Les 7 Erreurs WordPress les Plus Courantes et Comment les Éviter

Après plus de dix ans à dépanner, maintenir et développer des sites WordPress au quotidien, nous avons identifié un schéma qui se répète sans cesse. Les mêmes erreurs reviennent encore et encore, commises aussi bien par les débutants que par les utilisateurs expérimentés. Ces erreurs sont responsables de la grande majorité des pannes, des piratages et des problèmes de performance que nous traitons chaque semaine. La bonne nouvelle, c’est qu’elles sont toutes évitables une fois que vous les connaissez.

Ce guide détaille chaque erreur, explique pourquoi elle est dangereuse et vous donne les solutions concrètes pour vous en prémunir.

Erreur N°1 — Utiliser des Plugins ou Thèmes Piratés (Nulled)

C’est l’erreur la plus dangereuse de toute cette liste et malheureusement encore très répandue, en particulier chez les débutants qui cherchent à économiser le prix d’une licence premium.

Pourquoi c’est Dangereux

Les plugins et thèmes piratés (appelés « nulled ») téléchargés sur des sites non officiels contiennent dans la grande majorité des cas du code malveillant soigneusement dissimulé. Les pirates investissent du temps et de l’argent pour créer ces sites de distribution gratuite — et ils se rémunèrent en injectant des backdoors dans les fichiers. Ces backdoors leur permettent d’accéder à votre site quand ils le souhaitent pour installer des redirections vers des sites malveillants, injecter du spam SEO invisible (liens pharmaceutiques, casinos) qui ruine votre référencement, utiliser votre serveur pour envoyer du spam email, installer un mineur de cryptomonnaie qui consomme vos ressources serveur, ou voler les données de vos visiteurs et clients.

Le Coût Réel

L’économie de 50 à 100€ sur une licence de plugin se transforme rapidement en une facture de nettoyage de 150 à 300€, sans compter les jours d’indisponibilité, la perte potentielle de données, la dégradation du référencement et la perte de confiance de vos visiteurs si Google affiche un avertissement de sécurité. Nous voyons régulièrement des sites dont le nettoyage complet après utilisation de plugins piratés coûte plus de dix fois le prix de la licence légitime.

La Solution

Achetez toujours vos plugins et thèmes sur les sites officiels : WordPress.org pour les extensions gratuites, et les sites des éditeurs pour les versions premium. Si un plugin premium est trop cher pour votre budget, cherchez une alternative gratuite qui couvre vos besoins essentiels — il en existe presque toujours une.

Erreur N°2 — Ne Pas Faire de Sauvegardes

C’est l’erreur dont les conséquences sont les plus catastrophiques. Sans sauvegarde récente, un piratage, un crash serveur, une erreur humaine ou une mise à jour ratée peut signifier la perte totale de votre site : articles, pages, images, réglages, commentaires — tout.

Pourquoi Tant de Sites ne Sont Pas Sauvegardés

Beaucoup de propriétaires de sites pensent que leur hébergeur fait des sauvegardes (ce n’est pas toujours le cas, et quand c’est le cas les sauvegardes sont souvent insuffisantes). D’autres pensent que « ça n’arrive qu’aux autres ». D’autres encore ont installé un plugin de sauvegarde mais ne l’ont jamais configuré correctement ou n’ont jamais vérifié que les sauvegardes fonctionnaient réellement.

Ce qu’il Faut Mettre en Place

Configurez des sauvegardes automatiques quotidiennes qui incluent à la fois les fichiers ET la base de données. Stockez les sauvegardes sur un serveur externe (pas sur le même serveur que votre site — si le serveur tombe, vos sauvegardes tombent avec). Conservez au minimum trente jours d’historique pour pouvoir revenir à un point antérieur en cas de piratage détecté tardivement. Et surtout, testez régulièrement vos sauvegardes en réalisant une restauration de test — une sauvegarde qui ne fonctionne pas est pire que pas de sauvegarde du tout, car elle vous donne un faux sentiment de sécurité.

Erreur N°3 — Repousser les Mises à Jour

Les notifications de mise à jour qui s’accumulent dans votre tableau de bord WordPress ne sont pas de simples rappels ennuyeux que vous pouvez ignorer indéfiniment. Chaque mise à jour non appliquée est potentiellement une porte d’entrée pour les pirates.

