Audit SEO WordPress : la checklist qui s'exécute sur votre site

Ce que « audit SEO » veut dire quand on tape la requête

Personne ne cherche « audit seo wordpress » pour apprendre la définition d'un audit. La question réelle est : qu'est-ce qui cloche sur mon site ?

Le SERP répond mal à ça. Les guides du top 10 font 3 000 à 4 500 mots de théorie, puis renvoient vers un abonnement, un lien affilié ou un devis. Le lecteur ressort en sachant quoi vérifier, sans savoir ce qui cloche chez lui. Ce n'est pas de la mauvaise volonté : un article ne peut pas regarder votre site. Un scanner, si.

D'où le format de cette page. La checklist est la liste des tests que le moteur exécute vraiment, avec l'identifiant du check et son seuil. Quand une ligne est marquée « manuel », c'est que le scanner ne sait pas la faire. Je préfère l'écrire que de gonfler le chiffre des « 100+ vérifications ».

La checklist en 32 points

Six catégories, dans l'ordre où elles comptent. Une page invisible pour Google n'a pas besoin d'un joli title : l'indexation passe avant l'on-page, qui passe avant la vitesse.

1. Indexation et crawl — le socle

Si un seul de ces cinq points est cassé, le reste ne sert à rien. C'est aussi la catégorie où les erreurs sont les plus bêtes et les plus fréquentes : une case « Décourager les moteurs de recherche » restée cochée dans Réglages › Lecture après une mise en ligne, et le site entier disparaît.

2. Balises on-page

3. Données structurées

4. Vitesse et Core Web Vitals

Ici, une nuance que la plupart des guides escamotent. Les Core Web Vitals se mesurent sur le terrain, sur vos vrais visiteurs (données CrUX), et se lisent dans le rapport « Signaux web essentiels » de la Search Console. Un scanner mesure des causes, pas le vécu. Les deux sont utiles, mais ne racontent pas la même chose : notre moteur vous dit pourquoi votre LCP est mauvais, la Search Console vous dit s'il l'est.

Pour creuser cette catégorie : optimiser les Core Web Vitals sur WordPress et le guide performance WordPress.

5. Spécifique WordPress

C'est la seule catégorie où le mot « WordPress » dans votre requête a un sens. Un audit SEO générique ne regarde jamais ces points, et ce sont eux qui distinguent un site WordPress sain d'un site qui traîne dix ans de plugins.

La partie sécurité de ces points est détaillée dans vérifier la sécurité de son site WordPress.

6. Contenu et maillage

Les seuils chiffrés, en une table

À garder sous les yeux pendant la correction. Les valeurs Core Web Vitals sont celles de Google (web.dev) ; les autres sont les seuils que ce scanner applique.

Les cinq pièges que le SEO générique ne regarde jamais

Les pages « pièce jointe »

Chaque image téléversée dans WordPress crée une URL publique dédiée : /mon-article/photo-de-couverture/. Une page sans contenu, avec l'image seule. Sur un blog de 200 articles illustrés, ça fait des centaines d'URL creuses candidates à l'index. Yoast et Rank Math les redirigent vers l'article parent par défaut depuis des années. Mais l'option se remet en cause à chaque changement de plugin SEO, et les sites migrés traînent souvent le problème. Vérifiez avec une recherche site:votresite.fr et cherchez des URL se terminant par un nom de fichier.

Les archives de mots-clés

Un tag posé sur un seul article crée une archive dont le contenu est… cet article. Multipliez par 80 tags improvisés au fil des années. Deux options honnêtes : noindex sur les archives de tags, ou bien on les traite comme de vraies pages de catégorie avec un texte d'introduction propre. Le pire choix est de ne pas choisir.

Le gonflement de la base

WordPress ne nettoie presque rien. Les tables wp_options (transients périmés, options autoload de plugins désinstallés), wp_postmeta et wp_posts (révisions à l'infini) grossissent en silence. Un wp_options à 30 Mo d'autoload, ce sont 30 Mo lus à chaque requête PHP. Résultat visible : un TTFB qui monte sans raison apparente. Aucun scanner externe ne peut voir ça : il faut regarder la base. C'est l'une des cinq lignes « manuel » de la checklist.

