Pourquoi WordPress n’est pas toujours un bon choix
WordPress reste un bon choix pour une équipe qui publie chaque semaine, mais pas pour un site qui bouge peu : sa maintenance, que les devis laissent souvent en option, est ce que les failles critiques de PHP du 21 octobre 2026 ont mis en évidence.
Votre site a-t-il été mis à jour cette semaine ? Si personne autour de vous ne sait dire qui devait s’en charger, la réponse est probablement non, et la question vaut d’être posée avant de signer le prochain devis.
Une faille de PHP, une question de contrat
Le 21 octobre 2026, l’équipe de PHP, le langage qui fait tourner 69,2 % des sites dont le langage serveur est connu selon W3Techs, WordPress en tête, a publié en urgence les correctifs de 2 failles notées 9,2 sur 10. Elles permettent de prendre la main sur un serveur sans le moindre identifiant. Le Centre canadien pour la cybersécurité a émis une alerte le même jour.
Pour une PME, la question est moins technique que contractuelle : qui fait la mise à jour, et qui la paie ?
Deux devis comparables, deux périmètres
Dans une proposition de site, la maintenance ne figure souvent qu’en option, et 2 devis en apparence comparables cessent alors de l’être. Maintenir un site, c’est mettre à jour le serveur, le CMS, le thème et chaque extension, puis vérifier que le site fonctionne toujours.
Beaucoup de sites WordPress se vendent à un prix agressif, parce que le prestataire se contente d’activer des extensions et de retoucher la feuille de style : le site n’a rien de sur mesure et ressemble surtout… à un site WordPress. Le devis occulte l’autre coût : maintenir ces extensions toute la vie du site.
Ce que la mise à jour demande à un WordPress
Un site statique, fait de pages générées une fois pour toutes, n’exécute pas PHP quand on le consulte, et ces failles ne le concernent pas. Un WordPress doit passer à une version corrigée de PHP, puis vérifier que le thème et les extensions la supportent. Une extension que son éditeur ne maintient plus peut à elle seule transformer une simple mise à jour en véritable chantier.
Quand WordPress reste un bon choix
J’ai moi-même vendu et supervisé des sites WordPress sur mesure pour des entreprises très différentes, y compris du CAC 40, avec souvent de gros besoins d’internationalisation, et cela reste un bon choix pour une équipe qui publie chaque semaine, à plusieurs. Ma préférence va à l’intégration « headless » : WordPress ne sert plus qu’à saisir les contenus et un autre outil gère l’affichage, avec bien plus de liberté sur le rendu.
Pour une PME ou une TPE qui publie quelques actualités par an, en revanche, c’est une infrastructure entière à maintenir pour un usage qui tiendrait dans quelques fichiers. J’en ai fait le constat à plusieurs reprises ces dernières semaines, dans différents audits couvrant aussi bien la sécurité, la performance, le référencement que l’accessibilité.
Les alternatives en 2026 pour un site éditorial simple
Pour un site essentiellement éditorial, dont les besoins tiennent en pages et en articles, l’alternative à WordPress se compose de deux choix : l’outil qui fabrique les pages, et celui où l’on saisit les contenus, ce dernier ne servant que si l’on publie soi-même.
Pour fabriquer les pages, Astro gagne du terrain. C’est un framework JavaScript libre, conçu pour des sites rapides centrés sur le contenu, qui produit des pages statiques. HTTP Archive détecte les technologies des sites et les croise avec les mesures de trafic réel de Chrome : il en a mesuré 47 277 sur mobile en septembre 2026, soit 176 % de plus qu’un an plus tôt (17 149) et près de seize fois plus qu’en septembre 2023 (+1 495 %, 2 965 sites à l’époque). Cela reste modeste, WordPress en comptant 2 658 175 le même mois, soit 14 % de moins qu’un an plus tôt et 20 % de moins qu’en septembre 2023.
