WordPress gère seul ses versions de maintenance, les extensions réclament leur mise à jour dès la connexion au tableau de bord, et le thème, lui, ne dit rien. Il reste dans Apparence, silencieux, parfois trois ans après son installation. Ce silence est le vrai problème.
À lire aussi : WordPress 7.1 : vérifiez la compatibilité de vos extensions avant de migrer
Un thème n’est pas un habillage. C’est du code PHP exécuté à chaque visite, souvent livré avec des extensions embarquées, un constructeur de pages et des fonctions d’import de démos. Quand une faille y est découverte, elle concerne tous les sites qui utilisent ce thème, du site vitrine d’un plombier à la boutique en ligne. Le thème Avada l’a montré avec une vulnérabilité critique permettant l’exécution de code à distance sans la moindre action de l’utilisateur. Un autre thème a exposé plus de 25 000 sites.
Voici la marche à suivre : établir l’état réel de votre thème, appliquer la mise à jour sans perdre vos personnalisations, et installer un contrôle mensuel qui tient en une vingtaine de minutes.
À retenir
- Le thème est du code exécutable : sa mise à jour compte autant que celle des extensions.
- Avada : faille critique menant à une exécution de code à distance sans clic de l’utilisateur.
- Sauvegarde puis préproduction : aucune mise à jour de thème directement en ligne un vendredi soir.
- Thème enfant : il préserve vos personnalisations quand la version parente change.
- Supprimez les thèmes inactifs : du code inutilisé reste attaquable.
- Licence expirée signifie plus de correctifs : renouvelez ou changez de thème.
Pourquoi le thème échappe à la routine de mise à jour
Trois mécanismes expliquent l’oubli. Le premier est visuel : la pastille de mise à jour du thème s’affiche dans Apparence, un écran que la plupart des propriétaires de site n’ouvrent qu’au moment de la refonte. Les extensions, elles, sont vérifiées presque à chaque connexion.
Le deuxième mécanisme est commercial. Beaucoup de thèmes premium ne se mettent pas à jour par le canal habituel de WordPress. Ils exigent une clé de licence active, un compte chez l’éditeur ou un jeton de place de marché. Quand la licence achetée une fois n’est pas renouvelée, le bouton de mise à jour disparaît. Le site continue de fonctionner, l’apparence reste identique, et le code, lui, se figé sur une version dépassée.
Le troisième est psychologique : la crainte de casser la mise en page. Une mise à jour d’extension qui tourne mal se désactive en trois clics. Un thème qui bouge, ce sont des marges, des titres et des menus qui se déplacent sur toutes les pages. Cette peur est légitime, elle se traite par la méthode, pas par l’attente.
Un thème qui n’a pas reçu de mise à jour depuis deux ans n’est pas « stable » : il est très probablement abandonné, donc sans correctif quand une faille sera publiée.
Ce qu’une faille de thème permet réellement
Les bases de vulnérabilités traitent les thèmes comme une catégorie à part entière, à côté des extensions et du cœur de WordPress. Les rapports hebdomadaires publiés par les éditeurs de sécurité, semaine du 4 au 10 mai 2026 par exemple, mélangent les deux familles, et les thèmes y apparaissent régulièrement. En août 2026, cinq vulnérabilités critiques touchant des composants WordPress très diffusés ont fait l’objet d’une alerte publique. Le rapport annuel Patchstack sur la sécurité de l’écosystème confirme la même tendance : le volume d’entrées augmente, et l’exploitation suit la publication du correctif de très près.
Le cas Avada illustre le pire scénario. La faille décrite permettait une exécution de code à distance sans authentification et sans clic : un attaquant capable d’atteindre l’URL du site pouvait déclencher l’exécution de son propre code. À ce stade, il ne s’agit plus d’un défaut d’affichage mais d’une prise de contrôle du serveur, avec envoi de fichiers, création de comptes administrateurs et injection de pages de spam. Le précédent des 25 000 sites exposés par un seul thème rappelle l’échelle : la faille se réplique autant de fois que le thème a été installé.
Deux conséquences pratiques. D’abord, un site sans données bancaires reste une cible : ce qui intéresse l’attaquant, c’est votre hébergement, votre nom de domaine et votre référencement. Ensuite, la fenêtre de réaction est courte. La publication d’un correctif est aussi une annonce publique de la faille, ce qui déclenche les campagnes de scan automatisé. Vous pouvez consulter les entrées classées par thème dans la base de vulnérabilités des thèmes WordPress pour vérifier si le vôtre est concerné.
Faire l’inventaire de votre thème en dix minutes
Avant toute manipulation, sachez ce que vous avez sous le capot. Cinq vérifications suffisent.
- Ouvrez Apparence, puis Thèmes, et notez le nom exact du thème actif ainsi que son numéro de version.
- Repérez si un thème enfant est actif : son nom contient souvent « child » et sa fiche mentionne le thème parent.
- Vérifiez l’état de la licence dans le menu de l’éditeur du thème, quand il existe, et notez la date d’expiration.
- Listez les extensions installées par le thème lors de la création du site, notamment les constructeurs de pages et leurs modules complémentaires.
- Regardez les thèmes inactifs présents dans la liste : chacun contient des fichiers PHP toujours accessibles sur le serveur.
Ce dernier point mérite une attention particulière. Les modules complémentaires greffés sur un constructeur ont connu leur lot de correctifs, comme les vulnérabilités relevées sur King Addons ou sur W3 Total Cache. Un pack de composants livré avec votre thème suit la même logique et se met parfois à jour par le thème lui-même, pas par la page des extensions. Sur les sites bâtis avec un constructeur, la lecture des failles Elementor Pro menant à du code exécutable montre à quel point la chaîne thème, constructeur et modules doit être traitée comme un ensemble.
