Quelle version de WordPress utilisez-vous ? Le vérifier en 2 minutes

Deux numéros de version coexistent sur un même site. WordPress est le logiciel qui gère vos pages, vos photos, votre formulaire de contact. PHP est le langage sur lequel ce logiciel s'appuie, installé chez votre hébergeur. Les deux vieillissent, chacun à son rythme.

Le 22 octobre 2026, j'ai relu ce que des sites WordPress affichent publiquement, sur un échantillon de domaines en .fr. Un peu moins de la moitié tournent sur une version de PHP qui ne reçoit plus de correctifs de sécurité. Ce chiffre vient de ma propre lecture, sans rien tester dans ces sites. Il ne dit rien de leur version de WordPress, et il ne prouve pas qu'un seul de ces sites ait été piraté.

Trois cas, selon ce que vous avez en main.

1. Vous avez l'accès au tableau de bord. Connectez-vous, ouvrez la page Mises à jour : la version de WordPress s'affiche en haut. Pour PHP, allez dans Outils, Santé du site, onglet Info, puis la section Serveur.
2. Vous n'avez pas l'accès, mais vous connaissez le prestataire ou l'hébergeur. Posez-lui une seule question : quelle version de WordPress et de PHP, et à quand remonte la dernière mise à jour ?
3. Vous n'avez rien du tout. Sinon, donnez-moi l'adresse de votre site : je lis la version affichée publiquement. Aucune entrée dans votre site n'est nécessaire.

Si le prestataire met trois semaines à répondre, vous avez déjà appris quelque chose.

Quand une faille de sécurité WordPress est découverte, un correctif sort. Tant qu'il n'est pas appliqué, la faille reste ouverte à quiconque sait la chercher, et ces personnes la cherchent avec des outils automatiques, sans regarder qui vous êtes. L'ANSSI le dit dans son guide pour les TPE et PME de décembre 2024 : les mises à jour s'appliquent dès que possible, et des attaques ont exploité des failles quelques jours après leur révélation.

Une version en fin de vie, elle, ne reçoit plus aucun correctif. Voici où en sont les versions de PHP d'après php.net, lues le 27 octobre 2026 :

• PHP 7.4 : fin de vie le 28 novembre 2022
• PHP 8.0 : fin de vie le 26 novembre 2023
• PHP 8.1 : fin de vie le 31 décembre 2025
• PHP 8.2 : correctifs de sécurité jusqu'au 31 décembre 2026
• PHP 8.3 : correctifs de sécurité jusqu'au 31 décembre 2027

Pour 8.4 et 8.5, la page des versions supportées donne 2028 et 2029. WordPress recommande aujourd'hui PHP 8.3 ou plus récent (exigences de wordpress.org). Un site resté sur PHP 8.1 ou plus ancien ne reçoit donc plus de correctif de sécurité, même si WordPress fonctionne encore dessus.

Côté WordPress lui-même, seule la dernière version est officiellement prise en charge (wordpress.org). Les anciennes ne bénéficient d'aucune garantie de correctif.

Gardons les proportions. Une version abandonnée n'est pas un site piraté, c'est une porte dont la serrure n'est plus réparée. Beaucoup de ces sites ne subiront jamais rien. Je ne peux pas, de l'extérieur, vous dire si le vôtre a déjà été touché : je lis une version, pas l'état de votre site.

Pour les logiciels qui ne peuvent plus être mis à jour, l'ANSSI est nette : « Tout matériel ou logiciel qui ne peut plus être mis à jour doit être désinstallé et remplacé » (guide TPE et PME, question 3).

Voici trois situations types, pas trois clients.

Un menuisier entre Sélestat et Ribeauvillé a un site fait il y a six ans par un cousin qui s'y connaissait. Le cousin a déménagé, personne n'a le mot de passe, le site affiche toujours les bons horaires. Un chauffagiste de Colmar a un site monté par un prestataire qui a arrêté son activité. Une association a vu partir le bénévole qui gérait son site, et le formulaire d'inscription fonctionne encore, donc personne n'y touche.

Le point commun : le site a été créé une fois, puis jamais revu, et personne n'a la mission de le surveiller. Un domaine viticole dont la boutique en ligne a été montée il y a des années est dans la même situation.

Vous êtes peut-être concerné si :

• vous ne savez pas quand la dernière mise à jour a eu lieu
• la personne qui a créé votre site n'est plus joignable
• vous ne connaissez pas la version de PHP chez votre hébergeur
• le tableau de bord affiche des mises à jour en attente depuis des mois

Une seule case cochée suffit pour vérifier.

Il y a trois issues, de la plus légère à la plus lourde.

La première : demander la mise à jour à votre prestataire ou à votre hébergeur. Faites d'abord une sauvegarde, puis la mise à jour, dans cet ordre. L'ANSSI recommande de sauvegarder le contenu et la configuration d'un site, et de ne garder que des extensions et des thèmes activement maintenus.

La deuxième : activer les mises à jour automatiques quand l'hébergeur le permet. La CNIL le conseille aussi (fiche sur la sécurité des données). Sur un site très ancien, mieux vaut ne pas l'activer avant d'avoir fait la sauvegarde : une extension abandonnée peut casser une page.

La troisième : refaire le site. Quand il est trop ancien pour être remis à niveau, le refaire à neuf coûte 1000€, prix affiché sur la page des tarifs. Le nom de domaine et l'hébergement restent à votre charge, payés directement par vous, et je fais la mise en place et le branchement de votre adresse. Le détail de ce que comprend ce prix se trouve dans l'article sur le coût d'un site internet pour un artisan en Alsace.

Je lis la version, je vous dis si c'est à traiter, et vous choisissez l'une des trois issues.

Donnez-moi l'adresse de votre site dans le formulaire, je vous réponds en 2 minutes si vous êtes concerné. Je lis seulement la version qui s'affiche publiquement, sur le site dont vous me donnez l'adresse et pour lequel vous êtes d'accord. Aucun test d'intrusion, aucun scan, rien d'autre.