Les extensions en détail
Neuf extensions recommandées par ce guide, une fiche par extension : à quoi elle sert, le réglage qui compte, le piège classique. Chaque fiche se lit seule. Les photos et les vidéos ont été tournées sur un site de démonstration, La Fabrique à Savons.
Vue d'ensemble
Le chapitre 06 dit quelle extension choisir. Cette annexe montre où elle se règle et où l'on se trompe le plus souvent.
Votre prestataire a normalement réglé ces extensions. Ces fiches servent à comprendre et à vérifier, pas à tout refaire : avant de changer un réglage, on fait une sauvegarde. Les images datent d'octobre 2026 : selon la version, un libellé ou un écran peut avoir bougé.
| Extension | Besoin | Prix | Le réglage qui compte |
|---|---|---|---|
| Yoast SEO | Référencement | Gratuite, Premium en option | L'affichage de chaque type de contenu dans Google |
| UpdraftPlus | Sauvegardes | Gratuite, Premium en option | Restaurer composant par composant |
| Solid Security | Sécurité | Gratuite, Pro en option | Le blocage après trop d'erreurs, votre adresse IP autorisée |
| Complianz | Cookies, RGPD | Gratuite, Premium en option | Déclarer soi-même les services tiers |
| WP Mail SMTP | Emails fiables | Gratuite, Pro en option | Un expéditeur de votre domaine, SPF et DMARC |
| Safe SVG | Logos SVG | Gratuite | Réserver l'envoi aux administrateurs |
| Forminator | Formulaires complexes | Gratuite, Pro en option | Le pot de miel et la durée de conservation |
| Stripe E-com | Paiement par carte | Extension gratuite, commission par vente | Commencer par le compte de test |
| PayPal Payments E-com | Paiement PayPal | Extension gratuite, commission par vente | Commencer par le mode Sandbox |
Yoast SEO
Yoast SEO décide de ce que Google reçoit : titres, descriptions, plan de site, pages à indexer. L'extension ne fait pas monter un site toute seule : elle donne aux moteurs des informations propres.
- Gratuit ou payant : la version gratuite couvre le référencement du site. Premium ajoute notamment les titres et les descriptions rédigés par IA, les suggestions de liens internes, le gestionnaire de redirections et jusqu'à cinq expressions clés par contenu.
- Quand la choisir : le site n'a pas encore d'extension SEO. Si Rank Math est déjà en place, on le garde.
- Quand l'éviter : jamais à côté d'une autre extension SEO. Les deux écriraient les mêmes balises dans les mêmes pages.
Le réglage qui compte : ce qui apparaît dans Google
Chaque type de contenu a sa page dans Types de contenu : articles, pages, produits. L'interrupteur du haut décide si ce contenu peut sortir dans les résultats. Désactivé, il n'est plus indexé et quitte le plan de site. En dessous, Titre SEO et Méta description sont des modèles : ils s'appliquent aux fiches qui n'ont pas leur propre texte.
Dans Réglages → Lecture, la case « Demander aux moteurs de recherche de ne pas indexer ce site » est souvent cochée pendant la construction, puis oubliée à la mise en ligne. Cochée, elle demande aux moteurs de laisser tout le site de côté, quels que soient les réglages de Yoast. Elle doit rester vide.
Le plan de site se trouve à l'adresse /sitemap_index.xml de votre domaine. C'est lui que l'on transmet à la Search Console.
Aller plus loin : SEO & visibilité locale (chapitre 10, avec Yoast dans l'éditeur en Fig. ME-V04) · La fiche sur wordpress.org.
UpdraftPlus
UpdraftPlus copie régulièrement les fichiers et la base de données hors de l'hébergement. Mais une sauvegarde ne vaut que si l'on sait la restaurer : cette fiche commence là où le chapitre 10 s'arrête.
- Gratuit ou payant : la version gratuite sauvegarde et restaure un site complet. Premium ajoute notamment les sauvegardes automatiques avant chaque mise à jour, les sauvegardes incrémentales, d'autres stockages (OneDrive, Backblaze, pCloud…) et des heures de sauvegarde fixes.
