Crise plugins WordPress : 48.8% des éditeurs en baisse

WordPress propulse 43% du web. Le répertoire officiel compte plus de 59 000 extensions. À première vue, l’écosystème se porte bien…

Sauf si vous regardez de l’autre côté. Celui des gens qui fabriquent ces plugins.

En décembre 2025, Katie Keith, CEO de Barn2, a publié les résultats d’un sondage auprès de 33 éditeurs de plugins premium. Le chiffre qui fait mal : 48.8% déclarent des ventes en baisse. Pas un ressenti vague. Des données réelles, collectées auprès de fondateurs qui vivent de leurs extensions.

J’ai co-créé 8 plugins sur WordPress.org. WPS Hide Login, c’est 2 millions d’installations actives. WPS Limit Login, WPS Cleaner, WPS Bidouille… Quand je lis ces chiffres, je ne suis pas surpris. Je les vis au quotidien.

Pourquoi ça vous concerne, même si vous n’éditez pas de plugins ? Parce que chaque extension installée sur votre site dépend d’un éditeur qui doit pouvoir en vivre. Quand cet éditeur lâche l’affaire :

• Votre plugin n’est plus maintenu
• Les failles de sécurité ne sont plus corrigées
• Les mises à jour WordPress cassent votre site
• Vous cherchez une alternative en urgence, sans plan B

Cet article n’est pas un résumé de l’enquête Barn2. C’est une analyse croisée de 6 sources primaires, confrontée à mon expérience de terrain comme éditeur de plugins depuis 2012. L’angle sécurité des plugins abandonnés, je l’ai déjà traité. Ici, on parle argent, modèles économiques et survie.

Que dit vraiment l’enquête Barn2 sur les ventes de plugins ?

48.8% en baisse, 20% en croissance : le détail

En décembre 2025, Katie Keith a d’abord posté un sondage rapide sur X (ex-Twitter). 80% des répondants signalaient des ventes stagnantes ou en baisse. Le chiffre a fait l’effet d’une bombe dans la communauté WordPress.

Pour aller plus loin, elle a lancé une enquête détaillée auprès de 33 éditeurs de plugins premium ("Are WordPress Plugin Sales Really Down?", WP Product Talk, janvier 2026). Les résultats :

• 48.8% déclarent des revenus en baisse
• 31.2% sont stables
• 20% sont en croissance

Faut-il paniquer ? Pas si vite. L’échantillon de 33 entreprises n’est pas représentatif de l’ensemble du marché. Ce sont des éditeurs premium anglophones, pas des développeurs solo qui maintiennent un plugin gratuit le week-end. Le biais du survivant est réel : ceux qui ont déjà fermé boutique n’ont pas répondu.

Mais c’est justement ce qui rend ces données intéressantes. Si les éditeurs premium, ceux qui ont les moyens de faire du marketing et de payer du support, si même eux sont en difficulté, ça en dit long sur la santé réelle du marché.

La découverte clé : la remplaçabilité

L’enquête révèle un pattern que personne n’avait documenté avant. Katie Keith a croisé les performances de chaque plugin avec un critère simple : est-ce que votre extension est facilement remplaçable ?

Le résultat est net. Les deux tiers des plugins "difficiles à remplacer" sont en croissance. À l’inverse, les extensions facilement substituables sont massivement en baisse.

Et attention : la catégorie du plugin (SEO, sécurité, e-commerce, formulaires) n’a quasiment aucun impact sur la performance commerciale. Un plugin de sécurité générique souffre autant qu’un plugin de formulaire générique. Ce n’est pas le secteur qui compte. C’est le degré de dépendance que votre extension crée chez l’utilisateur.

Un plugin SEO générique ? Condamné. Une extension qui gère un workflow métier spécifique ? Elle a de l’avenir. C’est contre-intuitif, mais les données le confirment.

