, thèmes et plugins

Les mises à jour constituent le cœur de la sécurité WordPress. Chaque mise à jour corrige des bugs, améliore les performances, et surtout colmate des failles de sécurité. Ne jamais mettre à jour un site WordPress revient à laisser toutes vos portes et fenêtres ouvertes dans un quartier peu recommandable.

Commencez par le core WordPress lui-même. Connectez-vous à votre tableau de bord WordPress et vérifiez si une nouvelle version est disponible. WordPress propose deux types de mises à jour : les mises à jour mineures (de 6.4.1 à 6.4.2 par exemple) et les mises à jour majeures (de 6.4 à 6.5). Les mineures sont généralement automatiques et sans risque. Les majeures introduisent de nouvelles fonctionnalités et nécessitent votre validation.

Avant de cliquer sur « Mettre à jour maintenant », vérifiez la compatibilité de vos thèmes et plugins avec cette nouvelle version. Consultez les notes de version (changelog) sur WordPress.org. Parcourez les forums pour identifier d’éventuels problèmes signalés massivement. Si vous utilisez un thème ou un plugin spécialisé peu répandu, attendez quelques jours après la sortie d’une version majeure pour laisser la communauté détecter les bugs éventuels.

Passez ensuite aux plugins WordPress. Triez-les par ordre de mise à jour disponible. Lisez rapidement le changelog de chaque plugin avant de mettre à jour, surtout pour les plugins critiques (sécurité, e-commerce, formulaires). Certaines mises à jour changent radicalement le fonctionnement ou l’interface. Vous voulez savoir à quoi vous attendre.

Mettez à jour un plugin à la fois, puis testez rapidement votre site. Parcourez les pages principales, vérifiez que les fonctionnalités clés fonctionnent. Si quelque chose casse, vous saurez immédiatement quel plugin est responsable et pourrez le restaurer ou le désactiver. Mettre à jour tous les plugins en une fois rend le diagnostic impossible en cas de problème.

Les thèmes WordPress suivent la même logique. Si vous utilisez un thème premium, vérifiez sur le site de l’éditeur si une mise à jour est disponible. Certains thèmes complexes (Divi, Avada, Astra Pro) nécessitent une attention particulière car leurs mises à jour peuvent affecter la mise en page de vos pages construites avec leur page builder.

N’oubliez pas la version PHP de votre serveur. WordPress recommande PHP 8.0 ou supérieur pour des raisons de performance et de sécurité. Si votre hébergeur utilise encore PHP 7.4 ou inférieur, c’est un problème sérieux. Contactez-le pour migrer vers une version récente. Cette migration peut parfois casser certains plugins obsolètes, d’où l’importance de la faire dans le cadre de votre maintenance planifiée avec sauvegarde préalable.

Étape 3 : Auditer et nettoyer les plugins et thèmes inutilisés

Au fil du temps, votre site WordPress accumule des plugins et thèmes que vous n’utilisez plus. Vous avez testé un plugin de galerie photos puis opté pour un autre. Vous avez installé trois thèmes avant de choisir le bon. Ces éléments inactifs encombrent votre installation et représentent des risques de sécurité.

Un plugin WordPress désactivé n’exécute pas de code sur votre site, c’est vrai. Mais il reste physiquement présent dans vos fichiers. Si une vulnérabilité critique est découverte dans ce plugin, un hacker peut parfois l’exploiter même désactivé en accédant directement aux fichiers via des techniques avancées. La seule protection totale consiste à supprimer complètement les plugins inutilisés.

Dressez la liste de tous vos plugins dans Plugins > Plugins installés. Pour chaque plugin désactivé, posez-vous la question : vais-je le réactiver un jour ? Si la réponse est non ou « peut-être », supprimez-le. Vous pourrez toujours le réinstaller plus tard si nécessaire. WordPress garde une liste de vos plugins dans l’historique, facilitant la réinstallation.

Avant de supprimer un plugin, vérifiez qu’il ne stocke pas de données que vous souhaitez conserver. Certains plugins (formulaires de contact, membres, e-commerce) créent des tables dans votre base de données. La suppression du plugin peut ou non supprimer ces données selon son paramétrage. Exportez les données importantes avant suppression.

Même logique pour les thèmes WordPress. Vous ne pouvez avoir qu’un seul thème actif à la fois. Tous les autres sont superflus. Gardez éventuellement un thème par défaut de WordPress (Twenty Twenty-Four par exemple) comme thème de secours, mais supprimez tous les autres. Un thème inutilisé avec une faille de sécurité est une porte dérobée potentielle.

