Reprendre un site WordPress créé par quelqu’un d’autre : par où commencer ?

Pose le bon diagnostic avant de toucher à quoi que ce soit

Avant de cliquer sur le moindre bouton, résiste à l’envie de « ranger » tout de suite. Un audit site wordpress complet doit précéder toute action, sinon tu risques de casser un réglage dont tu ne connais pas l’utilité.

Commence par regarder le site comme un visiteur. Note ce qui fonctionne, ce qui rame, ce qui affiche une erreur. Ouvre ensuite la console développeur du navigateur pour repérer les erreurs JavaScript visibles, souvent révélatrices d’un thème ou d’un plugin mal entretenu.

Vérifie aussi la version de WordPress affichée en bas du tableau de bord, la liste des extensions actives et leur dernière mise à jour. Un plugin abandonné depuis trois ans, c’est un peu comme une fenêtre laissée ouverte dans un immeuble vide : personne n’y pense, jusqu’au jour où ça pose problème.

Regarde également le thème utilisé. Thème premium acheté une fois, thème enfant codé sur mesure, ou usine à widgets jamais nettoyée, cette information conditionne toute la suite de ton intervention.

Profites-en pour consulter les performances du site avec un outil de mesure type PageSpeed Insights, pour repérer les pages qui ne se chargent plus correctement. Cette première photographie sert de référence. Ttu pourras comparer l’avant et l’après une fois les corrections appliquées.

Dernier réflexe avant de continuer, identifie qui a créé le site et pourquoi il n’est plus dans la boucle. Changement de prestataire, faillite, simple désaccord commercial, la raison influence souvent l’état réel du site, surtout si la séparation s’est mal passée.

Ce diagnostic prend une heure ou deux, pas plus. C’est le prix d’entrée pour éviter de naviguer à l’aveugle sur un terrain que tu ne connais pas encore.

Mets la main sur tous les accès avant d’avancer

Un site sans accès, c’est un site que tu ne peux ni auditer, ni protéger. Cette étape conditionne tout le reste, alors autant la traiter en priorité absolue.

Liste les accès à récupérer un par un. Tu auras besoin du panneau d’administration de l’hébergeur, du FTP, de la base de données, de l’interface d’administration WordPress, du registrar du nom de domaine, des comptes DNS, et de la boîte email associée au nom de domaine si elle existe.

Si l’ancien prestataire est encore joignable, demande-lui un export complet, identifiants, certificats SSL, configuration SMTP, et toute documentation existante. S’il ne répond plus, tu peux contacter directement l’hébergeur avec une preuve de propriété du site (facture, contrat, mandat du client) pour récupérer l’accès au compte.

Du côté du nom de domaine, vérifie le registrar et la date d’expiration. Un domaine qui expire sans que personne ne s’en aperçoive, ça arrive plus souvent qu’on ne le croit, et c’est redoutable pour le référencement comme pour la crédibilité du site.

Une fois dans l’administration WordPress, change immédiatement le mot de passe administrateur, même si on t’a transmis l’ancien. Voir crées un nouveau compte Administrateur et supprime l’ancien définitivement. Tu ne sais pas combien de personnes le connaissaient, ni s’il a déjà fuité quelque part.

Si tu héberges chez o2switch ou un hébergeur équivalent, profites-en pour vérifier que la sauvegarde automatique côté serveur est bien active. Beaucoup de comptes cloud incluent ce filet de sécurité, mais personne ne pense à le vérifier après une reprise.

Retrouver tous ces accès ressemble à une chasse au trésor administrative. Sauf que le trésor, ici, c’est juste le droit de t’occuper correctement du site que tu viens d’hériter.

Audite les utilisateurs et les rôles, parce que tu ne sais pas qui a encore les clés

Une fois dans l’administration, ta deuxième urgence concerne les comptes utilisateurs. Sur un site repris, il n’est pas rare de trouver trois anciens stagiaires, un développeur parti depuis deux ans et un compte « test » resté administrateur par oubli.