L’enquête identifie un deuxième facteur déterminant : le canal d’acquisition. Les éditeurs qui dépendent exclusivement de la recherche organique (Google, WordPress.org) sont les plus touchés. Ceux qui investissent dans le marketing actif (articles de blog, chaîne YouTube, présentations en WordCamp, partenariats avec des influenceurs) résistent mieux. La recherche organique reste le canal numéro un en volume, mais elle est de plus en plus associée aux baisses de revenus. Et c’est logique : quand les IA génératives répondent directement aux requêtes "meilleur plugin SEO WordPress" sans renvoyer vers le site de l’éditeur, le tunnel d’acquisition se brise.

Ce concept de remplaçabilité, on va le retrouver dans tout l’article. C’est la grille de lecture qui explique pourquoi certains éditeurs s’effondrent pendant que d’autres prospèrent. Et qui devrait guider vos choix quand vous installez une extension sur votre site. Pour comprendre le modèle économique de WordPress dans son ensemble, les revenus des éditeurs n’en sont qu’une facette.

Quels sont les 4 chiffres clés de cette crise des plugins ?

Avant de chercher des causes, posons les données. Quatre indicateurs, quatre sources différentes, un même constat :

Indicateur	Chiffre	Source	Année
Éditeurs en baisse de revenus	48.8%	WP Product Talk / Barn2	2025
Nouvelles ventes Barn2	-17.8% sur un an	Barn2 Year in Review	2025
Plugins abandonnés (2+ ans)	59%	Fuad Al Azad	2025
Plugins obsolètes < 100 installs	79%	Fuad Al Azad	2025

Le cas Barn2 est parlant. Katie Keith publie chaque année un bilan financier transparent ("2025 Year in Review", Barn2, janvier 2026). En 2025, Barn2 affiche un revenu total de 1 786 586 $ (+0.65% par rapport à 2024). Rassurant ?

Pas du tout.

Ce +0.65% ne vient pas de la croissance. Il vient des renouvellements de licences existantes. Les nouvelles ventes, elles, chutent de 17.8%. Traduction : Barn2 vit sur sa base installée. Le jour où les renouvellements baissent, c’est terminé.

Le modèle est devenu un modèle de rente, pas de conquête. Et Barn2 l’a compris : l’entreprise a lancé sa première application Shopify en 2025. 18 employés répartis dans 11 pays, et une diversification qui ressemble plus à un plan B qu’à une opportunité.

Katie Keith résume le problème en une phrase qui devrait inquiéter tous les éditeurs de plugins : "AI recommendations summarize without linking back." L’IA recommande des plugins sans renvoyer vers le site de l’éditeur. Le tunnel d’acquisition est cassé.

À cette crise de revenus, ajoutez une crise de gouvernance. En avril 2025, Automattic a licencié 16% de ses effectifs, réduisant d’autant le nombre de reviewers du répertoire WordPress.org. Le conflit WP Engine vs Automattic en 2024-2025 (procès, ban temporaire, prise de contrôle du plugin ACF renommé SCF) a poussé plusieurs développeurs à retirer leurs extensions du répertoire. Résultat : plus de soumissions (+40.6%), moins de monde pour les revoir, et une confiance qui s’érode chez les éditeurs qui doutent de l’avenir de WordPress.

Quid des éditeurs français ? Aucune donnée comparable n’existe pour le marché francophone. L’enquête Barn2 porte sur des éditeurs anglophones. Mais les causes structurelles (saturation du répertoire, IA, abandon, gouvernance) sont universelles. Si 48.8% des éditeurs premium anglophones sont en baisse, le marché francophone, plus petit et moins structuré, n’est certainement pas épargné.

Pourquoi le répertoire WordPress.org est-il devenu un paradoxe ?

+40% de soumissions, mais pour quoi faire ?

Pendant que les revenus baissent, le répertoire WordPress.org n’a jamais été aussi actif. La Plugins Team de WordPress.org a publié son bilan 2025 :

• 12 713 plugins passés en revue (+40.6% par rapport à 2024)
• 5 415 plugins approuvés (+66.2%)
• En fin d’année, le rythme atteint 330 soumissions par semaine

On croirait à un écosystème en pleine forme. C’est l’inverse.

