Les erreurs courantes à éviter lors de la création d'un site WordPress

Chaque semaine, des centaines de nouveaux sites WordPress voient le jour en France. Et chaque semaine, une partie de ces sites accumule les mêmes erreurs qui freinent leurs performances, les exposent à des piratages ou les condamnent à une refonte coûteuse quelques mois plus tard. WordPress est un CMS remarquablement accessible, mais cette accessibilité a une contrepartie : elle donne l'impression que n'importe quelle configuration fonctionne. Ce n'est pas le cas. Créer un site WordPress qui tient la distance demande de respecter quelques principes fondamentaux dès le départ, avant même d'écrire une ligne de contenu.

Les erreurs listées ici ne sont pas théoriques. Elles reviennent systématiquement dans les audits de sites WordPress existants, que ce soit chez des indépendants, des PME ou des associations. Certaines ont des conséquences mineures sur le court terme mais deviennent des problèmes majeurs dès que le site monte en trafic. D'autres mettent en danger les données de l'entreprise ou des visiteurs dès la mise en ligne. En les connaissant à l'avance, vous vous évitez des heures de correction et potentiellement des milliers d'euros de dommages.

Choisir un hébergement au prix le plus bas

L'hébergement est l'infrastructure sur laquelle repose tout le site. C'est aussi le poste sur lequel beaucoup de créateurs de sites font l'économie la plus contre-productive. Un hébergement mutualisé à 2 euros par mois peut techniquement faire tourner WordPress, mais il partage ses ressources avec des dizaines ou des centaines d'autres sites. Le moindre pic de trafic sur un site voisin ralentit le vôtre. Les performances sont souvent insuffisantes pour passer les Core Web Vitals de Google, ce qui pénalise directement le référencement.

Un bon hébergeur pour WordPress propose au minimum : des serveurs LiteSpeed ou Nginx (nettement plus rapides qu'Apache pour WordPress), un espace SSD NVMe, une version PHP récente (8.1 ou supérieure), des sauvegardes automatiques quotidiennes incluses, et un support technique joignable rapidement en cas de problème. Les offres d'hébergement managé WordPress (Kinsta, WP Engine, Infomaniak Business) coûtent plus cher mais évitent une grande partie des maux de tête liés aux performances et à la sécurité.

Négliger la sécurité dès le départ

WordPress alimente environ 43 % des sites web dans le monde, ce qui en fait une cible de choix pour les attaquants automatisés. Ces derniers ne ciblent pas votre site spécifiquement : ils scannent l'ensemble du web à la recherche de sites WordPress avec des failles connues et les exploitent en masse. Ne pas sécuriser son installation n'est donc pas un risque théorique mais une quasi-certitude d'être compromis à terme.

Les mesures de base : changer le préfixe de la base de données (wp_ par défaut est connu de tous les scripts d'attaque), utiliser un mot de passe administrateur robuste et unique, désactiver l'édition de fichiers depuis l'interface d'administration, limiter les tentatives de connexion et activer l'authentification à deux facteurs. Un plugin de sécurité comme Wordfence ou iThemes Security surveille les tentatives d'intrusion et bloque les adresses IP suspectes. Ces quelques étapes éliminent la grande majorité des vecteurs d'attaque courants.

Installer trop de plugins sans discernement

WordPress dispose d'un écosystème de plus de 60 000 plugins. C'est une richesse, mais aussi une tentation dangereuse. Chaque plugin ajouté charge du code supplémentaire sur chaque page, ralentit potentiellement le site, ouvre des vecteurs de sécurité supplémentaires et peut entrer en conflit avec d'autres extensions. Un site WordPress sain fonctionne avec 10 à 20 plugins bien choisis, pas 40 ou 50.

Le principe à appliquer : n'installer un plugin que s'il résout un problème précis qu'aucune solution native ou légère ne peut adresser. Avant d'installer, vérifiez la date de la dernière mise à jour (un plugin sans mise à jour depuis plus d'un an est suspect), le nombre d'installations actives et la note des avis utilisateurs. Après installation, testez les performances avec un outil comme GTmetrix pour mesurer l'impact réel sur le temps de chargement.

Choisir un thème lourd ou mal codé

Le thème conditionne à la fois l'apparence et les performances du site. Les thèmes "multipurpose" tout-en-un qui proposent des centaines d'options de personnalisation sont souvent les plus lourds et les plus lents. Ils chargent des centaines de fichiers CSS et JavaScript même sur des pages qui n'en ont pas besoin. Un thème léger et bien codé comme Kadence, GeneratePress ou Astra charge en quelques dixièmes de seconde et s'adapte facilement sans alourdir la structure.

Évitez les thèmes téléchargés sur des sites tiers non officiels : ils contiennent fréquemment du code malveillant injecté (backdoors). Le répertoire officiel WordPress.org ou les places de marché reconnues comme ThemeForest (en vérifiant les avis et la date de dernière mise à jour) sont les sources fiables pour votre thème.

Oublier le design responsive et les performances mobiles

Depuis le déploiement du mobile-first indexing par Google, c'est la version mobile de votre site que les robots analysent en priorité pour déterminer le classement. Un site qui s'affiche mal sur smartphone n'est pas seulement une mauvaise expérience utilisateur : c'est un frein direct au référencement naturel. Or beaucoup de sites WordPress créés il y a quelques années n'ont jamais été vraiment optimisés pour mobile, même s'ils utilisent un thème techniquement responsive.

Tester son site sur différents appareils et différentes tailles d'écran reste indispensable. L'outil Mobile-Friendly Test de Google, les DevTools de Chrome et des services comme BrowserStack permettent de détecter les problèmes d'affichage sans posséder physiquement tous les appareils. Les points à vérifier : taille des polices, espacement des éléments cliquables, absence de contenu coupé ou superposé, temps de chargement mobile (la cible est sous 3 secondes).

Négliger l'optimisation SEO de base

WordPress est souvent présenté comme SEO-friendly nativement. C'est partiellement vrai : la structure des URLs est propre et la gestion des balises de titre est accessible. Mais sans travail d'optimisation supplémentaire, les balises meta restent vides, les images ne sont pas compressées, les liens internes sont absents et le balisage structuré (données schema.org) est inexistant. Un site WordPress optimisé pour le référencement demande un vrai travail éditorial et technique.

Un plugin SEO comme Yoast SEO ou Rank Math est indispensable pour gérer les balises meta, les sitemaps XML, les données structurées et les redirections 301. Mais le plugin seul ne fait pas le travail : il fournit des outils, pas une stratégie. Travailler avec une agence WordPress expérimentée permet d'intégrer les bonnes pratiques SEO dès la conception du site, avant même de publier le premier article.

Sauter les sauvegardes régulières

La question n'est pas de savoir si votre site WordPress connaîtra un jour un problème, mais quand. Mise à jour qui plante, conflit entre plugins, attaque, mauvaise manipulation dans l'administration : les incidents arrivent. Sans sauvegarde récente, la perte peut être totale. Avec une sauvegarde de la veille, le problème se règle en une heure.

Le plugin UpdraftPlus est la référence pour automatiser les sauvegardes WordPress. Il permet de planifier des sauvegardes quotidiennes et de les envoyer automatiquement vers un espace cloud externe (Google Drive, Dropbox, Amazon S3). La règle d'or : ne jamais stocker les sauvegardes uniquement sur le même serveur que le site. En cas de panne ou de compromission du serveur, vous perdriez le site et les sauvegardes en même temps.