Audit WordPress : le scan qui vous dit quoi cliquer, puis vérifie que c'est réparé

« Audit WordPress », traduit en clair

Quand vous tapez cette requête, vous ne cherchez pas une définition. Vous voulez savoir ce qui cloche chez vous, et surtout quoi faire ensuite. Le SERP répond mal à la deuxième moitié.

Les guides du top 10 listent trente points à vérifier, donnent des conseils vrais mais génériques — « optimisez vos images », « installez un cache » — puis s'arrêtent là. Vous refermez l'onglet en sachant quoi vérifier, sans savoir ce qui est cassé chez vous ni comment le réparer précisément. C'est le trou que cette page comble. « Optimisez vos images » ne sert à rien ; « ouvrez Imagify, cochez Convertir en WebP et Servir les images de nouvelle génération, puis re-scannez » sert.

La boucle tient en trois temps, et c'est tout le sujet de cette page :

1. Diagnostic — le scan trouve les problèmes et les classe par gravité.
2. Correction — pour chacun, le plugin ou le réglage WordPress exact à modifier.
3. Preuve — un re-scan qui montre le score avant/après. Sans ça, on ne sait jamais si on a réparé ou déplacé le problème.

Ce que le scan regarde, et les Quick Wins qui tombent dès le score gratuit

Six dimensions, dans l'ordre où elles pèsent. L'audit gratuit vous donne le score de chacune plus les cinq problèmes les plus graves. Voici, pour chaque dimension, le correctif à fort rendement qui revient le plus souvent — celui que vous pouvez faire ce week-end.

Les concurrents s'arrêtent souvent à cette liste de Quick Wins génériques. Le reste de la page va plus loin : le geste WordPress précis, dimension par dimension.

Comment le score est calculé, et ce qu'il ne dit pas

Autant l'écrire noir sur blanc, parce que la question revient à chaque fois : d'où sort ce chiffre ?

Chaque dimension part de 100 points. Chaque vérification qui échoue retire un nombre fixe de points selon sa gravité — un warning coûte peu (4 à 12 points), un fail coûte cher (jusqu'à 30). Le score d'une dimension ne descend jamais sous 0 ni au-dessus de 100. Le score global est la moyenne des six dimensions, arrondie. Si le site n'est pas sous WordPress, la dimension WordPress saute et la moyenne se fait sur cinq.

Conséquence pratique : un score global de 70 peut cacher une dimension à 100 et une autre à 32. C'est exactement ce qu'on voit sur l'exemple plus bas. Le global rassure ou inquiète ; ce sont les scores par dimension qui vous disent où creuser.

Un score n'est pas un classement Google

Aucun score sur 100 — ni le nôtre, ni celui de PageSpeed Insights — n'est un facteur de positionnement. Google mesure des seuils (LCP, INP, CLS) et de la pertinence, pas une note synthétique. Passer de 82 à 87 en peaufinant des warnings ne rapporte rien ; corriger un fail d'indexation, si. Traitez le score comme un thermomètre, pas comme un bulletin.

Ce que l'audit anonyme voit, et ce qu'il ne voit pas

Le moteur lit votre site depuis l'extérieur, sans accès à l'administration. C'est un choix — rien à installer, rien à connecter — mais il a une contrepartie qu'il faut poser franchement.

Autrement dit : le scanner voit tout ce que Googlebot et un attaquant voient — ce qui est déjà énorme, parce que c'est précisément ce qui vous coûte des positions ou vous expose. Ce qu'il ne voit pas demande soit vos yeux dans l'administration, soit un plugin de sécurité côté serveur. Quand une ligne dépend d'un accès admin, c'est écrit, pas gonflé dans un compteur de « 100+ vérifications ».

La 7^e couche que presque aucun audit ne regarde : la citabilité par les IA (GEO)

Depuis 2024, une partie de vos visiteurs ne passe plus par dix liens bleus mais par une réponse de ChatGPT, Perplexity ou l'AI Overview de Google. Être cité par ces moteurs devient un canal à part entière. On appelle ça le GEO — Generative Engine Optimization. C'est le sujet montant de 2026, et la plupart des audits WordPress l'ignorent encore.

Honnêteté d'abord : sur ces points, seul le hreflang est vérifié automatiquement par le moteur (dimension SEO). Les autres se contrôlent à la main en trente secondes chacun. Voici comment, avec la commande exacte.

Un mot sur WordPress spécifiquement. Le plugin SEO que vous utilisez déjà — Yoast, Rank Math, SEOPress — gère la byline, les dates et le schema Article : la moitié du travail E-E-A-T est faite si vous l'activez. Le llms.txt, lui, se pose à la racine du site : un fichier texte, rien de plus. Et l'accès des crawlers IA se règle dans le robots.txt virtuel de WordPress, ou dans celui de votre plugin SEO.

Le plan d'action WordPress-spécifique : quoi cliquer, exactement

C'est ici que cette page se sépare des autres. Un scanner qui dit « améliorez votre TTFB » vous laisse chercher pendant deux heures. Voici, pour les problèmes les plus fréquents, le geste précis — le plugin, la case, le réglage. Les identifiants entre chevrons sont ceux des vérifications du rapport, pour que vous fassiez le lien avec votre scan.