Le Mécanisme du Risque

Quand une faille de sécurité est découverte dans un plugin WordPress, le processus est le suivant : le développeur corrige la faille et publie une mise à jour, la faille est documentée publiquement dans les bases de données de vulnérabilités, et les pirates créent des scripts automatisés qui scannent Internet à la recherche de sites qui n’ont pas encore appliqué le correctif. Ce processus prend parfois seulement quelques heures. Un site avec des mises à jour en retard de quelques semaines peut avoir plusieurs failles connues et documentées, chacune exploitable par des outils automatisés.

La Bonne Pratique

Appliquez les mises à jour de sécurité critiques dans les 48 heures suivant leur publication. Vérifiez et appliquez les mises à jour fonctionnelles au moins une fois par semaine. Créez systématiquement une sauvegarde complète avant chaque session de mises à jour. Appliquez les mises à jour une par une (pas toutes en même temps) pour identifier rapidement la source d’un éventuel problème de compatibilité. Et vérifiez le bon fonctionnement du site après chaque mise à jour.

Erreur N°4 — Installer Trop de Plugins

Certains utilisateurs WordPress développent un réflexe compulsif : chaque besoin, aussi mineur soit-il, est résolu par l’installation d’un nouveau plugin. Un plugin pour ajouter trois lignes de CSS personnalisé. Un plugin pour insérer un code de tracking Google Analytics. Un plugin pour afficher un message dans le footer. Résultat : trente, quarante, parfois soixante plugins installés qui transforment votre site en une usine à gaz instable et lente.

Les Problèmes Concrets

Chaque plugin ajoute du code PHP qui s’exécute à chaque chargement de page, des fichiers CSS et JavaScript supplémentaires que le navigateur doit télécharger, et potentiellement des requêtes de base de données additionnelles. Plus de plugins signifie aussi plus de risques de conflit entre eux, plus de surface d’attaque en termes de sécurité et plus de mises à jour à gérer.

La Règle à Suivre

Avant d’installer un plugin, posez-vous trois questions. Est-ce que j’en ai vraiment besoin ou est-ce un gadget ? Est-ce que cette fonctionnalité peut être obtenue autrement (par le thème, par un snippet de code, par un plugin que j’ai déjà) ? Ce plugin est-il activement maintenu et bien noté ? Faites régulièrement le ménage : désactivez et supprimez les plugins que vous n’utilisez plus. Un plugin désactivé mais présent sur le serveur reste une faille de sécurité potentielle.

Erreur N°5 — Utiliser « admin » comme Identifiant et un Mot de Passe Faible

L’identifiant « admin » est le premier testé par les robots qui attaquent les pages de connexion WordPress par force brute. Des milliers de tentatives par jour, automatisées, testant « admin » avec les mots de passe les plus courants. Si votre identifiant est « admin » et votre mot de passe est le nom de votre entreprise, votre date de naissance, « 123456 » ou « motdepasse », c’est une question de temps avant que votre site soit compromis.

Ce que les Pirates Exploitent

Les attaques par force brute testent des milliers de combinaisons par minute. Les attaques par dictionnaire utilisent des listes de mots de passe courants et de variations prévisibles. Les attaques par credential stuffing utilisent des identifiants volés lors de fuites de données d’autres services (si vous réutilisez le même mot de passe entre votre email, Facebook et WordPress, la compromission d’un seul service donne accès aux autres).

La Protection Efficace

Utilisez un identifiant unique qui n’est pas « admin », « administrator » ou votre nom. Créez un mot de passe d’au moins seize caractères combinant majuscules, minuscules, chiffres et caractères spéciaux. Ne réutilisez jamais le même mot de passe entre différents services. Utilisez un gestionnaire de mots de passe comme Bitwarden ou 1Password pour générer et stocker des mots de passe complexes. Et activez l’authentification à deux facteurs pour ajouter une couche de protection supplémentaire.

Erreur N°6 — Négliger l’Optimisation des Images

Les images représentent en moyenne 50 à 70% du poids total d’une page web. Une seule photo uploadée directement depuis un appareil photo ou un outil de design peut peser entre 2 et 10 mégaoctets. Multipliez par les dizaines ou centaines d’images d’un site et vous obtenez un site extrêmement lourd qui met des secondes à charger.

L’Impact Concret

Un site dont les pages pèsent 5 Mo au lieu de 500 Ko met quatre à cinq fois plus de temps à charger sur une connexion mobile. Google pénalise les sites lents dans ses résultats de recherche. Vos visiteurs n’attendent pas : 40% d’entre eux quittent un site qui met plus de trois secondes à charger. Pour un e-commerce, chaque seconde de chargement supplémentaire réduit les conversions de 7%.