Cette politique minimaliste présente plusieurs avantages au-delà de la sécurité. Elle allège votre installation, facilite les sauvegardes (moins de fichiers à copier), accélère marginalement les process internes de WordPress, et simplifie votre gestion. Un site avec 8 plugins bien choisis est plus sain qu’un site avec 30 plugins dont la moitié sont redondants ou inutilisés.

Étape 4 : Optimiser et nettoyer la base de données

Votre base de données WordPress est le cœur pulsant de votre site. Elle stocke tout : vos articles, pages, commentaires, paramètres, options de plugins. Au fil des mois, elle accumule également énormément de déchets : révisions d’articles infinies, commentaires spam, données de plugins désinstallés, transients expirés, tables orphelines.

Cette accumulation ralentit progressivement votre site. Chaque requête à la base prend un peu plus de temps à s’exécuter. Votre hébergement web peut facturer au-delà d’une certaine taille de base. Les sauvegardes deviennent plus lourdes et plus lentes. Le nettoyage mensuel de votre base de données est donc essentiel.

Commencez par les révisions d’articles. WordPress sauvegarde automatiquement chaque version de vos contenus pendant leur édition. Un article modifié dix fois génère dix révisions stockées. Multipliez par des centaines d’articles et vous obtenez des milliers de révisions inutiles. Des plugins comme WP-Optimize ou Advanced Database Cleaner permettent de supprimer toutes les révisions au-delà des deux ou trois dernières.

Les commentaires spam sont un autre fléau. Même avec Akismet ou un plugin anti-spam, des dizaines de commentaires indésirables s’accumulent dans votre corbeille. Après 30 jours en corbeille, WordPress est censé les supprimer automatiquement, mais ce processus échoue parfois. Videz manuellement votre corbeille de commentaires lors de votre maintenance mensuelle.

Les transients sont des données temporaires utilisées par WordPress et les plugins pour mettre en cache certaines informations. Elles ont une durée de vie définie (quelques heures à quelques jours), après quoi elles deviennent obsolètes mais restent parfois dans la base. Un nettoyage des transients expirés libère de l’espace et améliore les performances.

Les tables orphelines proviennent de plugins désinstallés qui n’ont pas nettoyé derrière eux. Chaque plugin peut créer ses propres tables dans votre base de données. Quand vous le supprimez, ces tables persistent parfois. Des outils comme WP-DBManager vous montrent toutes les tables et vous permettent d’identifier celles qui n’appartiennent à aucun plugin actif.

Optimisez physiquement vos tables de base de données. Comme un disque dur fragmenté, une base de données non optimisée stocke les données de manière désordonnée. L’optimisation réorganise tout proprement, libérant de l’espace et accélérant les requêtes. La plupart des plugins de nettoyage incluent une fonction « Optimize Database » en un clic.

Attention : manipuler votre base de données comporte des risques. Une suppression malencontreuse peut casser votre site. D’où l’importance capitale de votre sauvegarde préalable (étape 1). Si vous n’êtes pas à l’aise avec ces opérations, utilisez des plugins réputés avec des interfaces visuelles sécurisées plutôt que de manipuler directement la base via phpMyAdmin.

Étape 5 : Vérifier la sécurité et renforcer les protections

La sécurité WordPress n’est jamais acquise définitivement. C’est un processus continu de surveillance et d’amélioration. Votre session mensuelle doit inclure un audit de sécurité systématique.

Vérifiez d’abord votre certificat SSL. Depuis que Google privilégie les sites HTTPS, avoir un SSL valide est non négociable. Visitez votre site avec https:// et vérifiez que le cadenas s’affiche correctement dans la barre d’adresse. Les certificats SSL expirent généralement annuellement ou tous les trois mois (Let’s Encrypt). Assurez-vous que le renouvellement automatique fonctionne.

Examinez les logs de tentatives de connexion échouées. Des plugins comme Wordfence ou iThemes Security enregistrent toutes les tentatives de login sur votre tableau de bord. Des dizaines ou centaines de tentatives échouées depuis des IP variées indiquent une attaque par force brute. Vérifiez que votre protection anti-brute force est active (limitation des tentatives, CAPTCHA, blocage temporaire d’IP).

Scannez votre site à la recherche de malwares. Des plugins comme Wordfence, Sucuri, ou MalCare proposent des scans gratuits qui analysent vos fichiers WordPress pour détecter des modifications suspectes, des scripts malveillants injectés, des portes dérobées. Lancez un scan complet mensuellement. Si quelque chose est détecté, agissez immédiatement : isolez le fichier infecté, nettoyez-le ou restaurez-le depuis une sauvegarde saine.

