Les MU-plugins WordPress : à quoi ça sert, et comment les utiliser sans casse ?

MU-plugins : le principe (et pourquoi c’est utile)

Un MU-plugin (Must-Use) est un petit fichier PHP placé dans le répertoire wp-content/mu-plugins/. WordPress charge automatiquement tout ce qui se trouve à la racine de ce dossier, avant les plugins classiques.

Résultat : tes règles critiques restent actives, invisibles dans la page Extensions, et impossibles à désactiver depuis l’admin. C’est parfait pour verrouiller des réglages sensibles : sécurité, performances, comportements globaux, garde-fous éditoriaux.

Les différences vs les plugins classiques :

• Chargement : MU-plugins chargés en premier, puis plugins standards.
• Visibilité : pas de bouton « Désactiver » dans l’admin (et c’est le but).
• Structure : le chargement ne descend pas dans les sous-dossiers par défaut (important).

Les mu-plugins aident à stabiliser certaines fonctions, mais la base reste la même : moins d’extensions inutiles, plus de clarté. Pour faire le tri proprement après les failles récentes, voici une méthode complète d’audit plugins WordPress

Cas d’usage concrets : forcer le HTTPS, couper XML-RPC, ajouter des filtres globaux, nettoyer le head, définir un cache rapide, empêcher l’édition de fichiers depuis l’admin, ou encore afficher un bandeau « préproduction ».

Empêcher l’édition de fichiers est justement un excellent exemple de règle “à verrouiller”. Pour comprendre pourquoi c’est un vrai gain sécurité, et comment le faire proprement, le guide désactiver l’édition de fichiers WordPress te donne une méthode simple, plus les pièges classiques qu’il faut éviter.

« Exemple concret : quand une faille de plugin sort (comme King Addons ou W3 Total Cache), un MU-plugin peut aider à appliquer une règle de protection temporaire sans dépendre d’un plugin classique. Je donne la méthode complète “choisir, surveiller, réagir” dans Sécurité WordPress : failles King Addons et vulnérabilité W3 Total Cache. »

Créer ton premier MU-plugin : pas à pas (avec un « loader » propre)

Par défaut, WordPress charge uniquement les fichiers PHP au premier niveau du répeertoire mu-plugins. Si tu veux plusieurs fichiers triés par dossier, tu crées un loader au premier niveau qui requiert tes autres fichiers.

Étapes

1. Crée le dossier s’il n’existe pas : wp-content/mu-plugins/.
2. Ajoute un fichier loader au premier niveau, par exemple mu-loader.php.
3. Ajoute tes fichiers dans wp-content/mu-plugins/custom/ et charge-les depuis le loader.

Exemple (wp-content/mu-plugins/mu-loader.php) :

<?php
/**
 * Plugin Name: MU Loader
 * Description: Charge les MU-plugins du sous-dossier /custom de façon contrôlée.
 * Author: XT DESIGN WEB
 */

// Sécurité minimale
defined('ABSPATH') || exit;

// Chemin vers le dossier custom
$mu_dir = __DIR__ . '/custom';

// Charge tous les fichiers *.php du dossier custom
foreach (glob($mu_dir . '/*.php') as $file) {
    require_once $file;
}

Exemple de petit MU-plugin (wp-content/mu-plugins/custom/security-basics.php) :

<?php
// Empêche l'édition de fichiers depuis l'admin
if (!defined('DISALLOW_FILE_EDIT')) {
    define('DISALLOW_FILE_EDIT', true);
}

// Force l'admin en HTTPS si possible
if (!is_ssl() && !headers_sent()) {
    // Ne pas forcer sur CLI ou cron
    if (!(defined('WP_CLI') && WP_CLI) && php_sapi_name() !== 'cli') {
        // Redirection douce vers HTTPS
        $redirect = 'https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'];
        header('Location: ' . $redirect, true, 301);
        exit;
    }
}

Astuces utiles : versionne tes MU-plugins (Git), commente chaque règle, et teste en préprod avant de mettre en prod. Un MU-plugin mal écrit peut casser le site au chargement.

WP Rocket – accélérez votre site, instantanément

La façon la plus simple d’avoir un site WordPress rapide et de booster votre score Google PageSpeed.

Les experts WordPress recommandent WP Rocket comme le meilleur plugin de mise en cache pour WordPress

Passer à WP ROCKET

Idées de MU-plugins « utiles au quotidien »

• Nettoyage du front : retire les émojis, wp-embed, et autres scripts non essentiels pour gagner des millisecondes.
• Sécurité : désactive xmlrpc.php si tu n’en as pas besoin.
• UX d’admin : masque la barre d’admin pour les rôles non autorisés, forcer un rôle par défaut plus strict.
• Performance : précharge des pages “chaudes”.
• Qualité éditoriale : impose un minimum de longueur d’article, bloque la publication sans image à la Une.
• Ops : affiche un badge « staging » en haut d’admin.

Exemple : retirer le chargement des emojis (custom/disable-emojis.php) :

<?php
// Désactive les emojis côté front et admin
add_action('init', function () {
    remove_action('wp_head', 'print_emoji_detection_script', 7);
    remove_action('admin_print_scripts', 'print_emoji_detection_script');
    remove_action('wp_print_styles', 'print_emoji_styles');
    remove_action('admin_print_styles', 'print_emoji_styles');
});

Bonnes pratiques, mises en garde et dépannage

• Principe du moindre privilège : n’ajoute qu’un comportement par fichier (lisibilité et rollback facile).
• Chargement : souviens-toi que tout s’exécute très tôt. Évite d’appeler des fonctions d’un plugin standard qui ne serait pas encore chargé.

Compatiblité : si tu dois interagir avec un plugin tiers, accroche-toi à un hook tardif (plugins_loaded) dans ton MU-plugin.

add_action('plugins_loaded', function () {
    // Code qui dépend d’autres plugins
}, 20);

• Logs & debug : active WP_DEBUG_LOG en préprod et loggue dans wp-content/debug.log.
• Récupération en cas de crash : accès FTP/SSH indispensable pour renommer temporairement mu-loader.php et redémarrer le site.

Organisation : préfixe tes fichiers 10-security-…, 20-performance-… pour charger dans l’ordre (au besoin dans le loader).

En conclusion

Les MU-plugins sont ta ceinture de sécurité technique : simples fichiers, chargés en premier, et indésactivables depuis l’admin. Ils te servent à verrouiller des choix importants (sécurité, performance, qualité éditoriale) et à éviter les « oops » du lundi matin. Tu sais désormais à quoi ils servent, comment les créer (avec un loader propre), quoi y mettre, et comment éviter les pièges. Avec un peu de méthode (préprod, Git, commentaires, hooks), tu obtiens un WordPress plus stable, plus rapide et moins stressant à maintenir.

Et oui, on peut faire sérieux… sans se prendre au sérieux.

Points clés

• MU-plugins = toujours actifs, chargés avant les autres et pas désactivables depuis l’admin.
• Place tes fichiers au premier niveau ou utilise un loader pour charger un sous-dossier.
• Commence petit : sécurité de base, nettoyage, UX admin, garde-fous éditoriaux.
• Teste en staging, documente tout, garde un accès FTP/SSH pour dépanner.
  

Tu as besoin d’aide pour créer tes MU_plugins ? Écris-moi : Contact