Ce que fait l’extension Brevo sur votre site
L’extension Brevo relie WordPress à un compte Brevo, la plateforme française de marketing par e-mail, SMS et notifications anciennement appelée Sendinblue. Elle ne fonctionne qu’avec une clé API v3, à saisir dans Brevo > Page d’accueil : vos contacts, vos modèles d’e-mails et vos statistiques restent chez Brevo, l’extension sert de pont.
Une fois connectée, elle fait quatre choses. Elle crée des formulaires d’inscription (rubrique Formulaires) à placer par widget ou par le shortcode [sibwp_form], avec double opt-in, note de conformité, case d’acceptation des CGU et captcha Google ou Cloudflare. Elle peut remplacer la fonction wp_mail de WordPress pour envoyer tous les e-mails du site (mots de passe, notifications, commandes) par l’API de Brevo. Elle synchronise les comptes WordPress choisis par rôle vers une liste Brevo. Enfin, elle active sur demande le script de suivi de Brevo et les notifications push web.
L’extension est gratuite ; c’est le compte Brevo qui est facturé. L’offre gratuite, sans carte bancaire, permet d’envoyer 300 e-mails par jour. L’intégration WooCommerce (paniers abandonnés, synchronisation des commandes) passe par une extension séparée, Brevo for WooCommerce.
Pour quels sites l’extension Brevo est un bon choix
Brevo convient quand vous voulez un seul prestataire pour la newsletter et les e-mails du site :
- Sites vitrines et blogs qui lancent une newsletter : formulaire, double opt-in et envoi des campagnes depuis l’éditeur de Brevo, sans serveur d’envoi à gérer.
- Sites dont les e-mails arrivent mal : les messages de WordPress partent par l’API de Brevo au lieu de la fonction mail de l’hébergeur.
- Sites à comptes d’utilisateurs : la synchronisation par rôle envoie abonnés ou membres vers une liste, avec correspondance des attributs (prénom, nom, date d’inscription).
Ce n’est pas le bon choix si vous voulez garder vos contacts dans la base de WordPress, sans service externe : MailPoet stocke ses abonnés dans WordPress. Si vous avez seulement besoin d’un relais pour les e-mails du site, une extension dédiée comme WP Mail SMTP fonctionne avec plusieurs prestataires, dont Brevo.
Points forts et limites de l’extension Brevo
Points forts
- Newsletter et e-mails du site au même endroit. Une seule clé API couvre les formulaires, les campagnes et l’envoi des messages de WordPress.
- Des formulaires complets sans supplément. Double opt-in, note de conformité, case CGU, inscription à plusieurs listes et captcha Google ou Cloudflare sont dans l’extension.
- Synchronisation des utilisateurs par rôle. Vous choisissez les rôles, la liste de destination et la correspondance des attributs.
- Une offre gratuite pour démarrer. 300 e-mails par jour sans carte bancaire, assez pour tester et pour un petit site.
Limites
- Un premier palier payant étroit. Starter commence à 7 € par mois pour 5 000 e-mails par mois, mais avec 500 contacts au plus à ce palier.
- Automatisation et suivi web payants. Les workflows et le suivi du comportement des visiteurs figurent à partir de l’offre Standard, comme le retrait du logo Brevo.
- Échecs d’envoi invisibles côté WordPress. Dans le code actuel, la fonction
wp_mailde Brevo répond « envoyé » même quand l’API refuse le message : seuls les journaux de Brevo montrent l’échec. - Un seul relais à la fois. L’envoi par Brevo remplace
wp_mailentièrement ; si une autre extension l’a déjà déclarée, Brevo affiche une alerte et ne prend pas l’envoi en charge.