Dans le back-office WordPress, va dans Comptes > Tous les comptes et passe chaque compte au crible. Pour comprendre ce que chaque rôle autorise réellement, le détail des rôles et permissions WordPress structure parfaitement cette étape, qui peut publier, qui peut gérer les extensions, qui peut tout casser en deux clics.

Supprime ou rétrograde sans hésiter les comptes inactifs depuis plus de six mois, surtout ceux qui ont le rôle administrateur. Le principe du moindre privilège n’est pas une option de confort, c’est la base. Un compte fantôme avec les pleins pouvoirs, c’est une porte d’entrée que personne ne surveille.

Pour la définition exacte de chaque rôle natif (administrateur, éditeur, auteur, contributeur, abonné) et de leurs capacités précises, la documentation officielle des rôles et capacités WordPress reste la référence à consulter, surtout si tu veux affiner les permissions avec un plugin dédié plutôt qu’à l’instinct.

Si les rôles natifs ne suffisent pas pour affiner finement qui voit quoi ou qui peut faire quoi, le plugin gratuit Members permet de créer des rôles sur mesure et de retirer des capacités précises sans toucher au code, ce qui est précieux quand tu dois trancher en quelques minutes sur dix comptes différents.

Pense aussi aux accès tiers : compte Google Analytics, Search Console, plugin de paiement, service d’emailing. Chacun de ces accès doit être audité avec la même rigueur que les comptes WordPress eux-mêmes.

Cet audit des utilisateurs ne prend pas longtemps, mais il évite qu’une personne que plus personne ne connaît garde la main sur ton site pendant des mois.

Sécurise le site avant de changer le moindre réglage

Avant d’optimiser quoi que ce soit, blinde la porte d’entrée. Un site repris sans audit de sécurité, c’est une maison dont tu changes la déco sans avoir vérifié si la porte ferme correctement.

Vérifie en premier lieu le certificat SSL. S’il est expiré, mal configuré, ou s’il génère des erreurs de contenu mixte (ressources chargées en HTTP sur une page HTTPS), corrige ce point immédiatement. La sécurisation d’un site WordPress avec SSL et Let’s Encrypt détaille la marche à suivre sans y passer la journée.

Ensuite, regarde si une protection contre les tentatives de connexion abusives est en place. Beaucoup de sites repris n’ont aucune limite sur le nombre d’essais de connexion, ce qui revient à laisser un robot tester des mots de passe à l’infini. La protection contre les attaques par force brute couvre ce point précisément, avec les plugins et réglages à activer.

Pour structurer le reste de la mise en sécurité dans l’ordre, la checklist sécurité WordPress de WPFormation complète utilement les réglages déjà vus ici, protection de wp-config, clés SALT, préfixe de base de données, en-têtes HTTP de sécurité, restriction de l’API REST et de XML-RPC.

Vérifie aussi si une extension de sécurité type Solid Security ou équivalent est déjà installée. Si oui, regarde sa configuration plutôt que d’en ajouter une seconde. Deux plugins de sécurité qui se chevauchent finissent souvent par se neutraliser, un peu comme deux videurs qui se disputent devant la même porte.

Dernier point, et pas des moindres, si l’éditeur de fichiers de thèmes et plugins est encore activé dans l’administration, désactive-le. Un compte compromis avec accès à cet éditeur peut injecter du code malveillant en quelques secondes.

Cette mise en sécurité de base se fait en une demi-journée. C’est le minimum vital avant de penser au design ou aux nouvelles fonctionnalités.

Sauvegarde avant de bouger le moindre pixel

Tu as fait le tour des accès, des comptes et de la sécurité. Avant d’aller plus loin, une règle ne se discute pas. Aucune sauvegarde récente et fiable, ne veut pas dire aucune intervention sur le site.

