Le Site de la Semaine – « Theoxis »

Un site internet, c’est un peu comme un bateau : le jour du baptême, tout brille. Coque impeccable, voiles neuves, pont ciré. Puis viennent les embruns, le sel, les tempêtes… et l’armateur qui n’a jamais prévu de carénage découvre un jour une voie d’eau. Theoxis a sollicité Graph’in ! pour la réalisation de son site internet, que ses fondatrices voulaient dynamique et hors des sentiers tout tracés du recrutement. Le lancement d’un tel site est une belle étape. Ce dont on parle moins, et que nous allons raconter ici, c’est ce qui se passe après : la maintenance, la sécurité, et ces extensions maison que le studio développe pour ne pas laisser les sites de ses clients à la merci du premier vent mauvais.

Vous pouvez faire un tour sur le site de Theoxis pour voir le résultat côté pont. Ici, on descend en salle des machines.

Un site WordPress se met à jour comme on entretient un moteur

La grande majorité des sites réalisés par Graph’in ! tournent sous WordPress. C’est le système de gestion de contenu le plus utilisé au monde, et c’est une excellente nouvelle : il est souple, documenté, et des milliers de développeurs l’améliorent en permanence. Revers de la médaille, sa popularité en fait aussi une cible de choix pour les pirates, qui savent qu’une faille trouvée sur WordPress ou sur une extension répandue ouvre la porte de milliers de sites d’un coup.

Un site WordPress repose sur trois étages, et chacun reçoit régulièrement des mises à jour.

• Le cœur de WordPress lui-même, publié par l’équipe officielle.
• Le thème, qui gère l’apparence du site (Graph’in ! travaille beaucoup avec le thème Enfold).
• Les extensions, ces modules qui ajoutent des fonctions : formulaires, référencement, cache, sécurité, boutique…

Sans oublier, sous le plancher, la version de PHP (le langage qui fait tourner WordPress) proposée par l’hébergeur. Elle aussi vieillit, et une version trop ancienne cesse de recevoir des correctifs de sécurité.

Pourquoi on ne clique pas sur « Tout mettre à jour » sans réfléchir

La tentation est forte : un bouton, et tout se met à jour d’un coup. Sauf qu’une extension mise à jour peut entrer en conflit avec le thème, qu’une nouvelle version de PHP peut casser un vieux module, et qu’un formulaire de contact peut cesser d’envoyer des messages sans que personne ne s’en aperçoive pendant des semaines. Pour un site qui vit de ses demandes de contact, c’est le genre d’avarie qu’on préfère éviter.

La méthode de l’équipage tient en quelques gestes : une sauvegarde complète avant toute intervention ; des mises à jour faites par lots, en commençant par les plus sensibles ; un contrôle visuel des pages principales après chaque lot ; un test réel du formulaire de contact ; et, en cas de pépin, un retour en arrière grâce à la sauvegarde. Rien de spectaculaire. Juste de la rigueur de quartier-maître.

La sécurité, ou l’art de fermer les écoutilles

Un site piraté ne s’annonce pas toujours par un écran noir et une tête de mort. Souvent, c’est plus sournois : des liens invisibles vers des sites douteux glissés dans les pages, une redirection qui n’apparaît que sur téléphone, un compte administrateur fantôme créé en pleine nuit, des milliers de mails indésirables envoyés depuis votre serveur. Le propriétaire l’apprend parfois par Google, qui affiche un avertissement aux visiteurs, ou par son hébergeur, qui suspend le compte.

Les bonnes pratiques de base ne sont pas sorcières, encore faut-il les appliquer toutes :

• un certificat SSL, pour que le site s’affiche en « https » avec le petit cadenas ;
• des mots de passe longs et uniques pour chaque compte, avec la double authentification pour les administrateurs ;
• un nombre limité de tentatives de connexion, pour décourager les robots qui essaient des milliers de combinaisons ;
• des comptes utilisateurs réduits au strict nécessaire, chacun avec les droits dont il a besoin, pas plus ;
• la désactivation de fonctions inutilisées qui laissent des portes entrouvertes ;
• des en-têtes de sécurité configurés sur le serveur, que les visiteurs ne voient pas mais que les navigateurs respectent.

L’hébergement, le port d’attache

La sécurité commence avant WordPress, chez l’hébergeur. Un serveur bien tenu applique ses propres mises à jour, propose des versions récentes de PHP, sépare les sites les uns des autres et filtre une partie des attaques avant qu’elles n’atteignent votre site. Un hébergement au rabais, partagé avec des centaines de sites mal entretenus, revient à amarrer votre bateau entre deux épaves qui prennent l’eau. Le choix de l’hébergement fait donc partie du projet de site, au même titre que la maquette.

Les sauvegardes, votre canot de sauvetage

Une bonne sauvegarde se fait automatiquement, régulièrement, et se stocke ailleurs que sur le serveur du site. Car si le serveur tombe, une sauvegarde rangée dans la même cale coule avec lui. On garde plusieurs versions dans le temps : un piratage discret peut dater de plusieurs jours avant d’être découvert, et la sauvegarde de la veille est alors déjà contaminée. Une sauvegarde qu’on n’a jamais essayé de restaurer reste une promesse ; de temps en temps, on vérifie qu’elle tient la route.