Parmi les plugins obsolètes (non mis à jour depuis 2+ ans), 79% ont moins de 100 installations actives et 22.7% n’ont jamais été mis à jour après leur premier envoi. Plus d’extensions ne signifie pas un écosystème en meilleure santé. Ça signifie un répertoire plus bruyant, où les bons produits sont noyés sous des clones, des projets étudiants et des extensions générées par IA.

J’ai vécu ça avec WPS Hide Login. Quand 15 clones de votre plugin apparaissent sur le répertoire, ce n’est pas de la concurrence saine. C’est du bruit qui génère de la confusion chez les utilisateurs, et des tickets de support sur votre plugin à vous. "Bonjour, j’ai installé WPS Hide Login mais l’interface est différente de la capture que j’ai vue." Oui, parce que tu as installé un clone. Ça m’est arrivé des dizaines de fois.

59% de plugins abandonnés : le cimetière silencieux

Le chercheur Fuad Al Azad a analysé l’ensemble du répertoire WordPress.org. Son constat : 59% des plugins n’ont pas été mis à jour depuis plus de 2 ans. Plus de la moitié du catalogue est un cimetière.

Les conséquences sécuritaires, je les ai détaillées dans mon guide des plugins WordPress abandonnés. Ici, c’est l’angle économique qui m’intéresse : un plugin abandonné, c’est un éditeur qui n’a pas trouvé son modèle. Qui a créé quelque chose, l’a publié, a constaté que ça ne rapportait rien (ni argent, ni reconnaissance, ni motivation), et a lâché l’affaire.

Croisez les deux données : +40% de plugins revus ET 59% d’abandon. Le répertoire WordPress.org fonctionne comme un entonnoir géant. Beaucoup entrent, peu survivent. Et ceux qui survivent doivent se battre dans un catalogue de plus en plus saturé. L’arrivée des outils de génération de code par IA (Cursor, GitHub Copilot, Claude Code) ne va rien arranger : créer un plugin WordPress basique en une heure est devenu trivial. Le volume de soumissions va continuer à exploser.

Pour les éditeurs qui en ont marre de ce système, des alternatives émergent. Troy, lancé par le créateur de The SEO Framework, permet de distribuer ses extensions en dehors de WordPress.org. Un symptôme de plus de la fracture en cours.

L’affaire Essential Plugins : quand un rachat cache une backdoor

En avril 2026, WordPress.org a fermé 31 plugins d’un coup. Pas pour des problèmes de qualité ou de compatibilité. Pour une backdoor.

L’affaire, révélée par TechCrunch le 14 avril 2026, est un cas d’école. Un attaquant a racheté la suite Essential Plugin via Flippa (une place de marché de sites web et d’applications). Parmi ces extensions : Countdown Timer Ultimate, WP Testimonial with Widget, WP FAQ, Hero Banner Ultimate, Post Grid and Filter Ultimate… Des extensions modestes, entre 5 000 et 50 000 installations chacune. Le genre de plugin qu’on installe un mardi après-midi sans se poser de questions.

Le code malveillant a été injecté en août 2025 mais activé seulement en avril 2026. Huit mois d’attente. Une patience calculée. Au total : 191 lignes de backdoor en PHP, du SEO spam et de l’injection de fichiers de configuration.

Le vrai problème, ce n’est pas l’attaque. C’est le système.

Le répertoire WordPress.org ne vérifie pas qui rachète quoi. Concrètement, ça signifie :

• Aucun processus de notification aux utilisateurs quand un plugin change de propriétaire
• Aucune revue de code approfondie lors d’un transfert de droits commit
• Aucune période probatoire pour le nouvel éditeur
• Aucun audit automatique des mises à jour post-rachat

N’importe qui peut acheter un plugin à 50 000 installations sur Flippa et injecter ce qu’il veut. C’est un trou béant dans la chaîne de confiance.

