Mon site WordPress est-il à jour ? Comment le vérifier en cinq minutes

Pourquoi cette question mérite cinq minutes de votre temps

Un site WordPress qui n'est pas mis à jour ne tombe pas en panne. Il continue de s'afficher normalement, ce qui est précisément le problème : rien ne vous avertit.

Ce qui se passe est invisible. Les failles de sécurité des versions anciennes sont publiées — c'est le principe même d'un correctif : on annonce ce qu'il corrige. Des programmes balaient alors le web à la recherche de sites restés sur ces versions. Personne ne vous vise, vous êtes simplement dans la liste.

Quand un site est compromis, le signe le plus courant n'est pas une page noire avec un message. C'est l'ajout discret de liens invisibles vers des sites douteux, que Google finit par repérer. Vous l'apprenez en constatant que vous n'apparaissez plus dans les résultats.

Vérification 1 — la version de WordPress, depuis l'extérieur

Vous n'avez besoin d'aucun accès pour cette première vérification.

1. Ouvrez votre site.
2. Faites un clic droit n'importe où sur la page, puis « Afficher le code source de la page ».
3. Une page de texte s'ouvre. Cherchez le mot generator avec Ctrl+F.

Si vous trouvez une ligne du genre <meta name="generator" content="WordPress 5.8">, vous avez votre réponse : c'est la version installée.

Comparez-la avec la version courante, indiquée sur fr.wordpress.org. Un écart d'une version mineure est normal. Un écart de plusieurs versions majeures signifie que personne ne s'en occupe depuis longtemps.

Si vous ne trouvez rien, ce n'est pas forcément bon signe : cette ligne est souvent masquée, par précaution ou par une extension. Passez à la vérification suivante.

Vérification 2 — le tableau de bord

Connectez-vous à votre administration, généralement à l'adresse de votre site suivie de /wp-admin.

Le tableau de bord affiche en haut le nombre de mises à jour en attente. Deux chiffres méritent votre attention :

• Le nombre d'extensions à mettre à jour. Trois ou quatre après quelques semaines, c'est la vie normale d'un site. Quinze ou vingt, c'est un site laissé de côté depuis plus d'un an.
• Les extensions marquées comme non maintenues. WordPress signale celles dont l'auteur a cessé le développement. Ce sont les plus dangereuses : elles ne recevront plus jamais de correctif, quoi qu'il arrive.

Regardez aussi la date du dernier article ou de la dernière modification. Un site dont la dernière intervention remonte à trois ans est un site que plus personne ne surveille.

Vérification 3 — le certificat de sécurité

Regardez la barre d'adresse de votre navigateur. Si votre adresse commence par http:// sans le s, ou si un avertissement apparaît, votre certificat est absent ou expiré.

Ce n'est pas un détail cosmétique. Les navigateurs affichent « Non sécurisé » en clair à côté de votre nom de domaine, et un visiteur sur deux fait demi-tour en le voyant. Google, de son côté, en tient compte dans son classement.

Un certificat coûte aujourd'hui zéro euro et se renouvelle automatiquement. S'il manque, ce n'est pas une question de budget : c'est que personne ne l'a mis en place.

Ce que vous pouvez faire vous-même, et ce qu'il vaut mieux ne pas faire

Mettre à jour une extension se fait en un clic. Le risque n'est pas dans le geste, il est dans ce qui suit : une mise à jour peut casser l'affichage d'une page, ou entrer en conflit avec une autre extension.

Deux précautions avant de cliquer :

• Assurez-vous d'avoir une sauvegarde récente — et surtout de savoir comment la restaurer. Une sauvegarde qu'on ne sait pas remettre en place ne sert à rien le jour où il faut s'en servir.
• Mettez à jour une extension à la fois, en regardant votre site entre chaque. Si quelque chose casse, vous savez immédiatement quoi.

En revanche, si vous découvrez une version de WordPress vieille de plusieurs années, ne vous lancez pas dans une mise à jour directe. L'écart est trop grand : c'est le genre d'opération qui laisse un site inutilisable en milieu de parcours. Faites-la faire.

Si vous trouvez quelque chose d'inquiétant

Deux signes doivent vous faire agir sans attendre : des pages que vous n'avez jamais créées, ou un message de Google Search Console signalant du contenu trompeur.

Dans ce cas, ne supprimez rien vous-même. Un site compromis contient généralement plusieurs points d'entrée, et retirer celui qu'on voit ne fait que masquer le problème. Il faut nettoyer l'ensemble et refermer la porte.

Décrivez-moi ce que vous avez trouvé — je vous dirai si c'est sérieux, et ce que ça implique. Que vous deveniez client ou non.