Vous avez acheté un thème premium sur ThemeForest, lancé votre site, tout fonctionne. Six mois passent et une notification apparaît dans le panneau d'administration: le thème est obsolète, accompagné de quelques vulnérabilités critiques. La mise à jour manuelle via le téléchargement d'un ZIP depuis ThemeForest, son téléversement et le remplacement des fichiers est un scénario vraiment frustrant. Surtout quand vous avez plus d'un thème.

Auparavant, le plugin Envato WordPress Toolkit existait pour cela, un petit plugin qui récupérait vos achats sur ThemeForest et mettait à jour les thèmes en quelques clics. Mais Envato l'a officiellement remplacé par le plugin Envato Market, plus moderne et qui utilise l'authentification par token OAuth au lieu de clés API obsolètes. L'ancien Toolkit a été déplacé vers l'archive GitHub et n'est plus maintenu.

Ce guide fournit une configuration pas à pas d'Envato Market à partir de zéro: de l'obtention d'un token personnel aux mises à jour automatiques des thèmes, y compris les nuances pour ceux qui migrent depuis l'ancien Toolkit.

💡 Aperçu rapide:

• Générez un token Envato personnel dans les paramètres de votre compte ThemeForest
• Téléchargez et installez le plugin Envato Market depuis le dépôt GitHub officiel
• Saisissez le token et le nom d'utilisateur, le plugin récupère automatiquement tous les thèmes achetés
• Mettez à jour les thèmes en un clic directement depuis le panneau d'administration WordPress

Qu'est-il arrivé à l'ancien Envato Toolkit

Si vous utilisez encore Envato WordPress Toolkit, il est temps de changer. Le plugin a été retiré du support officiel: son dépôt GitHub a été déplacé vers envato-archive et le mécanisme de clé API sur lequel il reposait a été jugé non sécurisé. Envato a complètement basculé vers les tokens personnels via OAuth, qui sont liés à un ensemble spécifique de permissions, peuvent être révoqués à tout moment et ne «fuient» pas dans les logs serveur comme le faisaient les anciennes clés.

Le nouveau plugin, Envato Market, se trouve dans un dépôt actif et reçoit des mises à jour périodiques. Il ressemble à l'ancien: la même intégration au panneau d'administration, la même liste d'achats. Mais sous le capot, il y a une authentification moderne et un mécanisme de vérification des mises à jour plus fiable.

Générer un token Envato personnel

Un token personnel est le nouveau standard d'authentification de l'API Envato qui a remplacé les anciennes clés de 32 caractères. Vous devez le créer avant d'installer le plugin: le système Envato ne traite pas les nouveaux tokens instantanément et le plugin peut ne pas le reconnaître dans les premières minutes.

Allez sur build.envato.com, connectez-vous avec votre compte ThemeForest et cliquez sur Create a token. Donnez au token un nom explicite, par exemple «Mise à jour automatique des thèmes sur le site client» et définissez les permissions:

• View and search Envato sites, obligatoire
• View your Envato account username, obligatoire
• View your purchases, obligatoire
• Verify purchases, optionnel mais utile pour les thèmes avec des systèmes de licence
• Laissez les autres permissions désactivées

Après la création, copiez le token. Contrairement à l'ancienne clé API, le token n'est affiché qu'une seule fois. Si vous fermez l'onglet, vous en perdez l'accès. Sauvegardez-le dans un gestionnaire de mots de passe.

Télécharger et installer le plugin Envato Market

Contrairement aux plugins classiques, Envato Market n'est pas répertorié dans le catalogue wordpress.org. Il est distribué uniquement via GitHub. Allez sur envato.github.io/wp-envato-market et téléchargez le ZIP depuis le dossier docs/.

Important: ne cliquez pas sur «Download ZIP» sur la page principale du dépôt GitHub. L'archive sera nommée wp-envato-market-master et WordPress ne la reconnaîtra pas comme un plugin. Récupérez le ZIP spécifiquement depuis le dossier docs/, qui est empaqueté correctement.

Procédez ensuite à l'installation standard:

• Dans le panneau d'administration WordPress, allez dans Extensions → Ajouter.
• Cliquez sur Téléverser une extension et sélectionnez le ZIP téléchargé.
• Cliquez sur Installer, puis sur Activer.

Après l'activation, l'élément Envato Market apparaîtra dans le menu latéral de l'administration.

Configuration: lier le token à vos achats

Ouvrez Envato Market dans le panneau d'administration. Vous verrez deux champs: nom d'utilisateur Envato et token personnel. Collez le token que vous avez copié à l'étape précédente, saisissez votre identifiant ThemeForest et cliquez sur Enregistrer les modifications.

Le plugin interrogera l'API Envato et affichera une liste de tous les thèmes et plugins achetés avec ce compte. Si la liste est vide, attendez 10 à 15 minutes et rafraîchissez la page. Envato a besoin de temps pour «propager» un nouveau token à travers son infrastructure. Si cela ne résout pas le problème, vérifiez que le token a bien la permission «View your purchases» activée et que vous êtes connecté avec le compte exact utilisé pour acheter les thèmes.