Vérifiez les comptes utilisateurs. Qui a accès à votre site ? Supprimez les comptes inactifs ou inutiles. Un ancien stagiaire, un prestataire qui n’intervient plus : chaque compte est un point d’entrée potentiel. Assurez-vous que tous les comptes administrateurs utilisent des mots de passe forts, idéalement gérés par un gestionnaire de mots de passe.

Examinez les permissions de fichiers et dossiers. WordPress recommande des permissions spécifiques : 755 pour les dossiers, 644 pour les fichiers, 600 pour wp-config.php. Des permissions trop laxistes (777) permettent à n’importe qui d’écrire dans vos fichiers. Votre hébergeur ou un plugin de sécurité peuvent vérifier et corriger ces permissions automatiquement.

Mettez à jour vos secrets de sécurité (security keys et salts). Ces chaînes aléatoires dans votre fichier wp-config.php chiffrent les informations de session. Les modifier régulièrement (tous les 6 à 12 mois) déconnecte tous les utilisateurs et invalide tous les cookies, compliquant la tâche d’éventuels hackers ayant intercepté des sessions. WordPress.org propose un générateur automatique de ces clés.

Étape 6 : Tester et optimiser les performances du site

Un site web lent perd des visiteurs et chute dans les résultats Google. Le temps de chargement est un facteur de SEO WordPress confirmé et un critère d’expérience utilisateur majeur. Votre maintenance mensuelle doit inclure un audit de performance.

Testez votre vitesse avec plusieurs outils : GTmetrix, Google PageSpeed Insights, Pingdom Tools. Lancez trois tests consécutifs et prenez la médiane pour éviter les résultats aberrants. Notez votre score et votre temps de chargement. Comparez avec le mois précédent. Une dégradation significative indique un problème à investiguer : plugin récemment ajouté, images trop lourdes, problème d’hébergement.

Vérifiez votre système de cache WordPress. Le cache stocke des versions pré-générées de vos pages pour éviter de les reconstruire à chaque visite. WP Super Cache, W3 Total Cache, WP Rocket : quel que soit votre plugin, assurez-vous qu’il fonctionne correctement. Videz le cache, puis rechargez une page et vérifiez qu’elle se met effectivement en cache (généralement visible dans le code source HTML via un commentaire).

Optimisez vos images. Les images représentent souvent 50% du poids total d’une page. Des plugins comme Smush, ShortPixel ou Imagify compressent automatiquement vos images sans perte visible de qualité. Vérifiez que cette compression fonctionne sur vos nouveaux uploads. Identifiez les images les plus lourdes de votre médiathèque et optimisez-les manuellement si nécessaire.

Examinez vos requêtes HTTP. Chaque fichier CSS, JavaScript, police, image nécessite une requête séparée au serveur. Plus il y a de requêtes, plus le chargement est lent. Des plugins d’optimisation peuvent minifier (compresser) et combiner ces fichiers pour réduire le nombre de requêtes. Vérifiez que cette optimisation ne casse rien sur votre site (certains scripts doivent rester séparés pour fonctionner).

Testez votre site sur mobile. Plus de 60% du trafic web est mobile. Google PageSpeed Insights vous donne un score séparé pour mobile et desktop. Le score mobile est généralement plus bas (les connexions mobiles sont plus lentes). Assurez-vous que votre site reste rapide et utilisable sur smartphone. Testez réellement sur plusieurs appareils si possible.

Surveillez votre serveur web. Si votre site est lent malgré toutes les optimisations, le problème vient peut-être de votre hébergement. Un serveur surchargé, peu de RAM, une bande passante limitée : votre hébergeur low-cost à 2€/mois montre peut-être ses limites. Consultez les statistiques de ressources fournies par votre hébergeur. Si vous approchez régulièrement des limites, envisagez un upgrade.

Étape 7 : Vérifier les erreurs 404 et les liens cassés

Les erreurs 404 (page non trouvée) nuisent à l’expérience utilisateur et au SEO WordPress. Un visiteur qui clique sur un lien et tombe sur une erreur 404 part frustré. Google interprète trop d’erreurs 404 comme un signe de site mal maintenu.

Consultez la Google Search Console section « Couverture » ou « Pages ». Google y signale les erreurs 404 qu’il rencontre en crawlant votre site. Ces erreurs proviennent souvent de pages que vous avez supprimées sans rediriger, de liens internes incorrects, ou de backlinks externes pointant vers des URLs qui n’existent plus.

Pour chaque erreur 404 significative (pages recevant du trafic ou des backlinks), créez une redirection 301 vers la page de remplacement appropriée. Si vous avez supprimé un article sur « meilleur CRM 2023 », redirigez vers votre nouvel article « meilleur CRM 2024 ». Des plugins comme Redirection facilitent cette gestion avec une interface simple.

