WordPress est une application PHP. Chaque requ\u00eate de page passe par l’interpr\u00e9teur PHP de votre serveur, et la version de PHP fournie par votre h\u00e9bergeur a un effet \u00e9norme sur la rapidit\u00e9, la s\u00e9curit\u00e9 et la stabilit\u00e9 de votre site WordPress. La version de PHP est l’une des parties de la pile \u00e0 laquelle les propri\u00e9taires pensent le moins, et l’une de celles que les h\u00e9bergeurs laissent le plus souvent telles quelles \u00e0 moins qu’on ne le leur demande. C’est un probl\u00e8me.<\/p>\n\n\n\n
Cet article explique pourquoi la version de PHP compte, comment v\u00e9rifier la v\u00f4tre et comment la mettre \u00e0 niveau sans casser votre site.<\/p>\n\n\n\n
PHP a un calendrier de publication public. Une nouvelle version majeure sort \u00e0 peu pr\u00e8s chaque novembre. Chaque version re\u00e7oit un support complet pendant deux ans, puis un support de s\u00e9curit\u00e9 uniquement pendant une troisi\u00e8me ann\u00e9e, puis plus rien. Ensuite, aucun correctif de s\u00e9curit\u00e9 ne sera jamais publi\u00e9 pour cette version, quel que soit le d\u00e9faut d\u00e9couvert.<\/p>\n\n\n\n
Ce dernier point compte. Un site WordPress fonctionnant sous PHP 7.4, en fin de vie depuis des ann\u00e9es, tourne sur un logiciel qui ne recevra plus jamais de correctif. Si une vuln\u00e9rabilit\u00e9 critique est d\u00e9couverte demain, votre site l’aura, et aucun correctif n’arrivera.<\/p>\n\n\n\n
Les h\u00e9bergeurs sont g\u00e9n\u00e9ralement r\u00e9ticents \u00e0 imposer des mises \u00e0 niveau de PHP, car ils ne veulent pas casser les sites de leurs clients. Certains h\u00e9bergements mutualis\u00e9s vous envoient un e-mail, puis un autre, puis laissent discr\u00e8tement la version par d\u00e9faut inchang\u00e9e pendant des ann\u00e9es. D’autres mettent une nouvelle version \u00e0 disposition mais exigent que vous l’activiez via un panneau de contr\u00f4le.<\/p>\n\n\n\n
L’approche prudente est raisonnable, mais elle vous laisse la responsabilit\u00e9 de r\u00e9ellement cliquer sur le bouton. Beaucoup de sites que nous auditons sont sur une version de PHP que leur h\u00e9bergeur a discr\u00e8tement propos\u00e9 de mettre \u00e0 niveau il y a un an.<\/p>\n\n\n\n
PHP, comme tout logiciel, a des bugs. Certains de ces bugs concernent la s\u00e9curit\u00e9. Quand PHP publie une mise \u00e0 jour de s\u00e9curit\u00e9, elle s’applique g\u00e9n\u00e9ralement \u00e0 la version actuelle et \u00e0 une ou deux versions majeures pr\u00e9c\u00e9dentes. Les versions plus anciennes restent vuln\u00e9rables. Les attaquants savent quelles versions sont encore largement utilis\u00e9es, quelles vuln\u00e9rabilit\u00e9s s’appliquent et quels scanners pointer vers les sites qui les font tourner.<\/p>\n\n\n\n
Pire encore, certains correctifs de s\u00e9curit\u00e9 de WordPress lui-m\u00eame d\u00e9pendent de fonctionnalit\u00e9s du langage qui n’existent que dans les versions r\u00e9centes de PHP. Un WordPress corrig\u00e9 sur une version ancienne de PHP peut se comporter diff\u00e9remment du m\u00eame WordPress corrig\u00e9 sur une version actuelle, laissant des br\u00e8ches que l’\u00e9quipe de s\u00e9curit\u00e9 n’avait pas pr\u00e9vues.<\/p>\n\n\n\n
PHP a nettement am\u00e9lior\u00e9 ses performances au fil des versions r\u00e9centes. Les benchmarks WordPress en conditions r\u00e9elles montrent syst\u00e9matiquement des am\u00e9liorations \u00e0 deux chiffres en pourcentage en passant de PHP 7 \u00e0 PHP 8, et d’autres gains sur la s\u00e9rie 8.x. Pour un site riche en contenu, cela se traduit par des chargements de page plus rapides, des co\u00fbts serveur plus bas et de meilleurs scores de Core Web Vitals.<\/p>\n\n\n\n