Et c’est directement lié à la crise économique : quand un éditeur ne peut plus vivre de son extension, il la vend au plus offrant. Sans garantie sur les intentions de l’acheteur. Le marché Flippa regorge d’annonces de plugins WordPress "avec 20 000 installations actives" vendus pour quelques milliers de dollars. Pour un attaquant, c’est un investissement ridicule par rapport au nombre de sites qu’il peut compromettre.

Le rapport Patchstack 2026 confirme l’ampleur du problème : 11 334 vulnérabilités WordPress découvertes en 2025 (+42% par rapport à 2024), dont 91% dans les plugins et 46% sans correctif au moment de leur divulgation. Le temps médian d’exploitation après divulgation : 5 heures. Bon courage pour réagir.

Quels sont les 3 modèles d’éditeurs de plugins qui survivent en 2026 ?

Si 48.8% des éditeurs sont en baisse, ça veut dire que 51.2% ne le sont pas. Qui sont-ils ? Et qu’est-ce qu’ils font différemment ?

En croisant l’enquête Barn2 avec mon expérience d’éditeur, j’identifie trois modèles de survie. Pas des théories. Des observations.

Le plugin irremplaçable

Le plugin que personne ne peut remplacer facilement. Celui qui crée une dépendance fonctionnelle sur le site.

WPS Hide Login, c’est mon plugin, je peux en parler. 2 millions d’installations actives, et il fait une seule chose : changer l’URL de connexion WordPress. Techniquement, il est facilement remplaçable. Mais il est gratuit, bien noté (4.8/5), fiable, léger et il fait exactement ce qu’on lui demande. Pourquoi un utilisateur irait-il chercher autre chose ? C’est ça, la vraie force d’un plugin qui dure : pas la dépendance technique, mais la confiance acquise.

Pour les plugins "structurellement irremplaçables", regardez plutôt WPML (1 million d’installations). Une fois vos 200 pages traduites via WPML, migrer vers une autre solution de traduction coûte des semaines de travail. Ou ACF (Advanced Custom Fields), malgré la controverse avec Automattic : des milliers de sites ont structuré tout leur contenu autour de ses champs personnalisés. Désinstaller ACF, c’est perdre ses données.

Le pattern identifié par Barn2 se décline donc en deux variantes :

• L’irremplaçable technique : le plugin est si intégré dans la structure du site que le retirer casse tout (WPML, ACF, WooCommerce)
• L’irremplaçable par la confiance : le plugin fait bien son travail, il est gratuit, stable, et personne n’a de raison d’en changer (WPS Hide Login, Classic Editor)

Dans les deux cas, le résultat est le même : l’extension résiste à la crise.

Le SaaS hybride (plugin + service cloud)

Le plugin gratuit qui sert de passerelle vers un service cloud payant. Revenus récurrents, pas de dépendance au répertoire WordPress.org pour la monétisation.

Wordfence fonctionne sur ce modèle : le plugin est gratuit, mais le pare-feu cloud, les mises à jour temps réel des règles de sécurité, les audits… tout passe par un abonnement. L’extension gratuite est un produit d’appel, pas le produit.

Imagify suit la même logique. Le plugin compresse les images, mais le traitement se fait sur les serveurs de WP Media. Pas de service cloud, pas de compression. Le plugin seul ne sert à rien. Et c’est précisément ce qui rend le modèle viable : l’éditeur vend un service continu, pas un bout de code qu’on installe une fois.

L’avantage décisif du SaaS hybride : les revenus sont récurrents et prévisibles. Pas de dépendance aux nouvelles ventes. C’est exactement le modèle qui permet à Barn2 de maintenir un chiffre d’affaires stable (+0.65%) malgré la chute de 17.8% des nouvelles ventes. Les renouvellements compensent. Mais bâtir et maintenir une infrastructure cloud coûte cher. Ce n’est pas un modèle accessible à un développeur solo.

L’écosystème verrouillé (all-in-one)

Le modèle le plus ambitieux et le plus risqué. Une suite complète d’extensions, un thème, une marketplace, parfois même un hébergement dédié.

