Ce que fait Elementor sur votre site
Elementor remplace l’édition classique d’une page par un éditeur visuel en glisser-déposer : vous placez des conteneurs, puis des widgets (titre, image, bouton, galerie, carrousel, onglets, code HTML…) et vous réglez marges, typographie et couleurs en voyant le résultat. S’y ajoutent des points de rupture personnalisés pour la tablette et le téléphone, un historique des révisions, une bibliothèque de modèles et, depuis la version 4, des styles globaux (variables et classes).
Contrairement à l’éditeur de blocs, Elementor stocke la mise en page dans des métadonnées et ne laisse dans le contenu de l’article qu’une version simplifiée. Sur le site public, il charge ses propres feuilles de style et scripts, et ajoute dans l’en-tête une balise meta name="generator" qui indique sa version.
L’éditeur, Elementor Ltd., est une société israélienne basée à Ramat Gan. L’extension gratuite donne accès à plus de 40 widgets selon l’éditeur ; Elementor Pro, une extension séparée qui s’installe en plus, ajoute le constructeur de thème (en-têtes, pieds de page, archives), les formulaires, les fenêtres surgissantes, le constructeur WooCommerce, le contenu dynamique et le code personnalisé.
Pour quels sites Elementor est un bon choix
Elementor convient quand la mise en forme visuelle compte plus que la légèreté du code :
- Sites vitrines et pages d’atterrissage : une personne sans compétence en code compose des pages soignées, section par section, et les adapte au téléphone.
- Freelances et agences qui livrent des sites à des clients : les modèles, les styles globaux et le gestionnaire de rôle aident à garder une charte cohérente.
- Sites qui veulent tout personnaliser : avec Pro, en-têtes, pieds de page, modèles d’articles et pages de boutique se construisent dans le même éditeur.
Ce n’est pas le meilleur choix pour un blog surtout textuel ou un site où chaque milliseconde compte : l’éditeur de blocs de WordPress suffit souvent, sans dépendre d’une extension pour afficher vos pages. Si vous voulez rester sur Elementor avec un thème léger conçu pour lui, regardez Hello Elementor ; si vous hésitez avec un autre constructeur, comparez avec Divi.
Points forts et limites d’Elementor
Points forts
- Un éditeur visuel complet en gratuit. Conteneurs, widgets de base, points de rupture personnalisés, révisions et modèles sont disponibles sans licence.
- Des réglages de performance intégrés. Images, arrière-plans, polices et cache des éléments se règlent dans un seul onglet, sans extension de plus.
- Un gestionnaire de rôle gratuit. Vous retirez l’accès à l’éditeur à certains rôles et réservez l’envoi de fichiers JSON et le widget HTML à qui en a besoin.
- Un écosystème très large. Thème Hello Elementor, modules complémentaires et tutoriels abondent, et un autre prestataire reprend facilement le site.
Limites
- Les fonctions clés sont dans Pro. Constructeur de thème, formulaires, fenêtres surgissantes, WooCommerce et CSS personnalisé demandent une licence.
- Un site difficile à quitter. La mise en page vit dans les métadonnées d’Elementor : désactivez l’extension et il ne reste qu’une version simplifiée du contenu, sans mise en forme.
- Un hébergement plus exigeant. Elementor demande au moins 256 Mo de mémoire PHP et en recommande 512, davantage avec WooCommerce.
- Une cible fréquente. Des dizaines de failles ont été publiées depuis 2020, surtout des XSS qui exigent un compte contributeur, car l’éditeur lui est ouvert.
- L’offre Pro d’entrée est bridée. L’offre Essential n’enregistre pas les envois de formulaires et n’inclut ni fenêtres surgissantes ni fonctions e-commerce.