Si votre site vous a sembl\u00e9 lent malgr\u00e9 un bon h\u00e9bergeur et une liste d’extensions propre, la version de PHP est l’une des premi\u00e8res choses \u00e0 v\u00e9rifier. De la vitesse gratuite attend d’\u00eatre r\u00e9clam\u00e9e.<\/p>\n\n\n\n
Le plus rapide est de le faire depuis WordPress. Allez dans Outils, puis Sant\u00e9 du site, puis l’onglet Informations. D\u00e9pliez la section Serveur. La version de PHP y figure, avec la version de la base de donn\u00e9es, le serveur web et quelques autres d\u00e9tails.<\/p>\n\n\n\n
Si vous n’avez pas acc\u00e8s au tableau de bord, demandez \u00e0 votre h\u00e9bergeur. Il pourra vous dire quelle version est active et lesquelles sont disponibles \u00e0 la mise \u00e0 niveau. Les h\u00e9bergeurs r\u00e9put\u00e9s publient sur leur site les versions de PHP prises en charge.<\/p>\n\n\n\n
Mettre \u00e0 niveau PHP ne se r\u00e9sume pas \u00e0 cliquer sur un bouton. Les anciens th\u00e8mes et extensions peuvent utiliser des fonctions supprim\u00e9es dans les versions r\u00e9centes de PHP, des comportements durcis, ou des sch\u00e9mas qui g\u00e9n\u00e8rent d\u00e9sormais des erreurs fatales au lieu d’avertissements. Une mise \u00e0 niveau \u00e0 l’aveugle peut mettre un site hors service.<\/p>\n\n\n\n
La bonne pratique consiste \u00e0 lancer d’abord un contr\u00f4le de compatibilit\u00e9. L’extension officielle PHP Compatibility Checker peut analyser votre th\u00e8me et vos extensions actives face \u00e0 une version cible de PHP et signaler les probl\u00e8mes potentiels. Mieux encore, un d\u00e9veloppeur peut ex\u00e9cuter l’\u00e9quivalent moderne directement sur le code.<\/p>\n\n\n\n
Quoi que rapporte l’analyse, le vrai test consiste \u00e0 appliquer d’abord la mise \u00e0 niveau sur une copie de pr\u00e9production. L’environnement de pr\u00e9production vous permet de voir le comportement r\u00e9el avec des donn\u00e9es r\u00e9elles, y compris les probl\u00e8mes qu’un contr\u00f4le statique pourrait manquer.<\/p>\n\n\n\n
Si la mise \u00e0 niveau en pr\u00e9production r\u00e9v\u00e8le qu’une extension casse sur la nouvelle version de PHP, vous avez trois choix. Trouver une extension alternative qui prend en charge la nouvelle version. Corriger vous-m\u00eame l’extension fautive si vous en avez la capacit\u00e9 de d\u00e9veloppement. Ou accepter que l’extension soit abandonn\u00e9e et, soit payer quelqu’un pour la maintenir, soit migrer compl\u00e8tement vers autre chose.<\/p>\n\n\n\n
Ce que vous ne devez pas faire, c’est rester sur l’ancienne version de PHP pour garder l’extension en vie. C’est laisser le maillon le plus faible de votre pile freiner tout le reste.<\/p>\n\n\n\n
La r\u00e8gle la plus simple est d’avoir au plus une version majeure de retard sur la version actuelle de PHP. \u00c0 la mi-2026, la ligne stable actuelle est PHP 8.4, avec la 8.3 en support de s\u00e9curit\u00e9 uniquement. Tout ce qui est ant\u00e9rieur \u00e0 8.3 devrait figurer sur votre liste d’actions. Tout ce qui rel\u00e8ve de la s\u00e9rie 7.x devrait \u00eatre trait\u00e9 comme urgent.<\/p>\n\n\n\n
Pr\u00e9voyez de tester et de mettre \u00e0 niveau une fois par an, id\u00e9alement au premier trimestre, quand la derni\u00e8re version s’est stabilis\u00e9e. La plupart des h\u00e9bergeurs font de la mise \u00e0 niveau une affaire d’un clic, mais les tests comptent plus que le clic.<\/p>\n\n\n\n