Les réglages que nous recommandons pour Brevo
Ces réglages existent dans la version actuelle de l’extension, menu Brevo du tableau de bord. Les réglages de formulaire se trouvent dans Brevo > Formulaires, en modifiant chaque formulaire.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Activer les emails avec Brevo Brevo > Page d’accueil > Emails transactionnels | Oui, si aucune autre extension SMTP n’est active | Les e-mails de WordPress passent par Brevo ; avec deux relais, l’un des deux est ignoré. |
| Choisissez votre expéditeur Même écran | Une adresse de votre domaine déclarée comme expéditeur dans Brevo | Une adresse cohérente avec le site limite le classement en indésirables. |
| Entrer une adresse email pour envoyer un test Même écran | Votre propre adresse, après chaque changement | Le test est le seul moyen simple de voir qu’un envoi aboutit vraiment. |
| Activer Marketing Automation via Brevo Brevo > Page d’accueil > Automation | Non, sauf si vous utilisez les workflows de Brevo | Le script de suivi se charge depuis les serveurs de Brevo sur les pages publiques et suit les visiteurs : il relève du consentement. |
| Double Opt-In Brevo > Formulaires > votre formulaire | Oui | Chaque inscrit confirme son adresse : liste plus propre et preuve du consentement. |
| Ajouter un Captcha Même écran | Oui, Cloudflare Captcha ou Captcha Google | Bloque les inscriptions de robots qui gonflent la liste et déclenchent des e-mails de confirmation inutiles. |
| Ajouter une note de conformité Même écran | Oui | Informe l’inscrit de l’usage de ses données au moment de la collecte. |
| Rôles à synchroniser Brevo > Page d’accueil > Synchronisation des utilisateurs | Seulement les rôles qui ont accepté de recevoir vos e-mails | Tous les rôles sont cochés par défaut, administrateurs compris. |
- Envoyez l’e-mail de test, puis vérifiez qu’il apparaît dans les journaux d’e-mails transactionnels de votre compte Brevo.
- Demandez une réinitialisation de mot de passe depuis la page de connexion : l’e-mail doit arriver avec l’expéditeur choisi.
- Inscrivez-vous avec une adresse de test : l’e-mail de confirmation du double opt-in doit arriver, et le contact n’entre dans la liste qu’après le clic.
- Si l’automatisation est désactivée, affichez le code source d’une page : le script
sdk-loader.jsde Brevo ne doit pas apparaître.
La sécurité de l’extension Brevo : des failles moyennes, dont une sans compte
Les failles publiées pour cette extension sont de gravité moyenne, mais la plus récente ne demandait aucun compte. Les cas à connaître :
- CVE-2025-14799, corrigée en 3.3.1 : une comparaison trop souple sur une route de l’API REST permettait à un visiteur anonyme de déconnecter Brevo, d’effacer la clé API, de supprimer les formulaires et de réinitialiser les réglages (CVSS 6,5).
- CVE-2024-8477, corrigée en 3.1.88 : une attaque CSRF pouvait déconnecter le compte Brevo si un administrateur cliquait sur un lien piégé (CVSS 4,3).
- CVE-2026-15297, corrigée en 3.1.78 : XSS réfléchie via un paramètre d’adresse, exploitable sans compte par un lien piégé (CVSS 6,1).
La version 3.3.5 ajoute aussi des contrôles de droits sur plusieurs routes de réglages, que des comptes auteur ou contributeur pouvaient atteindre. Activez les mises à jour automatiques de l’extension (voir notre guide des mises à jour automatiques des extensions). WP Masquerade Pro remplace les adresses du dossier /wp-content/plugins/mailin/ et les identifiants de ses scripts, ce qui complique le repérage de l’extension par les robots qui visent ces failles, sans remplacer la mise à jour.
Ce que WP Masquerade masque pour Brevo (Sendinblue)
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Brevo (Sendinblue) : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
- variables JavaScript
ajax_sib_front_object, sibErrMsg - classes CSS
sib-* - fichiers servis par l’éditeur
sibautomation.com
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur l’extension Brevo
L’extension Brevo est-elle gratuite ?
Oui, l’extension est gratuite, mais elle exige un compte Brevo. L’offre gratuite permet 300 e-mails par jour ; l’offre Starter commence à 7 € par mois pour 5 000 e-mails par mois.
Peut-on garder WP Mail SMTP ou FluentSMTP avec Brevo ?
Oui, à condition de laisser « Activer les emails avec Brevo » sur Non : l’extension SMTP envoie alors les e-mails du site, et Brevo ne gère que les formulaires et les contacts. N’activez jamais les deux relais en même temps.
L’extension Brevo suffit-elle pour WooCommerce ?
Non. Paniers abandonnés et synchronisation des commandes passent par l’extension séparée Brevo for WooCommerce, également gratuite sur wordpress.org.
Les formulaires Brevo respectent-ils le RGPD ?
Ils en donnent les outils : double opt-in, note de conformité et case d’acceptation des conditions. Le consentement reste votre responsabilité, y compris pour le script de suivi si vous l’activez.