À qui la faute pour un TTFB à 1,8 s

Trois suspects, dans cet ordre. L'hébergement d'abord : mutualisé saturé, PHP ancien, pas d'OPcache. Le cache ensuite : sans cache de page, chaque visite reconstruit la page depuis la base. Les plugins enfin : un seul plugin qui appelle une API externe au chargement suffit à ajouter une seconde. La méthode de tri est bête et efficace : activez un cache de page, re-scannez. Si le TTFB s'écroule, c'était la génération PHP. S'il ne bouge pas, c'est le serveur ou le réseau.

La version et les comptes exposés

La meta generator annonce votre version de WordPress. L'API REST publie la liste de vos auteurs sur /wp-json/wp/v2/users. Aucun des deux n'est une faille en soi. Les deux ensemble donnent à un bot la version à cibler et les identifiants à essayer. Ce n'est pas du SEO à strictement parler, mais un site piraté sort de l'index, et ça, c'est un problème de SEO définitif.

Prioriser : la matrice impact / effort

Un scan rend souvent 20 à 40 problèmes. Les corriger dans l'ordre d'affichage est le meilleur moyen de passer un samedi sur des broutilles. Rangez-les dans quatre cases.

Notre rapport trie déjà les problèmes par gravité (fail avant warning), ce qui vous donne l'axe « impact ». L'axe « effort », vous seul le connaissez : changer d'hébergeur n'a pas le même coût pour tout le monde.

La cannibalisation, que personne ne détecte pour vous

Deux pages qui visent la même intention se volent mutuellement des positions. Google en choisit une, souvent pas celle que vous vouliez, et fait tourner les deux au gré des mises à jour. Sur WordPress, ça arrive tout seul : un article de 2021 « comment choisir un plombier », un autre de 2024 « bien choisir son plombier », plus l'archive du tag « plombier ».

La détection prend dix minutes dans la Search Console, et aucun scanner ne peut la faire à votre place — il faut vos données de performance :

1. Search Console → Résultats de recherche → onglet Requêtes.
2. Cliquez sur une requête qui compte, puis basculez sur l'onglet Pages.
3. Si deux URL ou plus remontent sur cette requête avec des impressions comparables, vous tenez une cannibalisation.
4. Décidez : fusionner les deux contenus dans la meilleure URL et rediriger l'autre en 301, ou différencier franchement les intentions.

Un mot sur les redirections : une 301 conserve l'essentiel du signal. Supprimer sans rediriger, non. Et ne canonicalisez pas vers une page au contenu différent, Google ignore la consigne et vous perdez la trace du problème.

Ce qu'on trouve vraiment : 21 sites WordPress passés au scanner

Méthode. Le 16 juillet 2026, j'ai passé 21 sites WordPress francophones dans ce moteur : blogs WordPress et SEO, sites d'agences, sites d'hébergeurs. Autrement dit un échantillon favorable — ce sont des professionnels du web, pas des sites de PME laissés en plan. Retenez ça en lisant les chiffres : chez un artisan qui a installé un thème en 2019, c'est pire.

• Score global médian : 79/100 (min 65, max 87). Personne n'est à 90+, y compris les gens dont c'est le métier.
• 15 sites sur 21 ne servent aucune image en WebP ou AVIF. Zéro. Le record de la fournée : une page qui charge 293 images, toutes en JPEG/PNG.
• 8 sites sur 21 n'ont aucune image en lazy loading, alors que WordPress le fait nativement depuis la 5.5. Le réglage a donc été désactivé quelque part, souvent par un plugin de cache mal configuré.
• 6 sites sur les 11 dont l'API REST répond publient la liste de leurs comptes sur /wp-json/wp/v2/users — jusqu'à 10 identifiants en clair.
• 6 sites sur 21 exposent leur version de WordPress dans la meta generator.
• 6 sites sur 21 ont un title hors de la plage 30-60 caractères. Dont un média digital français à forte audience qui sert un title de trois caractères sur sa page d'accueil.
• 16 sites sur 21 n'ont pas de Content-Security-Policy, 9 sur 21 pas de HSTS.
• Le TTFB médian est de 171 ms et seuls 3 sites sur 21 dépassent 600 ms. L'hébergement français va plutôt bien.
• 21 sites sur 21 ont du JSON-LD sur leur accueil. Les données structurées ne sont plus un avantage, c'est le minimum syndical.