- Quand la choisir : dès que le site n'a aucune sauvegarde hors de son hébergement.
- Quand l'éviter : si une autre solution sauvegarde déjà le site vers un stockage externe. Deux planifications chargent le serveur pour rien.
Le réglage qui compte : restaurer juste ce qu'il faut
La planification est déjà expliquée dans Les sauvegardes (chapitre 10). Ici, on regarde le jour où l'on en a besoin. Restaurer ne veut pas dire tout remettre : l'écran propose chaque composant séparément, et l'on coche seulement ce qui a disparu.
| Ce qui a disparu | Ce qu'on coche |
|---|---|
| Une page, un article, un produit, un réglage | Base de données |
| Des images | Téléversements |
| Une extension | Extensions |
| Un thème | Thèmes |
La base de données revient à son état du jour de la sauvegarde. Tout ce qui a été enregistré depuis disparaît : commandes, comptes clients, messages de formulaire. Avant de restaurer, on sauvegarde donc l'état actuel. Sur une boutique, on note les commandes récentes, ou on passe par votre prestataire.
Aller plus loin : Les sauvegardes (chapitre 10) · Si une mise à jour casse le site (chapitre 09) · La fiche sur wordpress.org.
Solid Security
Solid Security protège la porte d'entrée du site : elle bloque les adresses qui multiplient les erreurs de connexion et ajoute la double authentification.
Un mot sur le nom. L'extension s'est appelée iThemes Security, puis Solid Security. Depuis la version 10, elle s'appelle Kadence Security Basic. Le menu de WordPress dit encore Solid Security, les écrans de réglages disent Kadence Security : c'est la même extension, avec le même identifiant et les mêmes réglages.
- Gratuit ou payant : la version gratuite couvre le bannissement, la protection contre les attaques par force brute et la double authentification. Pro ajoute notamment le reCAPTCHA, la connexion sans mot de passe, les appareils de confiance et les correctifs de failles appliqués automatiquement.
- Quand la choisir : le site n'a pas déjà Wordfence ou une autre extension de sécurité.
- Quand l'éviter : jamais à côté d'une autre extension de sécurité. Les deux surveillent les mêmes choses et se gênent.
Le réglage qui compte : le blocage après trop d'erreurs
Une adresse IP qui multiplie les erreurs de connexion est bloquée 15 minutes. L'extension garde ce blocage en mémoire 7 jours. Au troisième blocage sur cette période, l'adresse est bannie pour de bon. Le chiffre 3 compte bien des blocages, pas des erreurs de mot de passe. Ces valeurs sont celles d'origine, et elles conviennent.
Trop d'erreurs, et le site vous traite comme un robot. D'où la section IP autorisées : le bouton « Autoriser mon adresse IP » y ajoute la vôtre, mais l'adresse d'une box peut changer. L'extension protège aussi pendant 24 heures la dernière adresse utilisée par un administrateur. Bloqué malgré tout ? On attend 15 minutes, sans réessayer en boucle. Banni ? On appelle son prestataire.
Aller plus loin : La sécurité au quotidien (chapitre 10) · La fiche sur wordpress.org.
Complianz
Complianz affiche le bandeau de cookies et bloque les services tiers tant que le visiteur n'a pas accepté. Son assistant fait gagner du temps, mais il ne devine pas tout : c'est à vous de déclarer ce que le site utilise.
- Gratuit ou payant : la version gratuite fournit le bandeau, l'analyse des cookies, le blocage des scripts et la politique de confidentialité, sans limite de consentements. Premium ajoute notamment l'analyse complète du site, le registre des consentements et des documents juridiques plus poussés.
- Quand la choisir : pour gérer le bandeau depuis WordPress, sans abonnement.
- Quand l'éviter : si un autre bandeau est déjà en place, Axeptio par exemple. Un site n'en a besoin que d'un.
Le réglage qui compte : déclarer les services tiers
Dans l'assistant, étape Consentement, écran Services, on répond Oui à la question sur les services d'une tierce partie, puis on coche uniquement ce que le site utilise vraiment : une carte Google Maps, des vidéos YouTube. Un service oublié risque de se charger avant le consentement du visiteur, ce que le bandeau doit justement empêcher.