La dernière colonne est ma part de subjectivité assumée : une estimation d'effort et de gain tirée de ces corrections faites en vrai sur nos propres sites, pas un chiffre sorti d'un moteur. Elle sert à trancher quand tout est rouge : on attaque d'abord ce qui coûte 10 minutes et rapporte gros, on garde pour un jour de calme ce qui prend deux heures et durcit sans faire bouger le score.

Le rapport complet à 9,90 € reprend chacun de vos fail avec ce niveau de détail, sur les 100+ vérifications, plus l'export PDF. Le gratuit vous donne les cinq plus graves : souvent assez pour un premier week-end de corrections. Un ordre de marche qui tombe presque toujours pareil : cache et WebP le samedi matin (gain fort, effort faible), fermeture de l'API REST users dans la foulée, puis le CSS/JS bloquant à tête reposée parce qu'il faut re-tester le rendu.

À quoi ressemble la sortie sur un vrai site

Plutôt qu'une capture retouchée, voici le scan réel du 16 juillet 2026 sur mythologiste.com, une boutique WooCommerce que nous hébergeons nous-mêmes. Ses défauts sont donc les nôtres, je ne vais pas les enjoliver.

La lecture qui compte est le contraste : 100/100 en SEO on-page, 32/100 en performance, sur le même site, au même instant. Le plugin SEO fait très bien son travail — title, meta, canonical, sitemap, schema, tout est propre. Et ça ne dit rien de la performance ni de la sécurité, parce qu'un plugin SEO ne regarde pas ça. C'est le malentendu n°1 des propriétaires de sites WordPress : « j'ai Yoast, donc mon site est bon ».

La preuve : re-scanner après correction

Corriger sans vérifier, c'est travailler à l'aveugle. Un exemple vécu : sur mythologiste.com, activer le cache de page pour faire tomber le TTFB a désactivé le lazy loading natif de WordPress au passage. Score performance en hausse d'un côté, nouveau fail de l'autre. Sans re-scan, on ne l'aurait jamais vu.

La méthode est bête et fiable :

1. Notez votre score de départ par dimension (l'audit gratuit suffit).
2. Corrigez un problème à la fois, en commençant par les fail.
3. Re-scannez la même URL. Le score bouge dans le bon sens ? Gardez. Il ne bouge pas, ou un autre problème apparaît ? Vous savez immédiatement quoi ajuster.

Pour les pages qui comptent, ce re-scan devient un réflexe mensuel — un site WordPress se dégrade tout seul : une mise à jour de thème remet les images en JPEG, un plugin ajoute son JS bloquant, une migration réactive la case « décourager les moteurs ». La formule Pro automatise ce suivi et vous alerte quand un score chute ; mais le re-scan manuel gratuit fait déjà 90 % du travail sur une poignée de pages.

Quel outil pour quel besoin

Ce scanner ne remplace ni votre plugin SEO ni un consultant. Il occupe une case précise, et voici laquelle, avec ce qu'il ne sait pas faire.

Nos limites, en clair. Le moteur analyse une URL à la fois, pas le site entier : il ne verra ni vos pages orphelines, ni votre profondeur de clics, ni vos doublons. Il ne connaît rien à vos backlinks et ne juge pas si votre texte répond à l'intention de recherche. Le bon usage : le scan d'abord, parce qu'il coûte 30 secondes et trouve 80 % des problèmes mécaniques ; une comparaison face à un concurrent ensuite ; un humain enfin, si l'enjeu commercial le justifie.

Ce qu'on trouve vraiment : 21 sites WordPress passés au scanner

Méthode. Le 16 juillet 2026, j'ai passé 21 sites WordPress francophones dans ce moteur : blogs WordPress et SEO, sites d'agences, sites d'hébergeurs. Un échantillon favorable — ce sont des professionnels du web, pas des sites de PME laissés en plan. Gardez-le en tête : chez un artisan qui a installé un thème en 2019, c'est pire.

• Score global médian : 79/100 (min 65, max 87). Personne n'atteint 90+, y compris les gens dont c'est le métier.
• 15 sites sur 21 ne servent aucune image en WebP ou AVIF. Zéro. Le record de la fournée : une page qui charge 293 images, toutes en JPEG/PNG.
• 6 sites sur les 11 dont l'API REST répond publient la liste de leurs comptes sur /wp-json/wp/v2/users — jusqu'à 10 identifiants en clair, la moitié du travail d'un bruteforce.
• 16 sites sur 21 n'ont pas de Content-Security-Policy, 9 sur 21 pas de HSTS.
• Le TTFB médian est de 171 ms ; seuls 3 sites sur 21 dépassent 600 ms. L'hébergement français va plutôt bien.

Deux surprises que ce scan m'a apprises. Le pire TTFB de l'échantillon (1 802 ms) est un site que nous gérons nous-mêmes. Et un site de référence du SEO francophone servait, ce jour-là, un title de casino indonésien (« ROYALTOGEL — Login Bandar Slot Gacor ») — un piratage par injection invisible depuis l'administration WordPress, mais lu par Google en premier. Un audit externe l'aurait vu ; l'administration, non.

Questions fréquentes