Appliquer la mise à jour sans casser la mise en page
La procédure qui limite le risque tient en sept étapes, dans cet ordre.
- Créez une sauvegarde complète, fichiers et base de données, et vérifiez que le fichier est téléchargeable ailleurs que sur le serveur du site.
- Prenez trois captures de référence : page d’accueil, page de service ou de produit, page de contact, en version mobile.
- Dupliquez le site sur une préproduction, fonction proposée par la plupart des hébergeurs sous le nom de site de test ou staging.
- Mettez à jour le thème sur cette copie, puis les extensions qu’il embarque.
- Contrôlez le rendu, le menu, le formulaire de contact, le tunnel de commande et la vitesse d’affichage.
- Reportez la mise à jour en production, en dehors des heures de trafic, puis videz les caches, celui du site et celui du CDN.
- Repassez sur vos trois pages de référence et sur un formulaire réel pour valider.
Le thème enfant est votre assurance. Toute modification de code écrite directement dans les fichiers du thème parent disparaît à la mise à jour. Un thème enfant, ou l’usage des réglages natifs et du CSS additionnel du personnalisateur, permet d’accepter les correctifs sans perdre le travail de mise en forme.
Programmez la mise à jour du thème un mardi matin : vous disposez de quatre jours ouvrés pour corriger un effet de bord avant le week-end.
Si votre thème n’est plus maintenu, la mise à jour n’existe pas et la seule sortie est le remplacement. Les alternatives légères et activement suivies sont documentées dans notre comparatif des thèmes WordPress gratuits de 2026, Astra et GeneratePress en tête.
La routine mensuelle qui tient en vingt minutes
Un rendez-vous fixe vaut mieux qu’une vigilance permanente. Bloquez vingt minutes le même jour chaque mois et suivez ce tableau.
| Élément | Fréquence | Point de contrôle |
|---|---|---|
| Cœur WordPress | À chaque version | Compatibilité PHP et extensions avant de valider |
| Thème actif | Mensuelle | Version installée, licence valide, notes de version lues |
| Extensions embarquées par le thème | Mensuelle | Mise à jour via le thème ou manuellement |
| Thèmes inactifs | Trimestrielle | Suppression, un seul thème par défaut conservé |
| Sauvegarde | Mensuelle | Test de restauration réel, pas seulement l’existence du fichier |
Cette routine se combine avec les préparatifs de version majeure : la checklist de mise à jour vers WordPress 7, côté PHP, extensions et thème détaille l’ordre des opérations quand le cœur change de version. Ajoutez une alerte : abonnez-vous à la lettre de l’éditeur de votre thème et activez les notifications de votre outil de sécurité, afin d’apprendre la publication d’un correctif sans dépendre d’une visite au tableau de bord.
Vos trois prochaines actions
Ouvrez Apparence, notez le nom et la version de votre thème, puis vérifiez la date d’expiration de la licence. Supprimez ensuite les thèmes inactifs, en conservant un thème par défaut comme filet de sécurité. Enfin, planifiez la première mise à jour sur une copie de test, sauvegarde faite.
Si vous ne savez pas quel thème est réellement actif, si la licence est introuvable ou si le site a été livré par un prestataire injoignable, un audit WordPress établit l’inventaire et la liste des correctifs à appliquer par ordre de gravité. Trente minutes de vérification aujourd’hui coûtent moins qu’une restauration après compromission.
FAQ
Comment savoir si mon thème contient une faille connue ?
Notez le nom exact et la version du thème, puis cherchez cette combinaison dans une base de vulnérabilités qui classe les thèmes séparément des extensions. Si une entrée existe et que la version corrigée est supérieure à la vôtre, mettez à jour immédiatement. Un scanner de sécurité installé sur le site fait ce rapprochement automatiquement à chaque analyse.
La mise à jour du thème va-t-elle effacer mes couleurs et mes textes ?
Les réglages enregistrés dans le personnalisateur et les contenus stockés en base de données restent en place. Ce qui disparaît, ce sont les modifications écrites directement dans les fichiers du thème parent : gabarits modifiés, fonctions ajoutées, CSS collé dans les fichiers. Un thème enfant conserve ces personnalisations. Vérifiez sa présence avant de lancer la mise à jour.
Mon thème premium n’a plus de licence active, que faire ?
Deux options seulement. Renouveler la licence chez l’éditeur pour retrouver l’accès aux correctifs, ce qui reste la solution la plus rapide sur un site en production. Ou migrer vers un thème gratuit activement maintenu, en acceptant un travail de remise en forme. Rester sur une version figée sans correctif n’est pas une option tenable.
Faut-il activer les mises à jour automatiques pour les thèmes ?
Sur un site vitrine simple, avec sauvegarde quotidienne testée et thème enfant en place, l’automatisation réduit le délai d’exposition et vaut mieux qu’un oubli de six mois. Sur une boutique en ligne ou un site fortement personnalisé, préférez la mise à jour manuelle après passage en préproduction, car un effet de bord sur le tunnel de commande coûte du chiffre d’affaires.
Les thèmes inactifs présentent-ils un risque ?
Oui. Leurs fichiers PHP restent sur le serveur et peuvent être atteints par une requête directe, même si le thème n’habille aucune page. Ils ne reçoivent en général aucune attention et vieillissent sans mise à jour. Supprimez-les depuis Apparence, en gardant un seul thème par défaut pour dépanner en cas de problème sur le thème actif.
