Vous vous réveillez le matin, ouvrez le panneau d’administration et vous voyez un écran blanc. Le site est hors ligne, l’hébergeur ne comprend pas ce qui se passe, et la cause est anodine: une mise à jour automatique de plugin pendant la nuit qui est entrée en conflit avec votre version de PHP ou votre thème actif.

Les développeurs WordPress recommandent vivement de laisser les mises à jour automatiques activées pour des raisons de sécurité. Et pour un site classique, c’est la bonne approche. Mais lorsque vous gérez un projet en production avec des modifications sur mesure, une vingtaine de plugins et des exigences strictes de disponibilité, le pilotage automatique aveugle devient un risque. Une mise à jour incompatible, et les ventes s’arrêtent, les formulaires ne sont plus envoyés, les clients s’en vont.

WordPress vous donne un contrôle total sur les mises à jour automatiques. Vous pouvez tout désactiver d’un coup, ou de manière sélective: seulement le cœur, seulement les plugins, ou seulement les thèmes. Voici trois méthodes qui fonctionnent et une analyse honnête des cas où la désactivation se justifie et de ceux où elle ne se justifie pas.

💡 Aperçu rapide:

• Ajoutez la constante WP_AUTO_UPDATE_CORE dans wp-config.php avec la valeur false pour désactiver les mises à jour automatiques du cœur de WordPress
• Bloquez toutes les mises à jour automatiques d’un coup avec la constante AUTOMATIC_UPDATER_DISABLED dans le même fichier wp-config.php
• Désactivez les mises à jour automatiques des plugins et des thèmes via les filtres auto_update_plugin et auto_update_theme dans functions.php
• Installez le plugin gratuit Easy Updates Manager pour une configuration section par section directement depuis le panneau d’administration, sans écrire de code

Quand vous devriez désactiver les mises à jour automatiques

Les mises à jour automatiques sont apparues dans WordPress 3.7 et sont depuis devenues la norme. Selon les statistiques officielles de WordPress, plus de 60% des installations utilisent les mises à jour automatiques mineures du cœur. C’est bénéfique pour la sécurité, mais il existe des scénarios où l’automatisation cause des dégâts.

Désactiver les mises à jour automatiques a du sens si:

• Vous avez un thème ou des plugins personnalisés avec des modifications manuelles du code, et une mise à jour écraserait vos changements,
• Le site fonctionne avec une version spécifique de PHP, et un nouveau plugin en exige une plus récente et provoque un plantage,
• Vous utilisez un environnement de staging et souhaitez tester les mises à jour avant de les déployer en production,
• Un plugin critique a un historique de versions qui «cassent» tout, et vous préférez le mettre à jour manuellement après vérification.

Si votre site est classique, le thème est standard, les plugins sont populaires et les sauvegardes sont configurées, il est plus sûr de laisser les mises à jour automatiques activées. Un site piraté via une vulnérabilité perd de l’argent plus vite qu’un site dont la mise à jour est différée.

Méthode 1: Constantes dans wp-config.php

Le fichier wp-config.php est le fichier de configuration principal de WordPress. Les constantes qui y sont définies ont la priorité la plus élevée et prennent le pas sur tout réglage du panneau d’administration.

Avant de modifier wp-config.php, faites une sauvegarde. Une erreur dans ce fichier, et le site se transforme en écran blanc. La récupération nécessite un accès aux fichiers du site via FTP. Si la sauvegarde n’est pas encore configurée, voici un guide pour restaurer WordPress à partir d’une sauvegarde.

Désactiver uniquement les mises à jour automatiques du cœur

Connectez-vous à votre site via FTP ou le gestionnaire de fichiers de l’hébergement, trouvez wp-config.php dans le dossier racine, et ajoutez la ligne suivante avant le commentaire /* That's all, stop editing! Happy publishing. */:

1
define('WP_AUTO_UPDATE_CORE', false);

Cette constante bloque toutes les mises à jour automatiques du cœur: aussi bien les mises à jour mineures (de 6.5.2 à 6.5.3) que les mises à jour majeures (de 6.5 à 6.6). Les mises à jour de sécurité ne passeront pas non plus, donc si vous choisissez cette voie, prenez l’habitude de vérifier le panneau d’administration une fois par mois pour les nouvelles versions.

