Quand on reprend la maintenance d'un site WordPress chez Ellebay Digital à Toulon, voici le premier chiffre qu'on regarde : combien de plugins actifs. Il y a presque toujours une surprise. Un site vitrine de 15 pages avec 42 plugins installés dont 25 inutiles. Un e-commerce avec 60 extensions dont 15 abandonnées depuis 3 ans. Un blog avec 3 plugins SEO en concurrence qui se marchent dessus et génèrent des balises contradictoires.

Les plugins WordPress indispensables sont beaucoup moins nombreux que ce qu'on pourrait croire. Un plugin (on dit aussi extension) est un module qu'on ajoute à WordPress pour lui donner une fonction qu'il n'a pas de base : un formulaire, des sauvegardes, un bandeau cookies. 10 bien choisis couvrent l'essentiel des besoins d'un site vitrine ou d'un petit e-commerce. Les 25 autres que tu as peut-être installés « au cas où » après avoir lu un classement des meilleurs plugins WordPress sont souvent des sources de problèmes : ralentissement, vulnérabilités, conflits entre plugins, maintenance inutile.

Voici notre vraie liste chez Ellebay, basée sur ce qu'on installe réellement sur chaque projet client qu'on gère au quotidien. Avec en bonus les 10 plugins à éviter ou à désinstaller tout de suite si tu les as sur ton site, parce qu'ils font plus de mal que de bien en 2026.

Pourquoi trop de plugins tue ton site WordPress ?

Parce que chaque plugin ajoute du poids, une faille possible et une mise à jour de plus à suivre. Voici ce qu'on observe chez tous les clients qui ont plus de 30 plugins installés.

Chaque plugin ajoute du temps de chargement. Un plugin bien codé pèse quelques millisecondes. Un plugin mal codé, qui charge ses scripts sur toutes les pages ou multiplie les requêtes à la base de données, peut coûter une demi-seconde à lui seul. Empile 40 extensions et le site devient lent sans qu'on sache pourquoi. Google tient compte de cette lenteur dans le classement et tes visiteurs, eux, partent.

Chaque plugin est une porte d'entrée potentielle. Selon le rapport Patchstack 2025, 96 % des 7 966 failles WordPress découvertes en 2024 se trouvaient dans des plugins. Le cœur de WordPress n'en comptait que 7. Plus tu as de plugins, plus la surface d'attaque augmente. Notre article pour sécuriser son site web détaille ces enjeux.

La maintenance devient ingérable. Chaque semaine, WordPress ou un plugin propose une mise à jour. Avec 40 plugins, tu as 5 à 10 mises à jour par semaine à faire, à tester, à vérifier. C'est épuisant et source de bugs quand deux versions ne sont pas compatibles entre elles.

Les 10 plugins qu'on installe sur tous nos projets clients

Voici la stack qu'on configure sur chaque nouveau projet WordPress chez Ellebay, avec la fonction précise que chacun remplit.

1. Wordfence ou Solid Security (sécurité) : pare-feu applicatif (un filtre qui bloque les requêtes suspectes avant qu'elles n'atteignent ton site), scan des fichiers, protection contre les tentatives de connexion répétées. La version gratuite de Wordfence suffit pour la plupart des sites vitrines.

2. UpdraftPlus (sauvegarde) : sauvegardes automatiques programmées, envoi vers Google Drive ou Dropbox, restauration en un clic. Version gratuite complète. On détaille la méthode dans notre article sur la sauvegarde de site web.

3. Rank Math ou Yoast SEO (référencement) : balises title, méta descriptions, sitemap XML (le plan du site lu par Google), données structurées. En version gratuite, Rank Math propose aujourd'hui plus de fonctions que Yoast. Un seul plugin SEO installé, jamais deux en parallèle.

4. WP Rocket ou LiteSpeed Cache (cache) : le cache garde une version toute prête de tes pages pour les servir plus vite. Ces plugins s'occupent aussi de la minification CSS/JS (alléger le code) et du lazy loading (charger les images seulement quand on fait défiler la page). WP Rocket est payant, autour de 59 $ par an pour un site, mais excellent. LiteSpeed Cache est gratuit et très efficace si ton hébergeur tourne sous LiteSpeed (o2switch ou Hostinger par exemple).

5. ShortPixel ou Imagify (optimisation d'images) : compression automatique de chaque image envoyée sur le site, conversion en WebP, redimensionnement. Les deux ont un quota gratuit mensuel qui suffit souvent pour un site vitrine qui publie peu.

6. Fluent Forms ou WPForms (formulaires) : formulaires de contact, de devis ou d'inscription newsletter. Fluent Forms a une version gratuite très complète, avec une protection anti-spam correcte dès l'installation.