Deux choses que ce scan m'a apprises et que je n'avais pas prévues. La première : le pire TTFB de l'échantillon (1 802 ms) est un site que nous gérons nous-mêmes. La deuxième : un site de référence du SEO francophone servait, ce jour-là, un title de casino indonésien (« ROYALTOGEL — Login Bandar Slot Gacor ») — piratage par injection classique, invisible depuis l'administration WordPress, mais lu par Google en premier.

Ces chiffres décrivent 21 sites à une date donnée. Ce n'est pas une étude ; c'est ce que voit le scanner, reproductible par vous en 30 secondes sur votre propre site.

À quoi ressemble la sortie, sur un vrai site

Plutôt qu'une capture retouchée, voici la sortie réelle du 16 juillet 2026 sur mythologiste.com — une boutique WooCommerce que nous hébergeons. Ses défauts sont donc les nôtres.

La lecture intéressante est le contraste : 100/100 en SEO on-page, 32/100 en performance. Le plugin SEO fait très bien son travail : title, meta, canonical, sitemap, schema, tout est propre. Et ça ne dit rien de la performance ni de la sécurité, parce qu'un plugin SEO ne regarde pas ça. C'est exactement le malentendu de la section suivante.

Quel outil pour quel besoin, honnêtement

Ce scanner ne remplace ni Yoast ni un consultant. Il occupe une case précise, que voici, avec ce qu'il ne sait pas faire.

Nos limites, en clair. Le moteur analyse une URL à la fois, pas votre site entier : il ne verra ni vos pages orphelines, ni votre profondeur de clics, ni vos doublons. Il ne connaît rien à vos backlinks. Il ne juge pas si votre texte répond à l'intention de recherche. Il mesure la vitesse en laboratoire, pas chez vos visiteurs. Cinq lignes de la checklist restent manuelles, et c'est écrit dans le tableau plutôt que caché.

Le bon usage : le scan en premier, parce qu'il coûte 30 secondes et qu'il trouve les 80 % de problèmes mécaniques. La Search Console ensuite, pour les données terrain. Un humain enfin, si l'enjeu commercial le justifie. Comparez deux sites côte à côte si vous voulez vous situer face à un concurrent, ou regardez le détail des formules.

Les quatre erreurs qu'on voit le plus souvent

« J'ai installé Yoast, donc mon SEO est bon »

C'est l'erreur reine, et l'exemple plus haut la démontre chiffres à l'appui : 100/100 en SEO on-page, 32/100 en performance, sur le même site, au même instant. Un plugin SEO génère vos balises et votre sitemap. Il ne compresse pas vos images, ne raccourcit pas votre TTFB, ne ferme pas votre API REST et ne détecte pas que trois de vos articles se battent sur la même requête. Les pastilles vertes de Yoast mesurent la conformité à une checklist rédactionnelle, pas votre position.

Optimiser des pages que personne ne cherche

Réécrire dix titles sur des pages à zéro impression, c'est du travail à rendement nul. Ouvrez la Search Console, triez par impressions, prenez les pages qui ont déjà des impressions sans clics : elles sont en page 2 ou 3. Ce sont elles qui bougeront.

Confondre le score et le classement

Aucun score sur 100 — ni le nôtre, ni celui de PageSpeed — n'est un facteur de classement. Google mesure des seuils (LCP, CLS, INP) et une pertinence. Un score est un thermomètre pratique, pas la note que Google vous met. Passer de 82 à 87 en peaufinant des warnings ne vous rapportera rien ; corriger un fail d'indexation, si.

Auditer une fois, puis jamais

Un site WordPress se dégrade tout seul. Une mise à jour de thème remet les images en JPEG, un plugin ajoute son JS bloquant, une migration réactive la case « décourager les moteurs ». Un audit annuel ne sert à rien ; un scan mensuel de vos pages clés prend cinq minutes.

Questions fréquentes