Scannez vos liens cassés internes avec un plugin comme Broken Link Checker. Il analyse automatiquement tous les liens dans vos articles, pages et commentaires, signalant ceux qui renvoient vers des pages inexistantes. Ces liens cassés internes sont souvent créés par inadvertance : vous changez le permalien d’une page sans mettre à jour les liens pointant vers elle.

Corrigez ces liens cassés immédiatement. Soit en mettant à jour le lien vers la bonne URL, soit en supprimant le lien s’il n’est plus pertinent. Un site professionnel ne doit contenir aucun lien cassé interne. C’est un signe de négligence qui érode la confiance.

Étape 8 : Analyser les statistiques et ajuster votre stratégie

Votre maintenance mensuelle est aussi l’occasion de prendre du recul et d’analyser les performances globales de votre site WordPress.

Consultez Google Analytics ou votre outil de statistiques. Quel a été votre trafic ce mois-ci comparé au mois précédent ? Quelles pages ont été les plus visitées ? D’où viennent vos visiteurs (recherche organique, réseaux sociaux, direct) ? Quel est votre taux de rebond moyen ? Ces métriques vous indiquent si votre site progresse ou stagne.

Examinez la Google Search Console. Quelles requêtes génèrent des impressions mais peu de clics ? Ce sont des opportunités d’optimisation. Quelles pages perdent du trafic ? Peut-être ont-elles besoin d’être mises à jour ou enrichies. Avez-vous reçu des messages d’erreur ou des pénalités ? Agissez immédiatement.

Vérifiez votre monitoring site web si vous en avez un. Des outils comme UptimeRobot ou Pingdom surveillent en continu si votre site est accessible. Combien de temps votre site a-t-il été down ce mois-ci ? Une disponibilité en dessous de 99,5% est problématique et signale des problèmes d’hébergement.

Notez les actions à entreprendre pour le mois prochain. Peut-être avez-vous identifié un plugin problématique à remplacer, du contenu à mettre à jour, une fonctionnalité à ajouter. Documentez ces observations pour ne pas les oublier.

Mon accompagnement : maintenance WordPress professionnelle externalisée

Gérer mensuellement tous ces aspects techniques peut sembler intimidant, surtout si votre cœur de métier n’est pas le web. Vous avez une entreprise à faire tourner, des clients à servir, une expertise à développer. Passer deux heures chaque mois à maintenir votre site WordPress n’est peut-être pas le meilleur usage de votre temps.

C’est précisément là que mes services de maintenance WordPress interviennent. J’accompagne des entrepreneurs, des PME et des professionnels en prenant en charge intégralement la maintenance technique de leur site WordPress, leur permettant de se concentrer sur leur activité principale.

Mon offre de maintenance mensuelle couvre l’intégralité de cette checklist : sauvegarde WordPress complète avant intervention, mise à jour du core WordPress, des thèmes et plugins avec tests de compatibilité, nettoyage et optimisation de la base de données, audit et renforcement de la sécurité WordPress, optimisation des performances et de la vitesse, monitoring des erreurs 404 et liens cassés, analyse des statistiques avec recommandations.

Au-delà de la checklist standard, j’interviens également en cas de problème urgent : site piraté, page blanche, erreur critique. Vous avez un point de contact unique qui connaît parfaitement votre site et peut intervenir rapidement plutôt que de devoir expliquer votre situation à un support technique généraliste.

Mes clients reçoivent un rapport mensuel détaillant toutes les actions effectuées, les problèmes détectés et résolus, les recommandations d’amélioration, et l’évolution des métriques clés (vitesse, sécurité, disponibilité). Cette transparence totale vous permet de suivre la santé de votre site sans avoir à plonger dans les aspects techniques.

Je propose des formules adaptées à différents types de sites : maintenance basique pour sites vitrines simples, maintenance avancée pour sites e-commerce ou sites à fort trafic, maintenance premium avec surveillance 24/7 et intervention sous 2h en cas de problème critique.

L’investissement est largement compensé par la tranquillité d’esprit et le temps libéré. Mais surtout, par les coûts évités : un site piraté peut coûter plusieurs milliers d’euros à nettoyer et faire perdre des semaines de revenus. Une perte de position SEO suite à des problèmes de performance peut prendre des mois à récupérer. Un client perdu à cause d’un site lent ou défaillant ne revient généralement pas.

Si vous voulez déléguer la maintenance de votre site WordPress à un expert qui le traitera comme le sien, contactons-nous pour discuter de vos besoins spécifiques. Premier audit gratuit pour évaluer l’état actuel de votre site et identifier les priorités.