WooCommerce est le cas d’école. Maintenu par Automattic, l’écosystème WooCommerce génère des revenus via sa marketplace d’extensions premium, ses solutions de paiement et ses services cloud. Le plugin gratuit n’est que la porte d’entrée d’un univers verrouillé.

Bref. Trois modèles, trois logiques de survie. Comparons-les :

Critère	Irremplaçable	SaaS hybride	Écosystème all-in-one
Revenu récurrent	Moyen (licences annuelles)	Fort (abonnement mensuel)	Fort (marketplace + licences)
Dépendance WP.org	Forte	Faible	Moyenne
Résilience face à l’IA	Forte (workflow spécifique)	Forte (service cloud)	Moyenne (IA remplace certains modules)
Barrière d’entrée concurrents	Forte	Moyenne	Très forte
Risque d’abandon	Faible	Faible	Faible (corporate)
Exemples	WPS Hide Login, ACF, WPML	Wordfence, Imagify, Mailchimp	WooCommerce, Elementor Pro

Mon verdict ? Le modèle irremplaçable est le plus pérenne pour un éditeur indépendant. Le SaaS hybride est le plus rentable si vous avez les moyens de maintenir une infrastructure cloud. L’écosystème verrouillé n’est viable que pour les gros acteurs, et il reste fragile : si le leader tombe (procès, rachat hostile, changement de stratégie), tout l’écosystème tremble.

Pour mettre les choses en perspective : selon une analyse Market Clarity de 2025, le revenu moyen d’un plugin WordPress est de 8 350 $ par an. Un développeur de plugin gagne en moyenne 13 334 $ annuels. Le modèle freemium demande 18 à 36 mois pour atteindre le seuil de rentabilité, avec au minimum 10 000 utilisateurs gratuits. Autant dire que la très grande majorité des plugins soumis chaque semaine sur WordPress.org n’atteindront jamais ce seuil.

Quand l’IA et le "code au doigt mouillé" aggravent la crise

Ce que l’IA remplace déjà

Le trafic issu des IA a bondi de 527% entre janvier-mai 2024 et janvier-mai 2025, de 17 076 à 107 100 sessions sur 19 propriétés analysées (étude Previsible relayée par Search Engine Land, 2025). Les recherches "zero-click" sur Google atteignent environ 60% (SparkToro, 2024). Et Katie Keith le résume bien : "AI recommendations summarize without linking back."

Qu’est-ce que ça change concrètement pour les éditeurs de plugins ? L’IA remplace déjà certaines catégories d’extensions :

• Formulaires simples : un prompt ChatGPT génère un formulaire de contact fonctionnel en 10 secondes. Pourquoi installer une extension de 2 Mo ?
• Contenu automatique : les plugins de génération de texte par IA sont rendus obsolètes… par l’IA elle-même, accessible directement via navigateur
• Traductions basiques : DeepL et ChatGPT rendent les plugins de traduction automatique moins pertinents pour les sites simples

C’est le facteur de crise que personne ne quantifie en France. Les éditeurs français de plugins sont touchés de plein fouet, mais aucune donnée locale n’existe. On navigue à vue. Parfois, un plugin de formulaire de contact qui comptait 50 000 installations il y a deux ans se retrouve à 30 000 sans que personne ne comprenne pourquoi. L’IA n’a pas désinstallé le plugin. Elle a juste rendu l’installation inutile pour les prochains utilisateurs.

Ce que l’IA ne remplace pas (et ne remplacera pas de sitôt)

Pas de panique. L’IA ne va pas tuer les plugins WordPress. Elle déplace la valeur.