Sur un site repris, tu ne sais jamais vraiment quand remonte la dernière sauvegarde fonctionnelle, ni si elle a déjà été testée en restauration. La sauvegarde et la restauration d’un site WordPress détaille la méthode complète, plugin dédié, export manuel via FTP, export de la base de données via phpMyAdmin.

Pour structurer une vraie stratégie plutôt qu’une sauvegarde isolée, le guide complet sur la sauvegarde WordPress de WPFormation détaille la stratégie 3-2-1 et compare UpdraftPlus, WPvivid et BlogVault, notamment sur la fréquence et la diversité des emplacements de stockage, deux points souvent négligés sur les sites repris à la hâte.

Mets en place une sauvegarde automatique avant toute autre action, même si tu prévois de ne rien modifier dans l’immédiat. C’est ta corde de rappel : si une mise à jour tourne mal le lendemain, tu reviens en arrière en quelques minutes plutôt qu’en plusieurs jours de reconstruction.

Profite aussi de ce moment pour vérifier où sont stockées les sauvegardes existantes, si elles existent. Un fichier de sauvegarde planqué sur le même serveur que le site, c’est une bouée attachée au bateau qu’elle est censée sauver en cas de naufrage.

Une fois cette sécurité en place, tu peux enfin avancer sereinement sur le reste de l’audit, sans craindre qu’une manipulation transforme ta reprise de site en sauvetage d’urgence.

Vérifie la mécanique sous le capot : thème, plugins, version PHP

Le site tient debout, les accès sont sécurisés, place maintenant à l’inspection technique. C’est un peu le moment archéologique de la reprise : on creuse dans les couches successives laissées par chaque intervenant précédent.

Commence par la version PHP utilisée par l’hébergement. Avec la version PHP 8.3 désormais courante chez la plupart des hébergeurs sérieux, un site encore calé sur du PHP 7.4 tourne probablement plus lentement et accumule un risque de sécurité, les anciennes versions n’étant plus maintenues.

Passe ensuite chaque extension active au crible. Pour chacune, vérifie la date de dernière mise à jour sur le répertoire officiel WordPress.org, le nombre d’installations actives, et les avis récents. Une extension non mise à jour depuis deux ans, même si elle fonctionne encore, représente une faille potentielle qui ne demande qu’à être exploitée.

Désactive les extensions clairement inutiles, comme les compteurs de visites jamais consultés, les plugins de réseaux sociaux disparus, ou les outils de test laissés en place après une migration. Chaque extension active consomme des ressources et élargit le périmètre d’attaque, même sans bug visible.

Regarde aussi le thème de plus près. Thème enfant propre avec un minimum de personnalisation documentée, ou thème modifié directement dans le cœur du fichier sans aucune trace. Cette différence change complètement ta marge de manœuvre pour les évolutions futures.

Si Elementor ou Elementor Pro (lien affilié) est installé, vérifie la cohérence des templates et des styles globaux. Un site bricolé par plusieurs personnes accumule souvent des styles en double, des sections orphelines, et des polices jamais nettoyées qui ralentissent le chargement sans apporter de valeur.

Cette phase technique demande de la patience, un peu comme trier un grenier avant un déménagement. Mais elle révèle souvent l’origine des ralentissements ou des bugs que le client te signalait sans pouvoir les expliquer.

Recolle les morceaux côté SEO : Search Console et indexation

Un site repris traîne souvent un passif SEO invisible à l’œil nu : propriété Search Console jamais transférée, erreurs d’indexation ignorées, redirections oubliées après une refonte précédente. Cette étape mérite autant ton attention que la sécurité.

Commence par vérifier si tu as accès à la Google Search Console liée au site. Si ce n’est pas le cas, le guide officiel de Google pour valider la propriété d’un site explique comment revendiquer cette propriété, via une balise meta, un fichier HTML, ou la vérification par domaine chez ton registrar.

