Une extension pour le formulaire de contact, une pour la bannière de cookies, une pour le diaporama, trois pour le SEO, une installée un jour pour une vidéo d’entreprise disparue depuis longtemps : sans vous en rendre compte, quarante extensions tournent sur votre site WordPress. Chaque extension est un bout de code écrit par quelqu’un que vous ne connaissez pas, qui s’exécute avec tous les droits sur votre site. Dans cet article, vous découvrez combien d’extensions est normal, pourquoi chaque extension est un risque et comment faire le ménage en sécurité, sans faire tomber votre site.

Combien d’extensions, c’est trop ?

Il n’y a pas de chiffre magique. Un site d’entreprise bien construit compte généralement 10 à 20 extensions ; une boutique en ligne 20 à 35. Ce n’est pas le nombre qui compte, mais la qualité et la nécessité. Une extension mal entretenue est plus dangereuse que dix bonnes. Si vous dépassez la trentaine sur un site d’entreprise ordinaire, il y a de fortes chances que certaines fassent la même chose, ne servent plus à rien ou ne soient plus mises à jour.

Pourquoi chaque extension est un risque

  • Sécurité. La grande majorité des failles des sites WordPress ne se trouvent pas dans WordPress lui-même, mais dans les extensions et les thèmes : dans les rapports annuels de sociétés de sécurité comme Patchstack, il s’agit de bien plus de neuf failles signalées sur dix. Chaque extension est une porte de plus qu’un attaquant peut essayer.
  • Vitesse. Beaucoup d’extensions chargent leurs propres scripts et feuilles de style sur chaque page, même là où elles ne servent pas. Dix extensions qui coûtent « seulement » 100 millisecondes chacune ralentissent votre site d’une seconde.
  • Conflits. Deux extensions qui touchent au même composant (par exemple deux extensions de cache ou deux de SEO) provoquent des erreurs imprévisibles que personne ne retrouve.
  • Extensions abandonnées. Une extension sans mise à jour depuis deux ans cessera un jour de fonctionner avec une nouvelle version de WordPress ou de PHP, et ses failles connues ne seront jamais corrigées.

Étape 1 : faites une liste et posez trois questions par extension

Dans WordPress, allez dans Extensions et parcourez la liste. Pour chaque extension, demandez-vous :

  1. Que fait-elle exactement ? Si vous ne le savez pas, c’est déjà une réponse.
  2. Est-ce que je l’utilise encore ? Le diaporama d’une page qui n’existe plus, la liaison avec un service de newsletter résilié, la page « bientôt disponible » d’il y a trois ans.
  3. Une autre extension, le thème ou WordPress lui-même le fait-il déjà ? WordPress fait aujourd’hui beaucoup sans extension : redimensionner les images, lazy loading, plan de site XML. Les bons thèmes et extensions de formulaires intègrent souvent déjà diaporama, boutons et pop-ups.

Étape 2 : repérez les extensions dont vous pouvez vous passer de toute façon

Doublons : deux extensions SEO, deux de cache, deux de sécurité, deux de formulaires. Choisissez-en une.

Outils à usage unique : extensions pour une migration, un import, un nettoyage de base de données ou une « régénération des miniatures » utilisées une seule fois. Supprimez-les, et réinstallez-les si besoin.

Extensions désactivées. Désactivée ne veut pas dire disparue : les fichiers sont toujours sur le serveur et une faille dans une extension désactivée peut parfois être exploitée quand même. Ce qui est désactivé peut partir.

Extensions de statistiques, de partage et de widgets dont vous ne regardez jamais les chiffres.

Extensions abandonnées : la liste des extensions indique la date de la dernière mise à jour. Plus d’un an, ou un avertissement « non testée avec votre version de WordPress » ? Cherchez une alternative.

Étape 3 : ce dont vous avez vraiment besoin

Quelques extensions ont leur place sur presque tous les sites professionnels :

  • une extension de formulaires pour le contact et les devis ;
  • une seule extension SEO pour les titres, descriptions et le plan de site ;
  • une seule extension de cache ou de vitesse (sauf si votre hébergeur gère cela sur le serveur, comme nous le faisons) ;
  • une extension cookies et confidentialité si vous utilisez des statistiques ou des scripts marketing ;
  • une solution de sauvegarde, sauf si votre hébergeur fait des sauvegardes quotidiennes que vous pouvez restaurer ; comment faire une sauvegarde vous-même est expliqué dans Comment sauvegarder votre site WordPress ;
  • une extension de sécurité avec pare-feu et limitation des tentatives de connexion.

Tout le reste doit mériter sa place : faire quelque chose que vos clients voient ou qui génère du chiffre d’affaires.

Étape 4 : comment choisir une nouvelle extension

Il en faut quand même une de plus ? Sur la page de l’extension sur WordPress.org, regardez quatre choses : le nombre d’installations actives (de préférence des dizaines de milliers ou plus), la date de la dernière mise à jour (il y a moins de quelques mois), la note (et lisez quelques avis à une étoile pour voir ce qui cloche) et si le développeur répond aux questions sur le forum de support. Une extension avec 300 installations et une mise à jour de 2023, vous ne l’installez pas, aussi pratique semble-t-elle.

Étape 5 : faites le ménage en sécurité

  1. Faites d’abord une sauvegarde des fichiers et de la base de données. Ne sautez pas cette étape.
  2. Désactivez l’extension, sans la supprimer encore. Parcourez votre site : accueil, pages de services, formulaire de contact, passage en caisse de la boutique.
  3. Tout est en ordre ? Alors supprimez l’extension. La suppression retire les fichiers ; certaines extensions laissent des tables dans la base de données. Beaucoup ont une option « supprimer toutes les données à la désinstallation » : activez-la avant de supprimer.
  4. Procédez une extension à la fois. Si vous en supprimez dix d’un coup et que quelque chose casse, vous ne saurez pas laquelle est en cause.
  5. Vous avez un environnement de test (staging) ? Faites-le d’abord là. Sur les sites que nous maintenons, nous testons chaque modification d’abord sur une copie du site.

Étape 6 : gardez le site propre

Faire le ménage n’est pas une action ponctuelle. Parcourez la liste chaque trimestre ou semestre, gardez toutes les extensions à jour et vérifiez après une mise à jour de WordPress ou de PHP que tout fonctionne encore. Quelle version PHP vous utilisez, vous le vérifiez en une minute. Si une faille est découverte dans une extension pour laquelle l’éditeur n’a pas encore de correctif, attendre n’est pas une option : lisez comment nous résolvons cela dans Colmater les failles sans attendre l’éditeur.

Pas envie de faire cela vous-même tous les six mois ? Un contrat de maintenance comprend en standard un nettoyage annuel des extensions, des mises à jour testées d’abord sur une copie et la surveillance des failles connues.

Vous voulez savoir quelles extensions peuvent partir de votre site ?

Laissez l’adresse de votre site ci-dessous. Nous regardons quelles extensions tournent, lesquelles sont obsolètes ou superflues et ce qu’elles font à votre vitesse et à votre sécurité. Vous recevez par e-mail un rapport personnalisé avec des améliorations concrètes. Gratuit et sans engagement.

Réserver un entretien gratuit   

Vous préférez appeler ? +31 (0)166 700204, du lundi au vendredi de 9h00 à 17h30.