L'analyse automatique aide, mais elle ne remplace pas cette liste : la version gratuite s'arrête aux articles et aux pages, et la nouvelle analyse demande d'authentifier le site auprès d'un service externe.
Le bouton reste grisé tant que des questions obligatoires sont sans réponse. L'écran Terminer dit lesquelles : dans la vidéo, la politique de cookies, la déclaration de confidentialité, l'Imprint et l'avertissement. Tant que l'assistant n'a jamais été terminé, le bandeau n'apparaît pas chez vos visiteurs, même avec l'extension active. On va donc au bout, puis on vérifie côté visiteur, comme en Fig. ME-V07.
Aller plus loin : RGPD & obligations légales (chapitre 10) · La fiche sur wordpress.org.
WP Mail SMTP
Par défaut, WordPress envoie ses emails depuis l'hébergement, sans preuve d'identité : ils finissent en spam ou se perdent. WP Mail SMTP les fait passer par une vraie boîte mail.
- Gratuit ou payant : la version gratuite suffit pour envoyer. Pro ajoute notamment le journal des emails, des rapports détaillés et des intégrations directes avec Microsoft, Amazon SES ou Zoho.
- Quand la choisir : dès que le site envoie des emails importants : commandes, formulaires, mots de passe oubliés.
- Quand l'éviter : pour une newsletter ou des envois en masse. Le fournisseur de messagerie peut limiter le nombre d'emails envoyés, l'écran le dit lui-même.
Le réglage qui compte : un expéditeur de votre domaine
L'expéditeur est une adresse de votre domaine, jamais un Gmail. L'option « Forcer l'e-mail de l'expéditeur » est active d'origine : on la laisse, elle impose cette adresse à tous les envois du site. Le mode d'envoi Autre SMTP déplie ensuite les champs à remplir avec les informations de votre fournisseur de messagerie : hébergeur SMTP, cryptage TLS, identifiant et mot de passe. Au choix de TLS, le port passe seul à 587.
Le mot de passe reste enregistré dans la base de données. L'écran recommande de le placer plutôt dans le fichier de configuration de WordPress : c'est une opération à confier à votre prestataire.
Dans WP Mail SMTP → Outils, onglet « E-mail de test », l'envoi peut réussir tout en affichant un bandeau sur la délivrabilité. Les messages sur SPF et DMARC viennent d'un service externe, d'où leur anglais : ils signalent que le domaine ne prouve pas son identité aux messageries. Ça ne se règle pas dans WordPress, mais dans les DNS du domaine, avec votre prestataire.
Aller plus loin : Les emails de la boutique (chapitre 08) · La fiche sur wordpress.org.
Safe SVG
Un SVG est un fichier texte qui peut contenir du code : c'est pourquoi WordPress le refuse. Safe SVG l'autorise, en le nettoyant à l'envoi.
- Gratuit ou payant : gratuite, éditée par 10up.
- Quand la choisir : le logo ou les pictogrammes du site sont en SVG.
- Quand l'éviter : si personne n'envoie de SVG. C'est une extension de moins, et une mise à jour de moins.
Le réglage qui compte : réserver l'envoi aux administrateurs
L'extension n'a pas de menu à elle : ses options sont dans la section « Réglages Safe SVG » de Réglages → Médias. Rôles des comptes dit qui peut envoyer des SVG : on ne garde qu'Administrator. Fichiers volumineux reste décoché : l'écran lui-même le déconseille, sauf nécessité.
À l'activation, tous les rôles sont cochés : Author, Shop Manager, SEO Manager… Le nettoyage limite le risque, il ne l'annule pas. On réduit donc la liste tout de suite, avant que quelqu'un d'autre ne s'en serve.
Aller plus loin : La stack recommandée BrandID (chapitre 06) · La fiche sur wordpress.org.
Forminator
Forminator sert aux formulaires qui dépassent le simple contact : plusieurs étapes, calcul de devis, questions conditionnelles. Pour un contact simple, le Formulaire atomique d'Elementor suffit.