Ce qui résiste :

• Sécurité : un pare-feu applicatif, un scanner de malware, une détection d’intrusion en temps réel, ça nécessite une infrastructure serveur. Pas un prompt
• Backups : sauvegarder une base de données de 500 Mo sur un serveur distant, c’est de l’infrastructure, pas du code générable par ChatGPT
• E-commerce complexe : passerelles de paiement, gestion d’inventaire, conformité fiscale multi-pays : WooCommerce ne sera pas remplacé par un chatbot
• Cache et performance : l’optimisation serveur nécessite un accès système que l’IA n’a pas
• SEO avancé : sitemaps dynamiques, données structurées, monitoring de positions, ça exige des intégrations profondes avec WordPress

Yoast SEO avec ses 10 millions d’installations est un cas intéressant. L’IA peut rédiger une meta description en 3 secondes. Mais elle ne peut pas gérer vos sitemaps XML dynamiques, vos données structurées Schema.org, ou votre maillage interne automatisé. Le plugin est partiellement menacé, pas entièrement.

Le marché des plugins IA pour WordPress est estimé à 500 millions de dollars en 2025, avec une projection à 2.5 milliards d’ici 2033. L’IA ne tue pas les plugins. Elle en crée de nouveaux. Mais les plugins qu’elle crée remplacent d’autres plugins. Transfert de valeur, pas destruction.

Le vibe-coding : quand tout le monde peut sortir son plugin

Il y a un angle que personne ne couvre et qui amplifie tous les problèmes qu’on vient de voir : le "vibe-coding". Le terme a été lancé par Andrej Karpathy (membre fondateur d’OpenAI) en février 2025 pour décrire une nouvelle façon de coder : tu décris ce que tu veux en langage naturel, l’IA génère le code, et tu ne regardes même pas le résultat tant que ça tourne.

Avec Cursor, Bolt, Claude Code, GitHub Copilot… n’importe qui peut générer un plugin WordPress fonctionnel en une heure. Pas besoin de connaître les WordPress Coding Standards, les hooks, les sanitizations. Tu décris ce que tu veux, l’IA te crache du code, tu le colles dans un dossier wp-content/plugins/ ou pire, dans mu-plugins/, et ça marche. Parfois.

Les risques de cette démocratisation sont concrets :

1. Sécurité quasi-inexistante : le code généré par IA passe rarement les checks de sécurité (sanitization, nonces, capabilities). Un plugin vibe-codé, c’est une porte ouverte potentielle
2. mu-plugins hors contrôle : contrairement aux plugins classiques, les mu-plugins ne passent par aucun processus de review WordPress.org. Ils se chargent automatiquement. Pas de mise à jour, pas de notification, pas de désactivation facile
3. Inflation du répertoire : les 330 soumissions par semaine sur WordPress.org vont continuer à grimper. Plus de bruit, moins de signal, pour les mêmes reviewers en sous-effectif
4. Cannibalisation des éditeurs pro : pourquoi payer 49 $/an pour un plugin de redirection quand ChatGPT te génère un mu-plugin en 30 secondes ? L’éditeur professionnel perd un client. Et le site gagne un risque de sécurité

Ce que j’ai appris en co-créant 8 plugins WordPress

J’ai co-créé 8 plugins sur WordPress.org. WPS Hide Login, WPS Limit Login, WPS Cleaner, WPS Bidouille… Avec un total dépassant 2.1 millions d’installations actives, j’ai vécu cette crise de l’intérieur. Pas en la lisant. En la vivant.

Trois leçons que 12 ans d’édition de plugins m’ont apprises :

Leçon 1 : un plugin gratuit à 2 millions d’installations ne rapporte rien. WPS Hide Login n’a jamais eu de version payante. 2 millions de sites l’utilisent, et le revenu généré est strictement nul. C’est un choix assumé, je voulais contribuer à l’écosystème. Mais c’est exactement ce modèle qui fait couler 90% des éditeurs indépendants. Tu crées une extension, elle marche, tu n’as pas de version premium, et tu te retrouves à maintenir un produit utilisé par des milliers de sites sans aucune contrepartie.

Leçon 2 : le support gratuit est le tueur silencieux. 50 tickets par semaine sur un plugin gratuit. Des questions basiques, des conflits avec d’autres extensions, des configurations serveur exotiques… euh, je continue ? Ça use n’importe qui en 6 mois. Et c’est la première raison pour laquelle les éditeurs abandonnent : pas par manque d’idées, par épuisement.