La Solution Complète

Redimensionnez vos images aux dimensions réelles d’affichage avant de les uploader (pas besoin d’une image de 4000 pixels de large pour un emplacement qui affiche 800 pixels). Compressez chaque image avec un outil ou un plugin dédié (ShortPixel, Imagify, Smush) qui réduit le poids de 60 à 80% sans perte de qualité visible. Convertissez en format WebP pour un gain supplémentaire de 25 à 35%. Et activez le lazy loading pour ne charger les images qu’au moment où elles deviennent visibles à l’écran.

Erreur N°7 — Ne Pas Tester sur Mobile

Plus de 60% du trafic web se fait sur mobile en France. Pourtant, la majorité des propriétaires de sites WordPress ne consultent leur site que sur leur écran de bureau de 24 ou 27 pouces. Résultat : un site qui s’affiche parfaitement sur desktop mais qui est inutilisable sur smartphone.

Les Problèmes Courants sur Mobile

Le texte est trop petit et oblige à zoomer pour lire. Les boutons d’appel à l’action sont trop petits pour être cliqués au doigt (Google recommande une taille minimale de 48×48 pixels). Les images débordent de l’écran ou sont coupées. Les menus de navigation ne fonctionnent pas ou sont impossibles à utiliser. Les formulaires ne sont pas adaptés au clavier tactile. Les popups couvrent tout l’écran sans possibilité de les fermer facilement.

La Bonne Pratique

Testez systématiquement votre site sur un vrai smartphone après chaque modification significative. N’utilisez pas uniquement l’outil d’émulation du navigateur desktop qui ne reflète pas fidèlement l’expérience mobile réelle. Vérifiez le rapport Mobile Usability dans Google Search Console qui signale les problèmes d’ergonomie mobile détectés par Google. Et faites tester votre site par des personnes de votre entourage qui utilisent différents appareils et tailles d’écran.

Le Dénominateur Commun : le Manque de Maintenance

Ces sept erreurs ont un point commun : elles résultent toutes d’un manque de maintenance régulière et de suivi professionnel. Un site WordPress sans maintenance est un site qui accumule progressivement des risques, des vulnérabilités et des dettes techniques jusqu’au jour où tout s’effondre — généralement au pire moment possible.

Un forfait de maintenance professionnelle prend en charge l’ensemble de ces aspects de manière proactive : mises à jour appliquées chaque semaine, sauvegardes quotidiennes vérifiées, sécurité surveillée en permanence, performances optimisées régulièrement et support technique disponible quand vous en avez besoin. Le coût de la prévention (à partir de 59€/mois) est toujours inférieur au coût de la réparation.

## FAQ

Q : J’ai commis l’une de ces erreurs, est-il trop tard pour corriger ?

Il n’est jamais trop tard pour corriger le tir. Nous pouvons nettoyer un site infecté par un plugin piraté, mettre en place des sauvegardes, rattraper les mises à jour en retard, supprimer les plugins inutiles, renforcer la sécurité des accès et optimiser les images et les performances. L’important est d’agir maintenant plutôt que d’attendre qu’un problème grave survienne.

Q : Combien de plugins est-ce « trop » ?

Il n’y a pas de nombre magique. L’important est la qualité des plugins bien plus que leur quantité. Vingt plugins légers, bien codés et activement maintenus peuvent être moins impactants que cinq plugins mal optimisés. Cela dit, si vous avez plus de trente plugins, il est probable que certains soient redondants ou inutiles et méritent d’être supprimés.

Q : Les mises à jour automatiques de WordPress sont-elles suffisantes ?

Les mises à jour automatiques mineures (correctifs de sécurité du core WordPress) sont activées par défaut et c’est une bonne chose. Mais elles ne couvrent ni les mises à jour majeures de WordPress, ni les mises à jour des plugins et du thème, ni la vérification post-mise à jour que tout fonctionne correctement. Un suivi professionnel reste nécessaire pour une maintenance complète.

Q : Comment savoir si mon site a été compromis par un plugin piraté ?

Les signes d’un site compromis incluent des redirections inattendues vers des sites tiers, du contenu spam visible dans le code source mais pas forcément à l’écran, des comptes administrateurs inconnus dans WordPress, des fichiers suspects dans votre installation et un avertissement de sécurité de Google. Un scan de sécurité avec Wordfence ou Sucuri permet de détecter la plupart des infections.