- Gratuit ou payant : la version gratuite inclut le pot de miel et le reCAPTCHA. Pro ajoute notamment des champs et des modules supplémentaires, ainsi que les abonnements Stripe.
- Quand la choisir : dès qu'un formulaire a besoin d'étapes, de calculs ou de questions conditionnelles.
- Quand l'éviter : pour un simple formulaire de contact. Autant ne pas ajouter une extension de plus.
Le réglage qui compte : la durée de conservation
Un message reçu contient des données personnelles : nom, email, téléphone. Dans l'éditeur du formulaire, onglet Réglages, section Confidentialité, on choisit Personnalisé sous « Entrées », puis une durée. À 0 ou vide, les messages sont gardés sans limite. La durée choisie doit correspondre à celle annoncée dans votre politique de confidentialité.
Le pot de miel, ce champ invisible qui piège les robots, est éteint d'origine : on l'active formulaire par formulaire, onglet Comportement, section Sécurité. Et aucune modification n'est prise en compte sans « PUBLISH CHANGES », en haut de l'écran.
Aller plus loin : Les formulaires (chapitre 07) · RGPD & obligations légales (chapitre 10) · La fiche sur wordpress.org.
Stripe E-com
Stripe encaisse les cartes bancaires de la boutique. L'extension est gratuite : on paie à chaque vente.
- Gratuit ou payant : pas d'abonnement, mais une commission par vente : 1,5 % + 0,25 € par carte européenne standard, davantage pour les cartes premium ou hors Europe. Ces montants changent : on vérifie la page Tarifs de Stripe avant de signer.
- Quand la choisir : comme moyen de paiement principal, pour les cartes, Apple Pay et Google Pay.
- Quand l'éviter : une seule extension pour les cartes. Pas de Stripe et « Accepter les paiements avec Woo » en même temps.
Le réglage qui compte : commencer par le compte de test
Dans la liste des paiements, Stripe affiche « Action requise » tant que le compte n'est pas relié. « Terminer la configuration » ouvre un écran à deux boutons, et l'on commence par « Créer ou connecter un compte de test » : on passe de fausses commandes, sans mouvement d'argent. La suite se déroule chez Stripe : les images de cette fiche s'arrêtent à cet écran.
« Créer ou connecter un compte » engage le vrai compte, et le clic vaut acceptation des Conditions d'utilisation. Une fois le site relié, on ne touche plus aux clés secrètes : les modifier coupe les paiements. Avant l'ouverture, on vérifie que le mode test est bien coupé : sinon, la boutique semble fonctionner mais n'encaisse rien.
Aller plus loin : Les moyens de paiement et Checklist de lancement (chapitre 08) · La fiche sur wordpress.org.
PayPal Payments E-com
PayPal Payments ajoute PayPal à la boutique, en complément de Stripe, pour les acheteurs qui préfèrent ne pas sortir leur carte.
- Gratuit ou payant : ni frais mensuels ni frais d'installation, mais un compte PayPal professionnel et une commission par vente : à partir de 2,90 % + 0,35 € (tarif affiché par l'extension, transactions nationales, février 2025). On vérifie la page Tarifs de PayPal avant de signer.
- Quand la choisir : comme second moyen de paiement.
- Quand l'éviter : pour doubler le paiement par carte. Si Stripe encaisse déjà les cartes, PayPal reste le bouton PayPal.
Le réglage qui compte : commencer par le mode Sandbox
Comme Stripe, PayPal se teste avant d'encaisser. L'écran est en anglais. Le mode test se trouve sous See advanced options, à la ligne Enable Sandbox Mode : il permet d'essayer la boutique avec des données fictives, puis de passer au compte réel une fois prêt. Les images de cette fiche s'arrêtent là : aucun compte n'a été relié.
Le bouton noir est le plus visible de l'écran, mais ce n'est pas celui que l'on veut en premier. On déplie d'abord les options avancées, on teste en Sandbox, et l'on relie le compte réel seulement quand la boutique est prête.
Aller plus loin : Les moyens de paiement (chapitre 08) · La fiche sur wordpress.org.