Leçon 3 : si ton plugin inspire confiance, tu survis. WPS Hide Login est techniquement remplaçable. Mais il est gratuit, stable, bien noté, et il fait son job depuis des années. Personne n’a de raison d’en changer. C’est la deuxième variante de la "remplaçabilité" Barn2 : on ne te remplace pas parce qu’on n’a aucune raison de le faire. La confiance acquise vaut autant que la dépendance technique.

J’ai discuté de ces sujets à chaque WordCamp auquel j’ai participé, de Paris 2013 à Lyon 2022. Au WordCamp Paris 2015, j’intervenais sur les constructeurs de pages. Déjà à l’époque, les conversations en coulisses tournaient autour du même sujet : comment vivre de ses plugins quand le répertoire est gratuit et que le support vous mange vivant ?

10 ans plus tard, le constat est le même, mais amplifié. Les éditeurs qui tiennent sont ceux qui ont trouvé un moyen de rendre leur extension indispensable. Les autres finissent par lâcher.

Fondateur de WPServeur, j’ai vu de près comment le marché WordPress se transforme : moins de place pour les indépendants, consolidation accélérée, et une pression croissante sur les marges. Mon plugin WPS Cleaner (20 000+ installations) et WPS Bidouille (10 000+ installations) fonctionnent sur la même logique gratuite que WPS Hide Login. Ils survivent parce qu’ils sont utiles, simples et bien maintenus. Mais ils ne rapportent rien. De facto, c’est de la philanthropie open source, pas un business.

En tant que formateur WordPress certifié Qualiopi, je vois aussi le problème côté utilisateur. Mes stagiaires installent en moyenne 15 à 20 extensions sur un site WordPress. La moitié ne sera jamais mise à jour. Un tiers sera abandonné par son éditeur dans les 3 ans. Et quand je leur demande "qui va maintenir tout ça ?", la réponse est souvent un silence gêné. La crise des éditeurs de plugins, c’est aussi une crise de la maintenance côté utilisateur.

Que va-t-il se passer pour les plugins WordPress d’ici 2028 ?

Après avoir épluché ces données et confronté ça à mon expérience, voici ce que je vois venir.

1. La consolidation va s’accélérer. Awesome Motive (WPForms, MonsterInsights, WP Mail SMTP, 130+ plugins) cumule déjà 1.29 milliard de téléchargements. Newfold Digital a absorbé Yoast et YITH. Automattic contrôle WooCommerce et Jetpack. Dans 3 ans, une poignée de conglomérats contrôlera l’essentiel du répertoire. Et les affaires type Essential Plugins (rachat Flippa, backdoor) vont se multiplier : quand un éditeur ne peut plus vivre de son extension, la tentation de vendre au premier venu est forte
2. Le freemium pur est mort. Le modèle "gratuit sur WP.org + premium sur mon site" ne fonctionne plus pour les nouveaux entrants. Avec 330 soumissions par semaine, un coût d’acquisition explosif et l’IA qui grignote les catégories simples, un nouvel éditeur a statistiquement 79% de chances de ne jamais dépasser 100 installations. Les survivants seront en SaaS hybride ou en écosystème verrouillé
3. WordPress.org devra vérifier les rachats. Après l’affaire Essential Plugins, la communauté va exiger un processus de vérification des changements de propriété : notification aux utilisateurs, revue de code post-transfert, période probatoire. Sans ça, la confiance dans le répertoire va continuer à s’éroder
4. Le vibe-coding va inonder le répertoire. La génération de plugins par IA (Cursor, Bolt, Claude Code) va faire exploser le volume de soumissions. Plus de plugins, plus de bruit, plus de risques de sécurité, et les mêmes reviewers en sous-effectif pour trier tout ça

Mon conseil : si tu utilises WordPress en production, audite tes extensions maintenant. Pas dans 6 mois. Pas quand il y aura une faille. Utilise notre Vérificateur de Plugins pour chaque extension installée sur ton site. Et si l’un de tes plugins essentiels n’a pas été mis à jour depuis plus d’un an… il est temps de chercher une alternative.