7. Complianz ou Axeptio (consentement cookies) : bandeau cookies conforme au RGPD, enregistrement du consentement, blocage des cookies tant que le visiteur n'a pas accepté. La CNIL contrôle et sanctionne ce point depuis 2021, on le détaille dans notre article sur les obligations légales d'un site web.

8. WP Mail SMTP (envoi des e-mails) : fait partir les e-mails de WordPress (formulaires de contact, notifications) par un vrai serveur d'envoi authentifié plutôt que par la fonction PHP par défaut. Sans lui, une bonne partie de tes messages finit en spam ou n'arrive jamais.

9. WP Activity Log (journal d'activité) : enregistre tout ce qui se passe dans l'administration (connexions, modifications, suppressions). Utile pour retrouver l'origine d'un bug ou repérer un comportement suspect. La version gratuite suffit.

10. Site Kit by Google (statistiques, optionnel) : affiche Google Analytics 4 et Search Console dans le tableau de bord WordPress. Pratique mais pas obligatoire si tu consultes directement les outils Google.

Avec ces 10 extensions WordPress, tu couvres sécurité, sauvegarde, SEO, performance, images, formulaires, RGPD, e-mails, journal d'activité et statistiques. Pour la grande majorité des sites vitrines et petits e-commerces, c'est tout ce dont tu as besoin.

Les 10 plugins à désinstaller tout de suite si tu les as

Maintenant la partie que personne n'ose faire : nommer les plugins à problème. Voici ceux qu'on désactive presque à chaque fois sur les sites qu'on reprend.

1. Jetpack (sauf cas très spécifique) : le plugin tout-en-un d'Automattic fait des dizaines de choses, charge beaucoup de code pour les 2 ou 3 fonctions réellement utilisées et impose une connexion à WordPress.com. Chaque fonction peut être remplacée par un plugin dédié plus léger.

2. Les page builders en double (Elementor, Divi, Beaver Builder) : un page builder est un outil qui permet de construire ses pages en glisser-déposer. Garde-en un, maximum. Deux installés en même temps alourdissent chaque page et créent des conflits d'affichage. Pour un site vitrine simple, Elementor gratuit fait l'affaire. Sur les projets sur-mesure, on code directement.

3. Hello Dolly : plugin de démonstration livré avec WordPress, qui affiche une parole de chanson dans l'administration. Il ne sert à rien. À supprimer sur chaque installation.

4. Un deuxième plugin d'optimisation d'images : Smush en plus de ShortPixel, ou Imagify en plus d'EWWW. Les deux compressent les mêmes fichiers chacun de leur côté, ce qui dégrade les images et double le travail du serveur. Un seul suffit.

5. Les plugins SEO en double (Yoast, Rank Math, All in One SEO) : chaque plugin SEO écrit ses propres balises. Deux installés, c'est des balises contradictoires et Google ne sait plus laquelle écouter. Un seul plugin SEO, point.

6. Les restes de démo de ton thème : beaucoup de thèmes premium installent 10 à 15 plugins pour importer le contenu de démonstration. Après l'import, la plupart ne servent plus à rien. À nettoyer systématiquement.

7. Les plugins abandonnés : regarde la date de la dernière mise à jour. Plus de 2 ans sans mise à jour, c'est un danger. Soit tu trouves un remplaçant, soit tu désinstalles. Un plugin abandonné finira par casser.

8. Les plugins de partage sur les réseaux sociaux trop lourds : certains chargent des scripts externes volumineux pour afficher des boutons que presque personne n'utilise. AddThis a même fermé en 2023 : si son plugin traîne encore chez toi, il ne fait plus rien. Des boutons de partage en simple HTML ou un plugin léger comme Grow Social font le travail.

9. Contact Form 7 (si ton besoin est simple) : longtemps la référence des formulaires, il demande d'écrire du code pour la moindre mise en forme et ne stocke pas les messages reçus sans module en plus. Fluent Forms ou WPForms sont plus simples à prendre en main. On le garde seulement quand il est relié à des intégrations très spécifiques.

10. Les compteurs de visites internes : WP-Statistics, WP Power Stats et consorts enregistrent chaque visite dans ta base de données. Sur un site qui tourne depuis quelques années, ces tables finissent par peser lourd et ralentir l'administration. Si tu utilises déjà Google Analytics 4, ils font doublon.

Comment savoir si un plugin ralentit vraiment ton site ?

En mesurant le site avec puis sans le plugin. Trois méthodes permettent de le faire concrètement.