Pourquoi Graph’in ! développe ses propres extensions

Pour un site WordPress, on trouve une extension pour tout. Le problème, c’est justement qu’on en trouve pour tout. Un site qui empile vingt-cinq extensions de vingt-cinq éditeurs différents devient lent, fragile et dépendant : chaque éditeur peut changer ses conditions, passer une fonction gratuite en version payante, cesser de mettre à jour son module, ou être racheté par un autre qui n’a pas les mêmes priorités. Et certaines extensions célèbres, à force d’ajouter des fonctions, finissent par affréter un paquebot pour transporter une valise.

Le studio a donc fait un choix : développer ses propres extensions WordPress pour les besoins qui reviennent sur tous les sites de ses clients. La sécurité. Le consentement aux cookies. Le référencement (titres, descriptions, données structurées, questions fréquentes). Ces outils maison sont légers, font exactement ce qu’on leur demande, et surtout ils n’entraînent aucune dépendance à des abonnements. Pas de licence annuelle par site, pas de mauvaise surprise quand un éditeur change ses tarifs.

Ce que ça change pour vous

Moins d’extensions tierces, c’est moins de mises à jour à surveiller et moins de risques de conflit. Un code maîtrisé par l’équipe, c’est une correction rapide quand un problème apparaît, sans attendre le bon vouloir d’un support à l’autre bout du monde. Et des outils pensés pour les sites de TPE et de PME, ce sont des réglages simples, sans quarante onglets d’options dont vous n’aurez jamais l’usage.

Cela ne veut pas dire qu’on bannit toute extension extérieure : certaines sont excellentes, bien maintenues, et il serait absurde de réinventer la roue. Le tri se fait au cas par cas, avec une question simple : cette extension sera-t-elle encore là, sûre et à jour, dans trois ans ?

Le contrat de maintenance, ce que contient la caisse à outils

« Maintenance » est un mot fourre-tout. Derrière, on peut trouver tout et son contraire : un simple clic mensuel sur le bouton de mise à jour, ou un vrai suivi. Avant de signer quoi que ce soit, avec Graph’in ! ou avec un autre équipage, posez quelques questions simples.

• Qui fait les sauvegardes, à quelle fréquence, et où sont-elles stockées ?
• Les mises à jour sont-elles testées, ou appliquées à l’aveugle ?
• Que se passe-t-il si le site est piraté : qui intervient, et dans quel délai ?
• Le certificat SSL, le nom de domaine et l’hébergement sont-ils surveillés, avec leurs dates de renouvellement ?
• Recevez-vous un compte rendu des interventions, même court ?
• Les petites modifications de contenu (un horaire, une photo, un texte) sont-elles comprises ?

Un point mérite une attention particulière : le nom de domaine. Il doit être enregistré à votre nom, pas à celui de votre prestataire, et son renouvellement doit être suivi. Un domaine oublié qui expire, c’est un site et des adresses mail qui s’éteignent du jour au lendemain… et parfois un nom racheté par un inconnu. Vous gardez aussi vos accès administrateur : le site vous appartient, l’équipage le soigne.

Et si je veux tout faire moi-même ?

C’est possible, et certains clients le font très bien. WordPress a été conçu pour être géré par des non-informaticiens. Graph’in ! forme d’ailleurs les équipes qui le souhaitent à la mise à jour de leurs contenus. Il faut simplement être honnête avec soi-même : aurez-vous le temps, chaque mois, de sauvegarder, mettre à jour, vérifier et réparer ? Si la réponse est « on verra », la maintenance mérite d’être confiée.

La vitesse et la santé du site, deux indicateurs à surveiller

Un site bien entretenu est aussi un site rapide. Les images trop lourdes, les extensions inutiles, les scripts chargés sur toutes les pages alors qu’ils ne servent que sur une seule : tout cela ralentit le chargement, agace les visiteurs sur téléphone et pèse sur le référencement. Nous avons détaillé ce sujet dans l’article consacré au site d’Optipaie.

Côté santé, WordPress propose un outil de diagnostic intégré qui signale les versions obsolètes, les réglages risqués et les problèmes de configuration. La Google Search Console, de son côté, prévient quand des pages ne sont plus indexées ou quand un problème de sécurité est détecté. Deux vigies gratuites, à condition de regarder ce qu’elles signalent.

Les liens cassés et les formulaires muets

Avec le temps, des liens vers des sites extérieurs finissent par mener nulle part, des images disparaissent, un formulaire cesse d’envoyer ses messages parce qu’un réglage de messagerie a changé chez l’hébergeur. Un contrôle régulier de ces points évite que vos visiteurs ne tombent sur une page d’erreur… ou que vos prospects ne vous écrivent dans le vide.

Un site différent, entretenu comme les autres

Theoxis voulait un site qui sorte des sentiers battus du recrutement. L’originalité se voit à l’écran ; la solidité, elle, se joue en coulisses, et elle ne se négocie pas. Un site dynamique et créatif doit rester rapide, sûr et à jour, sans quoi l’effet « waouh » du lancement tourne vite à l’effet « oups ».

Graph’in ! conçoit des sites internet WordPress et en assure le suivi pour des entreprises de Nantes, d’Ancenis et de la Loire-Atlantique, et à distance partout en France. Pour un site qui doit aussi présenter un métier difficile à expliquer, l’article sur La Mellisphère devrait vous intéresser. Parcourez nos réalisations, puis écrivez-nous : votre site mérite un carénage régulier.

Levez l’encre !

Vos questions, nos réponses