Ce que fait Enfold sur votre site
Enfold est un thème WordPress polyvalent édité par Kriesi et vendu sur ThemeForest, la place de marché d’Envato. Il réunit l’apparence du site (en-tête, menus, pied de page, couleurs) et son propre constructeur de pages, l’Advanced Layout Builder. Celui-ci s’ouvre depuis l’écran de modification d’une page ou d’un article, avec le bouton « Advanced Layout Editor », et assemble par glisser-déposer des éléments de mise en page (colonnes, sections de couleur, onglets), de contenu (texte, boutons, portfolio) et de média (galeries, curseurs, vidéos).
Le constructeur n’existe qu’avec le thème. Chaque élément qu’il place est enregistré comme un shortcode dans la page, et il garde ses données à part de l’éditeur de WordPress : on ne passe pas de l’un à l’autre. Le thème ajoute un panneau d’options (menu Enfold), un module de consentement aux cookies, des réglages de performance et l’extension LayerSlider.
Le modèle économique est celui de ThemeForest : un paiement unique par licence, qui comprend les futures mises à jour et 6 mois de support par Kriesi, prolongeable contre paiement. Les mises à jour arrivent dans le tableau de bord une fois le thème relié à votre compte Envato.
Pour quels sites Enfold est un bon choix
Enfold convient surtout à ceux qui veulent un thème complet, payé une fois, avec un constructeur intégré :
- Sites vitrines et sites d’entreprise : mises en page prêtes, portfolio, curseurs et formulaire de contact sont inclus, sans extension de constructeur à ajouter.
- Petites boutiques WooCommerce : le thème est annoncé compatible WooCommerce, ainsi qu’avec WPML, Gravity Forms, bbPress et The Events Calendar.
- Sites européens soucieux du consentement : le module « Privacy and Cookies » bloque Google Maps, Google Fonts, reCAPTCHA et le suivi Google tant que le visiteur ne les a pas acceptés, si vous le réglez ainsi.
- Budgets qui refusent les abonnements : un seul paiement par site, mises à jour comprises.
Ce n’est pas le bon choix si vous voulez pouvoir changer de thème sans refaire vos pages, ni pour une agence qui livre beaucoup de sites : il faut une licence par site. Pour comparer avec un concurrent direct, voyez la fiche d’Avada ou notre guide pour choisir un thème WordPress.
Points forts et limites d’Enfold
Points forts
- Un paiement unique. La licence standard comprend les futures mises à jour, sans abonnement à renouveler.
- Consentement aux cookies intégré. Bandeau ou fenêtre modale, interrupteurs par service et shortcodes pour la page de confidentialité sont fournis par le thème.
- Des réglages de performance concrets. Fichiers minifiés par défaut, chargement des seuls éléments utilisés et désactivation des fonctions inutiles (blog, vidéos externes, emojis).
- Options exportables par onglet. L’onglet « Import/Export » sauvegarde tous les réglages, Quick CSS compris, et peut n’en réimporter qu’une partie.
Limites
- Des pages liées au thème. Les mises en page de l’Advanced Layout Builder sont des shortcodes Enfold : quitter le thème oblige à les reconstruire.
- Une licence par site. La licence standard ThemeForest couvre un seul produit final ; chaque nouveau site demande un nouvel achat.
- Support limité dans le temps. Seuls 6 mois de support sont inclus, la suite est payante.
- Aucune version gratuite. Il faut acheter le thème pour l’essayer sur votre propre site.
- Des failles XSS régulières. Plusieurs failles de script intersite ont été corrigées ces dernières années, dont certaines exploitables sans compte.
