Création sites internet
Sur les onze mille trois cent trente-quatre failles WordPress recensées en 2025, quatre-vingt-onze pour cent venaient d’une extension. Pas du cœur de WordPress, pas du thème : d’un plugin installé un jour par quelqu’un qui en avait besoin cinq minutes. C’est ce chiffre qui a changé ma façon de choisir une extension.
Comment choisir un plugin WordPress ? En vérifiant quatre choses avant l’installation : la date de la dernière mise à jour, la compatibilité déclarée avec votre version de WordPress, le volume d’installations actives et la nature exacte du besoin auquel il répond. Un plugin qui échoue sur l’un de ces quatre points ne va pas sur un site en production, quelle que soit sa note.
En bref
- 91 % des vulnérabilités WordPress relevées en 2025 par Patchstack se trouvaient dans des extensions.
- La moitié des failles à fort impact sont exploitées dans les 24 heures suivant leur publication.
- Le bon réflexe n’est pas d’installer le plugin le mieux noté, mais le moins de plugins possible.
- Une extension abandonnée depuis plus d’un an est un risque, pas une économie.
Pourquoi la question n’est plus « lequel » mais « combien »
Chaque extension ajoute du code exécuté sur votre site, souvent écrit par quelqu’un que vous ne connaissez pas, mis à jour au rythme qui arrange son auteur. Multiplier les plugins revient donc à multiplier les portes d’entrée autant que les fonctionnalités.
Le rapport annuel de Patchstack sur la sécurité de WordPress donne l’ordre de grandeur : 11 334 vulnérabilités publiées en 2025, en hausse de 42 % sur un an, dont 91 % dans les extensions, 9 % dans les thèmes et six seulement dans le cœur de WordPress. Parmi elles, 1 966 présentaient un risque élevé d’exploitation automatisée, une catégorie qui a bondi de 113 % en un an.
Le délai compte autant que le volume. Toujours selon Patchstack, environ la moitié des failles à fort impact sont exploitées dans les 24 heures suivant leur divulgation, et le délai médian avant la première attaque descend à cinq heures sur les plus ciblées. Une extension oubliée sur un site que personne n’administre plus n’a donc pas des mois de sursis, elle en a quelques heures.
Les quatre vérifications que je fais avant d’installer
- La dernière mise à jour. Un plugin dont la dernière version date de plus d’un an est un plugin abandonné, même s’il fonctionne encore. Je ne l’installe pas.
- La compatibilité déclarée. La fiche du répertoire officiel indique jusqu’à quelle version de WordPress l’extension a été testée. Un écart de plusieurs versions majeures est un signal d’alerte.
- Le nombre d’installations actives. Ce n’est pas un gage de qualité, mais un gage de surveillance : plus l’extension est répandue, plus vite une faille est signalée et corrigée.
- Le besoin réel. Beaucoup de fonctions demandées par les clients existent déjà nativement dans WordPress ou dans le thème. Vérifier avant d’installer fait gagner une extension sur trois.
Les avis utilisateurs viennent après, et je les lis de préférence en commençant par les notes basses. Une note globale de 4,8 sur cinq mille avis ne dit rien ; en revanche, dix commentaires récents qui signalent un conflit avec un constructeur de pages comme Elementor disent tout.
Les valeurs sûres, avec leurs chiffres
Voici les extensions que j’installe le plus souvent, avec les données publiques du répertoire officiel relevées début août 2026. La colonne qui m’intéresse le plus n’est pas la note, c’est la date de dernière mise à jour.
| Extension | Usage | Installations actives | Dernière version |
|---|---|---|---|
| Yoast SEO | Référencement | Plus de 10 millions | 4 août 2026 |
| Rank Math | Référencement | Plus de 4 millions | 28 juillet 2026 |
| Smush | Compression d’images | Plus d’un million | 6 juillet 2026 |
| EWWW Image Optimizer | Compression d’images | Plus d’un million | 5 août 2026 |
Entre Yoast SEO et Rank Math, je ne tranche pas dans l’absolu : les deux sont solidement entretenus et notés 4,8 sur 5 par leurs utilisateurs. Yoast reste plus lisible pour un client qui va rédiger lui-même, Rank Math propose plus de réglages dans sa version gratuite. Le seul vrai mauvais choix serait de les installer tous les deux, ce qui provoque des conflits de métadonnées.
Pour le partage social, Social Media Share Buttons couvre le besoin de base gratuitement. Monarch, développé par Elegant Themes, est plus abouti mais ne se vend pas à l’unité : il faut souscrire à l’abonnement de l’éditeur, ce qui n’a de sens que si vous utilisez déjà ses autres produits.
Un plugin abandonné n’est pas gratuit, il est en sursis
La routine d’entretien, aussi importante que le choix
Choisir correctement ne sert à rien sans entretien. Sur les sites dont je m’occupe, la routine tient en trois gestes : une sauvegarde automatisée avant toute mise à jour, une désinstallation complète des extensions désactivées, et une revue trimestrielle de ce qui est encore réellement utilisé.
Le deuxième point est celui qu’on néglige le plus. Une extension désactivée reste présente sur le serveur, et son code peut rester atteignable. Désactiver n’est pas supprimer, et seule la suppression réduit vraiment la surface d’attaque.
Ce que je conseille au final
Partez du besoin, pas du catalogue. Installez le minimum, choisissez des extensions entretenues et largement diffusées, supprimez sans état d’âme ce qui ne sert plus, et mettez à jour vite plutôt que bien. Un site WordPress avec huit extensions bien tenues vieillit infiniment mieux qu’un site avec trente extensions gratuites accumulées au fil des envies.
Vous montez un site WordPress de zéro ?
Le choix des extensions vient après celui du socle. J’ai détaillé ce que WordPress fait bien, et là où il demande de la discipline sur la durée.
Lire mon avis complet sur les avantages et inconvénients de WordPress
Article mis à jour en août 2026. Sources consultées pour cette version : le rapport State of WordPress Security in 2026 de Patchstack pour le nombre de vulnérabilités publiées en 2025, leur répartition entre extensions, thèmes et cœur, la part de failles à haut risque et les délais d’exploitation ; les fiches du répertoire officiel WordPress.org de Yoast SEO, Rank Math, Smush et EWWW Image Optimizer pour les installations actives, les notes et les dates de dernière version, relevées le 7 août 2026 ; les conditions de distribution de Monarch publiées par Elegant Themes. Ces données évoluent en permanence : vérifiez la fiche de l’extension avant installation. Les recommandations de méthode et d’entretien reflètent ma pratique professionnelle.