WordPress, PHP : pourquoi les mises à jour comptent

Votre site tourne grâce à plusieurs logiciels empilés. Chacun reçoit des correctifs de sécurité, tant qu'il est maintenu. Après, les failles restent ouvertes.

De quels logiciels parle-t-on ?

• Le logiciel du site, le plus souvent WordPress, avec son thème et ses extensions.
• PHP, le langage qui fait fonctionner WordPress et beaucoup d'autres sites. Chaque version est maintenue environ trois ans, puis abandonnée.
• Le serveur web (Apache, nginx), qui envoie les pages aux visiteurs.

Pourquoi c'est important

Quand une faille est découverte dans WordPress ou une extension, elle est publiée avec son correctif. Des robots parcourent alors Internet à la recherche des sites qui n'ont pas fait la mise à jour. Ils ne visent pas votre entreprise en particulier : ils essaient tout le monde. Un site piraté sert ensuite à envoyer du spam, à afficher de fausses pages de banque ou à rediriger vos visiteurs ailleurs.

Ce que le bilan vérifie

• La version de PHP, quand le serveur l'affiche : est-elle encore maintenue, et jusqu'à quand ?
• La version de WordPress, quand elle est visible : est-ce la dernière ?
• Ce que le serveur dit de lui-même. Afficher « Apache 2.4.41, PHP 7.4 » à chaque visiteur, c'est donner aux robots la liste de ce qu'ils peuvent essayer.
• Les extensions visibles. Le bilan liste celles qu'on reconnaît dans le code de la page.

Que faire

Changer de version de PHP se fait en général en un clic chez l'hébergeur, mais il faut vérifier avant que le site le supporte. Les mises à jour de WordPress et des extensions se font dans l'administration du site, après une sauvegarde. Le plus sûr est de le faire régulièrement, tous les mois, plutôt qu'une fois tous les deux ans.