Dans l’ensemble, les sites Astro mesurés sont aussi plus rapides. En septembre 2026, 71,1 % d’entre eux passent sur mobile les Core Web Vitals, les mesures de Google sur le chargement, la réactivité et la stabilité visuelle d’une page, contre 48,3 % des sites WordPress et 52,8 % de l’ensemble des sites. Le poids médian d’une page est de 1,36 Mo sur mobile pour Astro, contre 2,72 Mo pour WordPress, et le score de performance Lighthouse médian de 70 sur 100, contre 43.
Ces chiffres comparent des populations de sites, pas deux outils placés dans les mêmes conditions : ils ne prouvent pas que l’outil explique à lui seul l’écart, et un WordPress bien configuré peut obtenir de bons scores. Ils disent ce que donne, dans l’ensemble, chaque choix de départ.
Eleventy, qui se présente comme un générateur de sites statiques plus simple, et Hugo, un générateur libre très répandu qui met sa vitesse en avant, s’inscrivent dans une philosophie comparable à celle d’Astro.
Pour saisir les contenus, deux familles se distinguent. Les CMS « git » écrivent dans les fichiers du site, en Markdown ou en JSON : les contenus restent la propriété de celui qui tient le dépôt, qui doit donc être ouvert au nom du client, et changer de CMS ne demande aucune migration de contenu, puisqu’un autre outil se branche sur les mêmes fichiers. Les CMS « API » stockent les contenus dans une base de données, chez leur éditeur ou sur son propre serveur, et le site va les chercher à chaque reconstruction. Les chiffres du tableau ont été relevés le 28 octobre 2026 et changeront.
| Outil | Famille | À savoir |
|---|---|---|
| Pages CMS | git | Libre (licence MIT) et gratuit, en ligne ou auto-hébergé. Il ne fonctionne qu’avec GitHub, mais sa documentation prévoit des collaborateurs invités qui modifient textes et images sans compte GitHub. Projet porté presque seul par son créateur (474 contributions contre 8 pour le suivant, relevé GitHub) : les mises à jour de l’outil dépendent d’une seule personne, même si les contenus restent des fichiers. |
| Decap CMS | git | Libre (licence MIT), pensé pour les sites statiques sur Git : GitHub, GitLab, Bitbucket, Azure, Gitea ou Forgejo. Il s’installe sur l’hébergement du site, avec une authentification à fournir soi-même, donc une brique de plus à maintenir. Avec GitHub, chaque éditeur passe par l’autorisation OAuth de GitHub. |
| Sanity | API | Contenus hébergés chez l’éditeur ; l’interface d’édition, le Studio, se configure dans le code. Offre gratuite limitée à 20 utilisateurs, 2 jeux de données publics et 10 000 documents. |
| Strapi | API | Éditeur d’origine française, créé à Paris en 2016. CMS headless libre (licence MIT), qui s’installe sur ses propres serveurs ou se loue en ligne avec Strapi Cloud. Auto-hébergé, il demande un serveur et une base de données à maintenir, comme WordPress. |
Le statique ne dispense pas de maintenance : le générateur et le CMS ont leurs mises à jour, et Decap ajoute un service d’authentification à tenir. La différence est que ces mises à jour ne touchent plus le site public, qui reste des fichiers.
Un CMS sert à saisir des articles et des textes, pas à recomposer une page, et ajouter une section reste un travail de développement. Pour quelques actualités par an, aucun CMS n’est nécessaire, le prestataire publiant les textes et les images qu’on lui envoie.
Trois questions avant de comparer 2 chiffrages
Je poserais trois questions à chaque prestataire :
- qui met à jour le serveur et le CMS, et à quel prix après la première année ;
- combien de fois par an vous modifierez réellement le site vous-même ;
- si le prestataire disparaît, qui peut le reprendre sans tout refaire.
Ces questions font partie de ce que nous examinons dans un audit de l’écosystème digital, au titre de notre expertise en expérience utilisateur, et nous pouvons en discuter avant que vous ne signiez. Sur LinkedIn, la discussion se poursuit autour d’une question : quelle part du budget de votre site va aujourd’hui à sa maintenance, plutôt qu’à son évolution ?