Les réglages que nous recommandons pour Enfold
Tous ces réglages se trouvent dans le menu Enfold de l’administration. Les noms des onglets et des options sont donnés en anglais, tels qu’ils apparaissent dans la documentation de Kriesi.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| « Envato private token » Enfold > Theme Update | Renseigné, avec les seules autorisations requises | Sans jeton, WordPress ne propose pas les nouvelles versions ; trois autorisations suffisent aux mises à jour, et un jeton réduit limite les dégâts s’il fuit. |
| « CSS File Compression And Merging » et « Javascript File Compression And Merging » Enfold > Performance > File Compression | Minified files | C’est la valeur par défaut depuis Enfold 5.7, conseillée par Kriesi sur les serveurs en HTTP/2 ; la fusion pose parfois problème selon le serveur. |
| « Disable Template Builder Elements » Enfold > Performance | Load only used elements | Seuls le CSS et le JavaScript des éléments présents sur vos pages sont chargés ; passez à « Always load all elements » si un élément s’affiche sans style. |
| « Disable External Video Features » et « Disable The Blog » Enfold > Performance > Disable Features | Cochés seulement si le site n’a ni vidéos YouTube ou Vimeo, ni blog | Moins de scripts chargés ; laissez-les décochés si une extension utilise ces pages ou ces styles. |
| « Disable Emoji/Smiley Support » Enfold > Performance > Change WordPress Defaults | Coché | Le script de WordPress pour les emojis ne sert qu’aux très vieux navigateurs. |
| Option par défaut des cookies et services Enfold > Privacy and Cookies | Bandeau activé, services bloqués jusqu’à l’accord du visiteur | Par défaut, le thème accepte silencieusement tous les cookies et services au chargement de la page, ce qui ne suffit pas pour un consentement préalable. |
| « Export Theme Settings File » Enfold > Import/Export | Une exportation avant chaque mise à jour, gardée en lieu sûr | Le fichier permet de tout restaurer en un clic, mais il peut contenir des clés (Mailchimp, reCAPTCHA, jeton Envato) : ne le partagez pas. |
- Dans Enfold > Theme Update, vérifiez le message de réussite après l’enregistrement du jeton.
- Après un changement dans l’onglet Performance, videz le cache de votre extension ou de votre hébergeur et contrôlez quelques pages, de préférence sur une copie de préproduction.
- Ouvrez le site dans une fenêtre privée : le bandeau de cookies doit apparaître et Google Maps ou les polices Google ne doivent pas se charger avant votre accord.
La sécurité d’Enfold : des XSS et une fuite de réglages
La plupart des failles publiées pour Enfold sont des XSS, réfléchies ou stockées. Les cas à connaître :
- CVE-2024-5061, versions jusqu’à 6.0.3 : un compte contributeur pouvait injecter du JavaScript via les paramètres
wrapper_classetclass. - CVE-2024-13693, versions jusqu’à 6.0.9 : un visiteur sans compte pouvait exporter tous les réglages du thème, avec la clé API Mailchimp, la clé secrète reCAPTCHA ou le jeton Envato s’ils étaient renseignés.
- CVE-2024-13695, versions jusqu’à 6.0.9 : une SSRF via le paramètre
attachment_id, accessible avec un simple compte abonné. - CVE-2026-48869, corrigée en 7.1.5 : XSS réfléchie exploitable sans compte.
- CVE-2026-84815, corrigée en 8.1 : XSS touchant les versions jusqu’à 8.0.
Si votre site a tourné sur une version 6.0.9 ou antérieure, générez un nouveau jeton Envato et changez les clés Mailchimp et reCAPTCHA. Gardez Enfold à jour par le jeton, et n’achetez le thème que sur ThemeForest : les copies sans licence sont souvent piégées (voir les thèmes « nulled »). WP Masquerade Pro masque le nom du dossier enfold dans les adresses des fichiers, les identifiants de ses feuilles de style et scripts et le dossier uploads/dynamic_avia, mais les noms de fichiers avia-merged-styles-*.css, la variable JavaScript avia_framework_globals et les classes avia-* et av-* restent visibles : c’est une gêne pour les robots, pas un correctif.
Ce que WP Masquerade masque pour Enfold
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Enfold : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- nom du dossier
- identifiants de balises
- dossiers de fichiers générés
Reste visible
- noms de fichiers
avia-merged-styles-*.css - variables JavaScript
avia_framework_globals - classes CSS
avia-*, av-*
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur Enfold
Existe-t-il une version gratuite d’Enfold ?
Non. Enfold se vend sur ThemeForest, à 59 $ US hors taxes pour une licence standard valable sur un site.
Faut-il payer chaque année pour recevoir les mises à jour ?
Non. Les futures mises à jour sont comprises dans la licence. Seul le support est limité à 6 mois, puis prolongeable contre paiement.
Comment recevoir les mises à jour d’Enfold dans WordPress ?
Créez un jeton personnel sur votre compte Envato, puis saisissez-le dans Enfold > Theme Update. Les nouvelles versions apparaissent ensuite dans Tableau de bord > Mises à jour.
Peut-on quitter Enfold sans refaire ses pages ?
Pas vraiment. Les pages construites avec l’Advanced Layout Builder sont faites de shortcodes Enfold, qui ne s’affichent plus correctement avec un autre thème. Les pages écrites avec l’éditeur de WordPress, elles, se conservent.
Enfold suffit-il pour le consentement aux cookies ?
Il fournit le bandeau, la fenêtre de choix et le blocage de ses propres services externes. Les cookies ajoutés par d’autres extensions doivent être déclarés à la main, et Kriesi rappelle que la conformité reste la responsabilité du propriétaire du site.