Query Monitor : plugin gratuit à installer temporairement sur une copie de test de ton site (ce qu'on appelle un environnement de staging). Il affiche le temps consommé par chaque plugin et chaque requête à la base de données. Le résultat est souvent brutal.

PageSpeed Insights avant/après : mesure ta page d'accueil et note la performance mobile. Désactive un plugin suspect puis remesure. Si tu gagnes plus de 300 ms, le plugin pose problème.

Le test de désactivation un par un : désactive tes plugins un à un et teste le site à chaque étape. C'est fastidieux mais efficace quand quelque chose casse sans qu'on sache quel plugin est en cause.

Notre article sur les sites web lents détaille la méthode complète de diagnostic.

La règle d'or pour choisir ses plugins : 1 fonction = 1 plugin

C'est la règle qu'on applique systématiquement chez Ellebay. Pour chaque fonction, un seul plugin : celui qui fait le mieux ce qu'il doit faire. Pas deux « au cas où », pas trois « pour comparer ».

Si tu as deux plugins SEO (Yoast et Rank Math), choisis-en un et désinstalle l'autre. Deux plugins de cache (W3 Total Cache et WP Super Cache) ? Même chose. Deux plugins de sécurité (Wordfence et Solid Security) ? Même logique : deux pare-feux qui filtrent les mêmes requêtes se gênent plus qu'ils ne se protègent.

Un plugin qui « fait tout », comme Jetpack, fera forcément moins bien que quelques plugins spécialisés. Choisis la spécialisation plutôt que le tout-en-un.

Que faire quand un plugin indispensable n'est plus maintenu ?

Le remplacer avant qu'il ne casse, en suivant une procédure simple. Le scénario est fréquent : un plugin que tu utilises depuis 5 ans n'a plus eu de mise à jour depuis 18 mois, le développeur a abandonné le projet.

Étape 1 : ouvre la fiche du plugin sur le répertoire officiel WordPress.org. Si un bandeau indique qu'il n'a pas été testé avec les 3 dernières versions majeures de WordPress, c'est un signal rouge.

Étape 2 : cherche un remplaçant récent qui remplit la même fonction. Le répertoire compte plus de 60 000 extensions gratuites, il y a presque toujours une alternative maintenue.

Étape 3 : fais une sauvegarde complète du site avant de toucher à quoi que ce soit.

Étape 4 : teste le remplaçant sur une copie de test ou un sous-domaine avant de basculer en production. Vérifie que les données (formulaires, réglages) migrent correctement.

Étape 5 : désinstalle l'ancien plugin en supprimant ses tables dans la base de données si l'option est proposée. Note le changement dans un fichier de suivi de maintenance, pour toi ou pour ton équipe.

Notre point de vue après de nombreuses reprises de maintenance

Ce qu'on constate sur chaque reprise de site : la gestion des plugins est presque toujours chaotique. Pas par incompétence des clients, mais parce que personne n'a pris le temps de faire le tri tous les 6 mois. Chaque fois qu'une nouvelle fonctionnalité était nécessaire, un plugin a été installé. Jamais désinstallé après usage. Résultat : une accumulation progressive sur 3 à 5 ans.

L'autre observation : les clients ont souvent peur de désinstaller. « Et si ça casse quelque chose ? » C'est compréhensible. Mais supprimer un plugin que tu n'utilises pas ne peut pas casser une fonctionnalité que tu utilises (avec une sauvegarde faite avant, tu ne risques rien). Le vrai risque, c'est de garder des plugins obsolètes qui casseront à la prochaine mise à jour de WordPress.

Enfin, la liste des 10 plugins indispensables n'est pas figée. Elle bouge chaque année au fil des mises à jour de WordPress et des nouvelles alternatives. Chez Ellebay, on revoit notre stack deux fois par an pour nos clients.

Si tu veux qu'on regarde les plugins actifs de ton site WordPress et qu'on identifie ce qui peut partir sans risque, l'appel découverte de 30 min est offert. On ouvre ton site en direct et tu repars avec une liste claire des plugins à garder, à remplacer et à supprimer. Le tri complet est ensuite inclus dans notre maintenance de site à 60 € HT/mois, sans engagement.

Pour la suite, notre checklist de maintenance WordPress reprend tout ce qu'il faut vérifier chaque mois, chaque trimestre et chaque année. Et si tu débutes, jette un œil aux 5 erreurs WordPress qui sabotent un site.

Marion, co-fondatrice d'Ellebay Digital, maintient des sites WordPress pour PME et indépendants depuis Toulon. Spécialisée WordPress et Next.js, elle privilégie les stacks minimalistes et éprouvées plutôt que les plugins accumulés sans logique.