Les réglages que nous recommandons pour Elementor
Ces réglages existent dans la version gratuite actuelle, sous Elementor > Réglages (onglets Général, Avancé et Performance) et Elementor > Gestionnaire de rôle. Enregistrez, videz votre cache de page, puis vérifiez.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Permettre les téléversements de fichier non filtré Elementor > Réglages > Avancé | Désactiver (valeur par défaut) | Elementor prévient lui-même qu’autoriser tout fichier, SVG et JSON compris, est un risque de sécurité. |
| Aucun accès à l’éditeur Elementor > Gestionnaire de rôle, pour chaque rôle | Coché pour les rôles qui ne construisent pas de pages (contributeur, par exemple) | La plupart des failles d’Elementor exigent un compte qui peut ouvrir l’éditeur. |
| Activer l’option pour téléverser des fichiers JSON et Activer cette option pour utiliser le widget HTML Même écran, dans chaque rôle | Décoché, sauf besoin réel | Elementor signale que ces deux droits peuvent servir à exécuter des scripts malveillants. |
| Balise de générateur Elementor > Réglages > Avancé | Désactiver | La balise affiche la version d’Elementor et ses fonctions actives, sans aucun intérêt pour vos visiteurs. |
| Types de contenu Elementor > Réglages > Général | Seulement les types que vous construisez avec Elementor (pages et articles par défaut) | Évite d’ouvrir l’éditeur sur des contenus qui n’en ont pas besoin. |
| Méthode d’impression CSS Elementor > Réglages > Performance | Fichier externe (valeur par défaut) | Les styles sont mis en cache par le navigateur au lieu d’alourdir chaque page. |
| Chargement optimisé des images et Chargement différé des images d’arrière-plan Même onglet | Activer (valeurs par défaut) | Accélère l’affichage de la première image et retarde les images situées plus bas dans la page. |
| Charger les polices Google localement Même onglet | Activer si vous utilisez des polices Google | Les polices viennent de votre serveur : plus d’appel aux serveurs de Google à chaque visite, un point utile pour le RGPD. |
- Affichez le code source d’une page construite avec Elementor : la balise
meta name="generator"qui commence par « Elementor » ne doit plus apparaître. - Connectez-vous avec un compte contributeur de test : le bouton « Modifier avec Elementor » ne doit plus être proposé si vous avez retiré l’accès à ce rôle.
- Avec Elementor Pro, vérifiez que la licence est activée sur le site : sans elle, Pro ne reçoit pas ses mises à jour.
La sécurité d’Elementor : des failles d’envoi de fichiers à surveiller
Comme l’éditeur est ouvert aux comptes de rédaction, la plupart des failles d’Elementor exigent un compte contributeur (voir rôles et moindre privilège). Les plus graves touchent l’envoi de fichiers et l’administration :
- CVE-2022-1329, corrigée en 3.6.3 : dans les versions 3.6.0 à 3.6.2, le module d’accueil laissait un simple abonné envoyer un fichier malveillant et exécuter du code (CVSS 8,8).
- CVE-2023-48777, corrigée en 3.18.2 : l’import de modèles des versions 3.3.0 à 3.18.1 permettait à un contributeur d’envoyer un fichier dangereux (CVSS 9,9).
- CVE-2026-62062, corrigée en 4.3.2 : une falsification de requête (CSRF) faisait exécuter des actions de l’API REST par un administrateur connecté qui ouvrait un lien piégé (CVSS 8,8).
- CVE-2026-32475, Elementor Pro, corrigée en 4.2.2 : envoi de fichier sans compte via un formulaire contenant un champ de fichier (CVSS 9,0), exploité dès la publication du correctif.
Elementor gratuit et Elementor Pro se mettent à jour séparément : activez les mises à jour automatiques des deux (voir notre guide des mises à jour automatiques des extensions). La chronologie complète est dans notre article sur les failles de sécurité d’Elementor. La balise generator d’Elementor annonce sa version (voir commentaires HTML et balise generator) : la version gratuite de WP Masquerade la retire, ce qui complique le repérage par les robots qui ciblent ces failles, sans remplacer la mise à jour.
Ce que WP Masquerade masque pour Elementor
Version gratuite Pris en charge par la version gratuite de WP Masquerade
Elementor fait partie des 50 extensions les plus utilisées que la version gratuite connaît. Pro va plus loin en renommant ses fichiers.
Version gratuite
- balise generator
Avec Pro
- nom du dossier
- identifiants de balises
- dossiers de fichiers générés
Reste visible
- identifiants de balises
elementor-frontend-css - variables JavaScript
elementorFrontendConfig, elementorFrontend - classes CSS
elementor-*, e-con - cookies
elementor_pro_login (Elementor Pro login form)
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur Elementor
La version gratuite d’Elementor suffit-elle ?
Pour construire des pages, oui : l’éditeur, les widgets de base, le responsive et les réglages de performance sont gratuits. Il faut Pro pour personnaliser l’en-tête, le pied de page et les modèles d’articles, ou pour créer des formulaires et des fenêtres surgissantes.
Faut-il garder Elementor gratuit quand on installe Elementor Pro ?
Oui. Elementor Pro est une extension complémentaire qui s’appuie sur l’extension gratuite : les deux restent actives et chacune doit être à jour.
Que deviennent mes pages si je désactive Elementor ?
Leur mise en page disparaît : Elementor ne laisse dans le contenu qu’une version simplifiée (titres, textes, images), sans colonnes ni styles. Prévoyez une refonte page par page avant de changer d’outil.
Combien coûte Elementor Pro ?
La page tarifs officielle affiche l’offre Essential à 60 $ US par an pour un site, taxes en sus. L’offre Advanced Solo, à 84 $ US par an pour un site, ajoute l’enregistrement des envois de formulaires, les fenêtres surgissantes et les fonctions e-commerce ; les offres pour 3 et 25 sites coûtent 108 et 204 $ US par an.