Une note pour les propriétaires de sites multiples: vous pouvez créer un token séparé pour chaque domaine ou un token global. Un token global est plus pratique: collez-le sur tous les sites et chaque thème voit sa licence. Mais si vous remettez le site à un client, il est préférable de révoquer le token global et d'en émettre un restreint pour le domaine spécifique.

Mises à jour automatiques des thèmes

Après avoir lié le token, l'onglet Thèmes affichera une liste des thèmes achetés avec leurs versions actuelles. Si une mise à jour est disponible pour un thème, un bouton Mise à jour disponible apparaîtra à côté.

Cliquez dessus et WordPress exécutera le mécanisme de mise à jour standard: télécharger le nouveau ZIP depuis les serveurs Envato, l'extraire et remplacer les fichiers du thème.

Avant de mettre à jour, il y a un point important concernant la personnalisation. Si vous avez modifié directement les fichiers du thème (styles, templates, functions.php), la mise à jour les écrasera et toutes les modifications seront perdues. Cela ne s'applique pas aux réglages effectués via l'outil de personnalisation WordPress ou le panneau d'options du thème: ils sont stockés dans la base de données et seront préservés.

La bonne approche est un thème enfant. Déplacez-y toutes les modifications de code et ne touchez jamais au thème parent. Ainsi, le bouton «Mise à jour disponible» devient sûr et vous pouvez cliquer dessus sans craindre de perdre votre personnalisation.

Le plugin ajoute également une vérification automatique des mises à jour: WordPress interrogera périodiquement l'API Envato et affichera des notifications concernant les nouvelles versions directement dans la section standard des mises à jour.

⁉️🤔 Foire aux questions

Quelle est la différence entre un token personnel et l'ancienne clé API?

Un token personnel fonctionne via OAuth. Vous définissez des permissions spécifiques, pouvez révoquer le token à tout moment et il n'apparaît pas dans les requêtes URL. L'ancienne clé API était une chaîne unique et perpétuelle sans droits granulaires. Envato a cessé la génération de nouvelles clés et toutes les nouvelles intégrations fonctionnent uniquement via des tokens.

Puis-je continuer à utiliser l'ancien Envato Toolkit?

Techniquement, oui, si vous l'avez déjà installé et qu'il fonctionne. Mais le plugin n'a pas été mis à jour depuis 2021, son dépôt est archivé et l'infrastructure d'Envato abandonne progressivement le support des anciennes clés API. Tôt ou tard, le Toolkit cessera de récupérer les achats. Il est préférable de migrer maintenant, tant que cela fonctionne encore, plutôt que de paniquer quand un thème cessera de se mettre à jour.

Le plugin Envato Market ne voit pas mes achats. Que dois-je faire?

La raison la plus courante est que le token a été créé sous un autre compte Envato (beaucoup de gens ont plusieurs comptes pour différentes places de marché). Vérifiez que vous êtes connecté avec le compte exact utilisé pour acheter les thèmes. La deuxième raison est qu'un nouveau token n'a pas encore été traité: attendez 15 à 30 minutes. La troisième est que le token n'a pas la permission «View your purchases» activée.

Dois-je installer Envato Market sur chaque site séparément?

Oui, le plugin fonctionne site par site et chaque site a besoin de sa propre activation. Vous pouvez utiliser le même token sur tous les sites (il est lié au compte, pas au domaine), mais le plugin est installé et configuré indépendamment sur chaque site.

Qu'advient-il de la personnalisation du thème après une mise à jour automatique?

Les fichiers du thème parent sont complètement écrasés. Les réglages de l'outil de personnalisation et du panneau d'options du thème sont préservés car ils se trouvent dans la base de données. Les modifications de code apportées directement dans les fichiers du thème seront perdues. Utilisez un thème enfant pour toute modification de code. C'est une bonne pratique, pas seulement une recommandation.

Faut-il abandonner Envato Toolkit dès maintenant

Si vous utilisez encore l'ancien Toolkit, faites le changement aujourd'hui. Le processus prend 10 minutes: désactivez le Toolkit, installez Envato Market, collez le token. Créer un token prend une minute, installer le plugin prend encore deux minutes et tout fonctionne.

Le principal avantage n'est pas que «l'ancien fonctionne encore». L'avantage est que le nouveau plugin utilise une infrastructure qu'Envato développe et maintient activement. L'ancien Toolkit est une impasse et la question n'est pas «va-t-il cesser de fonctionner» mais «quand». Cela arrive généralement au pire moment possible, quand une mise à jour de thème qui corrige une vulnérabilité est publiée et que vous ne pouvez pas mettre à jour.

Prenez 10 minutes, installez Envato Market et oubliez pour toujours les mises à jour manuelles de thèmes.