Désactiver toutes les mises à jour automatiques d’un coup

Il existe une constante plus stricte qui arrête tout le mécanisme de mise à jour automatique: cœur, plugins, thèmes, traductions. Ajoutez dans le même wp-config.php:

1
define('AUTOMATIC_UPDATER_DISABLED', true);

Remarque: true signifie ici «les mises à jour automatiques sont désactivées». C’est une source fréquente de confusion, car on pourrait penser que true devrait activer plutôt que désactiver. Mais la logique de la constante est bien celle-ci: «automatic updater disabled = true».

Conserver uniquement les mises à jour de sécurité

Une option de compromis: le cœur se met à jour uniquement pour les correctifs de sécurité critiques. Les versions mineures et majeures nécessitent une action manuelle:

1
define('WP_AUTO_UPDATE_CORE', 'minor');

Avec cette valeur, WordPress corrigera automatiquement les vulnérabilités, mais n’installera pas une nouvelle version comportant des modifications non testées. Pour la plupart des sites, c’est l’équilibre optimal entre sécurité et contrôle.

Comment rétablir les mises à jour automatiques

Pour tout réactiver, remplacez false par true (ou minor par true):

1
define('WP_AUTO_UPDATE_CORE', true);

Ou supprimez simplement les lignes ajoutées. Sans la constante, WordPress applique son comportement par défaut: mises à jour mineures du cœur automatiques, mises à jour majeures à la discrétion de l’administrateur.

Méthode 2: filtres dans functions.php

Les constantes dans wp-config.php agissent globalement: tout ou rien. Si vous avez besoin d’un contrôle granulaire sur les extensions et les thèmes séparément, utilisez les filtres WordPress dans le fichier functions.php de votre thème actif.

Attention: les modifications dans functions.php ne s’appliquent que tant que le thème est actif. Changez de thème et les filtres disparaissent. Si vous avez besoin d’une solution permanente, déplacez le code dans un plugin Must-Use ou votre propre mini-plugin.

Désactiver les mises à jour automatiques pour toutes les extensions

1
add_filter('auto_update_plugin', '__return_false');

Désactiver les mises à jour automatiques pour tous les thèmes

1
add_filter('auto_update_theme', '__return_false');

Désactiver les mises à jour automatiques du cœur via un filtre

Depuis WordPress 5.5, un filtre fonctionne également pour le cœur:

1
add_filter('auto_update_core', '__return_false');

Cela reproduit le comportement de la constante WP_AUTO_UPDATE_CORE, mais au niveau du filtre. C’est pratique si vous modifiez déjà functions.php et souhaitez conserver tous les réglages au même endroit.

Contrôle granulaire: cette extension se met à jour, pas celle-là

Les filtres auto_update_plugin et auto_update_theme acceptent deux paramètres: le drapeau $update et l’objet $item contenant les données de l’extension ou du thème concerné. Cela vous permet de construire une «liste blanche»: seuls les éléments vérifiés se mettent à jour automatiquement, tandis que les autres attendent une confirmation manuelle.

Un exemple concret où la mise à jour automatique n’est autorisée que pour deux extensions, les autres étant bloquées:

1
add_filter('auto_update_plugin', function($update, $item) {
2
    $allowed = ['wordfence/wordfence.php', 'updraftplus/updraftplus.php'];
3
    return in_array($item->slug, $allowed);
4
}, 10, 2);

Pour les thèmes, la logique est identique: remplacez le hook par auto_update_theme et les slugs dans la liste par les identifiants des thèmes.

Cette approche fonctionne bien lorsque vous avez plus de 20 extensions, mais que seules 2 ou 3 d’entre elles ont tendance à poser problème après une mise à jour. Les autres se mettent à jour automatiquement sans incident, tandis que les extensions à risque sont mises à jour manuellement après un test sur un environnement de staging.