Une fois dans l’outil, regarde le rapport de couverture d’index. Les erreurs de type soft 404 signalent souvent des pages supprimées sans redirection propre. L’article sur Google Search Console et les erreurs Soft 404 détaille comment les identifier et les corriger une par une.

Vérifie également le fichier sitemap XML soumis. S’il fait référence encore à des pages disparues ou s’il n’a pas été mis à jour depuis longtemps, régénère-le via SEOPress (lien affilié) ou l’extension SEO installée sur le site.

N’oublie pas non plus de contrôler le fichier robots.txt : un ancien prestataire a parfois bloqué l’indexation de sections entières par erreur, ou au contraire laissé indexer des pages techniques qui n’ont rien à faire dans les résultats de recherche.

Dernier point souvent négligé : les anciennes redirections 301 mises en place lors d’une précédente refonte. Si elles ont disparu ou pointent vers des pages obsolètes, le référencement du site en pâtit directement, parfois depuis des mois sans que personne ne s’en rende compte.

Ce travail de remise à plat SEO ne se voit pas immédiatement sur le site, mais il conditionne sa visibilité dans les mois qui suivent ta reprise.

Mets en place un suivi qui dure, pour ne plus jamais repartir de zéro

Tu as fait l’essentiel. Les accès sont récupérés, les comptes sont nettoyés, la sécurité est renforcée, les sauvegardes sont en place, la technique est vérifiée, le SEO remis à plat. Reste un point que beaucoup zappent, organiser la suite pour ne pas revivre cette galère dans deux ans.

Documente tout ce que tu viens de découvrir. Liste des accès, plugins installés, particularités du thème, comptes utilisateurs actifs. Ce document te fera gagner un temps fou si quelqu’un d’autre reprend un jour ce même site après toi.

Cette documentation te servira aussi à repérer plus vite les prochains problèmes. Les signaux faibles qui annoncent qu’un site WordPress va bientôt casser donne justement la liste des symptômes à surveiller en priorité sur un site que tu viens de reprendre, là où l’historique technique te manque encore le plus.

Mets ensuite en place un véritable programme de suivi, en distinguant les actions préventives des actions curatives. La différence entre maintenance préventive et maintenance curative explique pourquoi les deux doivent coexister dans ton planning plutôt que d’attendre la prochaine panne pour réagir.

Si tu gères ce site en interne et que tu préfères apprendre à le piloter toi-même plutôt que de tout déléguer, un accompagnement WordPress permet justement de monter en compétence sur les bons réflexes, sans avoir à tout réapprendre seul à chaque imprévu.

Planifie des mises à jour régulières de WordPress, des extensions et du thème, idéalement sur un environnement de test avant la mise en production. Programme aussi des audits de sécurité périodiques, tous les trois à six mois selon l’activité du site.

Reprendre un site WordPress correctement, c’est transformer une situation incertaine en base saine et documentée. Une fois ce travail fait, le site cesse d’être une boîte noire héritée d’un autre et devient enfin un outil que tu maîtrises réellement.

En conclusion

Reprendre un site WordPress créé par quelqu’un d’autre n’a rien d’une fatalité, à condition de suivre un ordre logique plutôt que de foncer tête baissée dans les réglages. Diagnostic, récupération des accès, audit des utilisateurs, sécurisation, sauvegarde, vérification technique, remise à plat SEO, puis un suivi pérenne : chaque étape protège la suivante.

Cette méthode s’applique aussi bien à un site racheté avec une activité, à un client qui change de prestataire, qu’à un freelance qui dépanne ponctuellement un site laissé à l’abandon. Le point commun reste toujours le même, ne jamais agir sur un terrain inconnu sans avoir d’abord posé un filet de sécurité.

Tu viens d’hériter d’un site WordPress et tu n’es pas sûr par où commencer concrètement chez toi ? Si tu veux clarifier la situation avant de te lancer, on peut en discuter ensemble et regarder où se cachent les vrais risques sur ton cas précis.