Derrière une façade qui s’affiche normalement, un WordPress abandonné depuis trois ans cache presque toujours la même chose : des dizaines de mises à jour en retard, des extensions mortes ou vulnérables, des comptes oubliés, aucune sauvegarde exploitable, et parfois du code malveillant. Il se remet en état par étapes, sur une copie, jamais d’un clic. Je reprends régulièrement ce genre de site. Voici l’inventaire type, sans exagération, et la méthode pour le remettre debout.
Le tableau de bord : des mises à jour par dizaines
Premier écran, première mesure du retard : des dizaines de mises à jour en attente. Le cœur de WordPress a plusieurs versions majeures de retard, chaque extension affiche sa pastille, et le thème n’a pas bougé depuis l’installation.
Le réflexe de tout mettre à jour d’un coup est exactement ce qu’il ne faut pas faire. Trois ans de mises à jour, ce sont des incompatibilités en cascade entre PHP, les extensions et le thème. On remet à niveau par paliers, sur une copie, en vérifiant le site à chaque étape.
Les extensions : vivantes, mortes ou dangereuses
Le tri fait apparaître trois familles :
- Les vivantes, qui n’attendent que leurs mises à jour.
- Les mortes, abandonnées par leurs auteurs ou retirées du répertoire officiel, parfois à cause d’une faille jamais corrigée. Elles ne se mettent pas à jour, elles se remplacent, ce qui demande du travail quand le site s’appuyait dessus.
- Les dangereuses, dont les failles sont recensées dans les bases publiques de vulnérabilités, parfois depuis des années. Tant qu’elles restent actives, le site joue à la loterie.
S’y ajoutent les extensions désactivées mais jamais supprimées. Leur code reste sur le serveur et offre une porte d’entrée de plus.
Un WordPress qui vous inquiète ? Thomas regarde avec vous.
Les comptes utilisateurs, témoins des années passées
La liste des comptes raconte l’histoire du site : le stagiaire d’un été, l’ancienne agence, le compte « admin » au mot de passe jamais changé, et parfois des comptes que personne ne reconnaît. Ce dernier cas est mauvais signe. Tout compte administrateur qui n’a plus de raison d’exister se supprime ou se rétrograde, et tous les mots de passe se réinitialisent.
Les sauvegardes : le grand vide
C’est la découverte la plus constante : il n’y en a pas. Ou alors une extension de sauvegarde a rempli le disque de copies stockées sur le même serveur, avant de s’arrêter faute de place sans prévenir personne. Une sauvegarde jamais testée, rangée au même endroit que ce qu’elle protège, ne vous sauvera pas le jour où le serveur tombe.
Parfois, les traces d’une intrusion
Sur une partie des sites abandonnés, l’audit montre que quelqu’un est déjà entré : fichiers modifiés, code injecté discrètement, redirections qui ne se déclenchent que pour certains visiteurs ou pour les moteurs de recherche. Le propriétaire ne voit rien, Google voit tout. Ces portes dérobées survivent aux mises à jour. Les trouver et les refermer demande un nettoyage spécifique, qui relève du dépannage WordPress.
Le propriétaire ne voit rien, Google voit tout.
Remettre en état un WordPress abandonné
Voici la procédure que j’applique à chaque reprise de site :
- Copie complète immédiate, pour figer l’état existant avant tout geste.
- Audit écrit : versions, extensions (vivantes, mortes, dangereuses), comptes, intégrité des fichiers, sauvegardes réelles.
- Remise à niveau par paliers sur la copie de travail, remplacement des extensions mortes, nettoyage des comptes.
- Bascule une fois la copie validée, puis mise en place de ce qui manquait : sauvegardes externalisées, surveillance, maintenance régulière.
Le coût de cette remise en état dépend de la profondeur de l’abandon. C’est pour cela que je le chiffre après l’audit, jamais avant.
Aucun reproche à se faire, mais une décision à prendre
Aucun de ces sites n’a été abandonné par négligence coupable. Un prestataire est parti, un abonnement a été résilié parce qu’il semblait inutile, l’entreprise était débordée. Un WordPress vit simplement dans un environnement hostile, et il vieillit vite sans soins. Si le vôtre n’a pas été touché depuis longtemps, demandez un état des lieux : vous saurez où il en est et ce qu’il faut pour le remettre d’aplomb, avant que la loterie ne tire votre numéro.
Développeur WordPress et consultant SEO depuis 2010, à Jugon-les-Lacs. Il conçoit, référence et maintient des sites pour des entreprises, associations et communes, en Bretagne et partout en France.
