Que couvre la maintenance applicative d'un site WordPress ?

La maintenance applicative d'un site WordPress porte sur le code propre au site : thème enfant, hooks, types de contenu sur mesure, extensions développées en interne et intégrations tierces. Elle se distingue de la maintenance de plateforme, limitée aux mises à jour du cœur, des extensions du marché et aux sauvegardes. Cette frontière décide de qui répare quand une mise à jour casse une fonctionnalité.

Ce qu'une mise à jour ne couvre jamais

Le rapport State of WordPress Security in 2026 de Patchstack recense 11 334 vulnérabilités publiées dans l'écosystème en 2025, soit 42 % de plus qu'en 2024 : 91 % dans les extensions, 9 % dans les thèmes, 6 seulement dans le cœur. Surtout, 46 % d'entre elles n'avaient reçu aucun correctif de leur éditeur au moment de la divulgation, et la médiane pondérée avant première exploitation massive est de 5 heures. Sans correctif disponible, aucune mise à jour ne protège : il faut désactiver le composant, neutraliser la fonction vulnérable ou la remplacer. C'est du développement, pas de l'administration.

Le périmètre concret

• Reprise du code sur mesure à chaque version majeure : WordPress 7.0 est sorti le 20 mai 2026, et la 7.0.3 du 6 août 2026 corrige une faille XSS pré-authentification (CVE-2026-64638).
• Correction des régressions sur le thème enfant et les hooks après une montée de version.
• Remplacement d'une extension abandonnée par du code maîtrisé.

En France, un forfait de maintenance de plateforme se négocie entre 30 et 80 € par mois chez un indépendant, 100 à 500 € en agence. La maintenance applicative se contractualise à part, en heures ou en enveloppe annuelle : elle mobilise un développeur, pas un automate. Pulsar Agency tient cette continuité applicative depuis 2005, dans le cadre de son offre d'amélioration continue.