On l’oublie trop souvent, mais un plugin WordPress, ce n’est pas juste du code. C’est une promesse de maintenance. Et quand l’éditeur ne peut plus tenir cette promesse, c’est vous qui payez l’addition.

Questions fréquentes

Que signifie "48.8% des éditeurs en baisse" ?

Ce chiffre provient d’un sondage mené par Katie Keith (CEO de Barn2) auprès de 33 éditeurs de plugins WordPress premium en décembre 2025, publié sur WP Product Talk en janvier 2026. Il mesure la variation des revenus annuels. 48.8% déclarent une baisse, 31.2% sont stables, 20% sont en croissance. L’échantillon est restreint aux éditeurs premium anglophones, mais reste la seule donnée quantitative disponible sur le sujet.

Mon plugin préféré va-t-il être abandonné ?

Vérifiez trois indicateurs : la date de dernière mise à jour (plus de 2 ans = alerte rouge), la compatibilité avec la version actuelle de WordPress, et l’activité du développeur sur les forums de support. Si le plugin est critique pour votre site, testez une alternative dès maintenant, avant qu’une faille non corrigée ne vous y oblige. Notre Vérificateur de Plugins sur wpformation.com peut vous aider.

L’IA va-t-elle tuer les plugins WordPress ?

Non. L’IA déplace la valeur, elle ne la détruit pas. Les plugins de formulaires simples, de génération de contenu et de traduction basique sont menacés. En revanche, les plugins de sécurité, de backup, d’e-commerce complexe et de performance restent indispensables car ils nécessitent une infrastructure serveur que l’IA ne peut pas fournir. Le marché des plugins IA WordPress est d’ailleurs estimé à 500 millions de dollars en 2025, en croissance de 25% par an. L’IA crée autant de plugins qu’elle n’en remplace.

Qu’est-ce qu’un plugin "hard to replace" ?

C’est un plugin qui crée une dépendance fonctionnelle sur votre site. Si vous le désinstallez, quelque chose casse ou nécessite une reconfiguration importante. Exemples techniques : WPML (toutes vos traductions deviennent inaccessibles), ACF (tous vos champs personnalisés disparaissent). Mais il existe aussi une variante "par la confiance" : un plugin comme WPS Hide Login est techniquement remplaçable, mais il est gratuit, stable et bien noté, donc personne ne le remplace. L’enquête Barn2 montre que 2/3 de ces plugins sont en croissance malgré la crise du marché.

Un plugin ou mu-plugin généré par IA (vibe-coding) est-il risqué ?

Oui. Le code généré par IA ne passe pas par le processus de review WordPress.org. Il manque souvent les vérifications de sécurité de base : sanitization des entrées, vérification des nonces, contrôle des capabilities. Un mu-plugin est encore plus risqué qu’un plugin classique car il se charge automatiquement, ne peut pas être désactivé depuis l’admin, et ne reçoit aucune mise à jour. Si vous utilisez du code généré par IA, faites-le auditer par un développeur WordPress avant de le mettre en production.

Comment protéger mon site contre les plugins rachetés avec des backdoors ?

Quatre réflexes. Premièrement, surveillez les changements de propriétaire de vos extensions : si l’auteur indiqué sur WordPress.org change, creusez avant de mettre à jour. Deuxièmement, n’installez que des extensions avec un historique de mises à jour régulières et un support actif. Troisièmement, auditez périodiquement vos extensions avec un scanner de sécurité (Wordfence, Patchstack). Quatrièmement, abonnez-vous aux alertes de sécurité WordPress pour être prévenu en cas de compromission. L’affaire Essential Plugins (31 plugins compromis via Flippa en avril 2026) montre que le répertoire WordPress.org ne vérifie pas les rachats. C’est à vous d’être vigilant.

Article original sur WPFormation