« Gratuit = dangereux » et « payant = sûr » sont deux mythes. En 2026, après plusieurs alertes supply-chain sur l’écosystème WordPress (dont des lots de plugins fermés suite à des rachats opaques), le vrai critère est ailleurs.
Ce qu’il faut regarder
- Qui maintient le plugin ? Changelog récent, réponses sur le forum, pas de silence radio 18 mois.
- Changement de propriétaire : un rachat discret peut précéder une porte dérobée. Lisez les avis et les alertes sécurité (Patchstack, Wordfence…).
- Nombre de plugins : chaque extension = surface d’attaque + dette de mises à jour. Moins, c’est mieux.
- Freemium bien tenu souvent plus sage qu’un premium obscur sans suivi public.
Bonnes pratiques TPE
- Inventaire trimestriel : désactiver ce qui ne sert plus.
- Staging avant maj critiques.
- Sauvegardes automatiques + test de restauration.
- Préférer un module ciblé (ex. publication sociale) à une usine à gaz « tout-en-un » abandonnée.
Chez Plume Creative, on privilégie des modules que l’on maintient nous-mêmes — comme Postora — plutôt que d’empiler des boîtes noires. Gratuit, oui ; sans maintenance, non.