Méthode 3: l’extension Easy Updates Manager pour une gestion sans code

Vous ne voulez pas toucher au code? Il existe un outil graphique. Easy Updates Manager est une extension gratuite qui compte plus de 700 000 installations actives, développée par l’équipe d’UpdraftPlus. Elle remplace à la fois les constantes et les filtres par une interface unique, directement dans le panneau d’administration.

L’extension est régulièrement mise à jour: la version 9.0.21 est sortie en mai 2026, corrigeant une vulnérabilité XSS et plusieurs bugs liés à la planification. Le code est activement maintenu et les développeurs réagissent aux signalements de sécurité.

Installation et configuration

Installez Easy Updates Manager de manière standard: Extensions → Ajouter une extension → saisissez «Easy Updates Manager» dans la recherche → Installer → Activer.

Après l’activation, une entrée Options de mise à jour apparaît dans la barre latérale d’administration. Ouvrez-la, vous arrivez sur l’onglet Général:

Les modes disponibles sont les suivants:

• Désactiver toutes les mises à jour, blocage complet, équivalent à AUTOMATIC_UPDATER_DISABLED,
• Activer toutes les mises à jour, tout est activé, comportement standard de WordPress,
• Par défaut, WordPress décide seul,
• Autoriser les mises à jour automatiques, toutes les sections se mettent à jour automatiquement,
• Désactiver les mises à jour automatiques, les mises à jour automatiques sont désactivées partout,
• Personnalisé, vous décidez pour chaque section.

Configuration section par section pour les extensions et les thèmes

L’onglet Extensions affiche la liste de toutes les extensions installées avec un interrupteur en face de chacune. Cliquez dessus, et la mise à jour automatique est bloquée. L’onglet Thèmes fonctionne de la même manière pour les thèmes.

L’onglet Thèmes fonctionne à l’identique: un tableau avec des interrupteurs en face de chaque thème installé. Vous désactivez les mises à jour automatiques pour le thème parent si vous y avez apporté des modifications, tout en laissant le thème enfant tel quel.

C’est la méthode la plus pratique pour les sites qui ont un parc d’extensions hétérogène. Une extension de sécurité comme Wordfence reçoit les mises à jour automatiques. Une extension de calcul de frais de port personnalisée, écrite par un freelance il y a deux ans, reste en mise à jour manuelle.

Un avantage supplémentaire: Easy Updates Manager conserve un journal de toutes les mises à jour. Vous pouvez voir ce qui a été mis à jour, quand et vers quelle version. Lorsque vous cherchez l’origine d’un bug soudain, le journal pointe souvent vers le coupable plus rapidement qu’une désactivation aléatoire des extensions.

🔗 Easy Updates Manager sur WordPress.org

Que faire après avoir désactivé les mises à jour automatiques

Vous les avez désactivées? La responsabilité ne disparaît pas. Désormais, les mises à jour sont à votre charge. Trois règles pour éviter que votre site ne se transforme en citrouille dans six mois:

• Consultez régulièrement le panneau d’administration. Allez dans «Mises à jour» et regardez ce qui s’est accumulé. WordPress publie des mises à jour de sécurité mineures environ une fois par mois. Si vous ratez une version majeure du cœur, vous vous retrouvez sur une version que votre hébergeur ne prend plus en charge.
• Testez les mises à jour sur une copie. Créez un environnement de staging, une copie exacte du site sur un sous-domaine, et exécutez les mises à jour là-bas. Le site a planté? Débuggez tranquillement pendant que la production reste intacte. Des extensions de sauvegarde comme UpdraftPlus peuvent cloner un site en un clic.
• Surveillez les journaux de modifications. Quand une extension se met à jour, ouvrez l’onglet Changelog sur sa page du dépôt WordPress.org. Si vous voyez «breaking change» ou «abandon de la prise en charge de PHP 7.x», préparez-vous à une mise à jour manuelle avec des tests de compatibilité.

Et surtout: ne désactivez pas les mises à jour automatiques «au cas où». Si votre site fonctionne sur une configuration standard et que vous n’avez pas l’intention de le maintenir manuellement, laissez les mises à jour automatiques activées. Un site piraté perd du trafic, de la réputation et des positions dans les moteurs de recherche. Cela coûte plus cher qu’un rare conflit de version.

⁉️🤔 Foire aux questions

Puis-je désactiver les mises à jour automatiques pour une seule extension spécifique?

Oui. Via Easy Updates Manager: ouvrez l’onglet Extensions et désactivez l’interrupteur en face de l’extension souhaitée. Via le code: utilisez le filtre auto_update_plugin avec une vérification du slug, comme indiqué dans la section «Contrôle granulaire» ci-dessus. Les autres extensions se mettent à jour normalement.

Est-il sûr de désactiver complètement les mises à jour automatiques de WordPress?

C’est sûr uniquement si vous maintenez une discipline de mise à jour manuelle. Selon les statistiques de vulnérabilités WPScan, en 2025, 96% des compromissions de sites WordPress provenaient de vulnérabilités d’extensions, pas du cœur. Une extension non mise à jour avec une faille connue est le principal vecteur d’attaque. Conclusion: si vous avez désactivé l’automatique, vérifiez les mises à jour au moins une fois par mois.

Quelle est la différence entre WP_AUTO_UPDATE_CORE et AUTOMATIC_UPDATER_DISABLED?

WP_AUTO_UPDATE_CORE contrôle uniquement les mises à jour du cœur de WordPress. Les extensions et les thèmes se mettent à jour indépendamment de cette constante. AUTOMATIC_UPDATER_DISABLED coupe l’ensemble du mécanisme de mise à jour automatique: cœur, extensions, thèmes, fichiers de traduction. La première sert à un réglage fin, la seconde à un arrêt complet.

Que dois-je faire si le site s’est quand même mis à jour après que j’ai désactivé les mises à jour automatiques?

Vérifiez si votre hébergeur outrepasse vos réglages. Certains hébergeurs gérés (Kinsta, WP Engine, SiteGround) imposent les mises à jour automatiques de sécurité au niveau du serveur. Rendez-vous dans votre panneau d’hébergement et cherchez une section «Mises à jour WordPress» ou «Mises à jour automatiques». Si les paramètres de l’hébergeur entrent en conflit avec les vôtres, c’est l’hébergeur qui l’emporte.

Comment vérifier que les mises à jour automatiques sont réellement désactivées?

La méthode la plus fiable est d’attendre la publication d’une mise à jour de sécurité (elles sortent environ une fois par mois). Si l’extension ou le cœur ne s’est pas mis à jour 48 heures après la publication, la protection fonctionne. Une méthode rapide pour les extensions: allez dans Extensions → Installées et regardez la colonne «Mises à jour automatiques» où le statut est visible pour chaque extension.

Dois-je désactiver WP-Cron pour bloquer les mises à jour automatiques?

Non. DISABLE_WP_CRON désactive entièrement les tâches cron de WordPress, pas seulement les mises à jour automatiques. Sans cron, la publication programmée d’articles, le nettoyage de la corbeille, les newsletters par email et d’autres tâches de fond cesseront de fonctionner. Ne désactivez pas WP-Cron pour bloquer les mises à jour; utilisez les constantes et les filtres décrits ci-dessus.

Désactiver ou non: le récapitulatif final

Les mises à jour automatiques de WordPress ne sont pas une décision binaire du type «activer ou désactiver pour toujours». C’est un spectre: du pilotage automatique intégral au contrôle manuel strict. Choisissez le niveau qui correspond à votre situation.

Un site standard sans code personnalisé? Laissez les mises à jour automatiques activées, car la sécurité l’emporte sur le risque. Un thème sur mesure, un ensemble de 30 extensions et des exigences de disponibilité élevées? Désactivez de manière sélective: le cœur et les extensions critiques peuvent rester en automatique, tandis que le reste est géré manuellement avec des tests sur un environnement de staging.

La règle est simple: moins vous autorisez de mises à jour automatiques, plus votre discipline personnelle de vérification doit être stricte. Si vous n’êtes pas prêt à visiter le panneau d’administration une fois par mois, ne désactivez rien.

Et si vous avez besoin d’un équilibre, commencez par WP_AUTO_UPDATE_CORE, 'minor' pour le cœur et Easy Updates Manager pour les extensions. La sécurité n’en pâtit pas et le contrôle reste entre vos mains.