Ce que fait FluentSMTP sur votre site
Par défaut, WordPress envoie ses e-mails avec la fonction mail de PHP du serveur : envoi souvent non authentifié, limité ou bloqué par l’hébergeur, et classé en indésirable. FluentSMTP remplace la fonction wp_mail() et confie chaque message au service que vous avez connecté : Amazon SES, Gmail, Microsoft 365, SendGrid, Mailgun, Postmark, Brevo, une quinzaine en tout, ou n’importe quel serveur SMTP. Quand le service a une API, l’extension l’utilise plutôt que SMTP. Les autres extensions n’ont rien à changer.
Vous pouvez déclarer plusieurs connexions : chaque e-mail part par celle qui correspond à son adresse d’expéditeur, les autres par la connexion par défaut, puis par une connexion de secours si la première échoue. Un journal enregistre chaque envoi avec ses en-têtes, son contenu et la réponse du serveur, et permet de renvoyer un message. Depuis la version 2.3, une vérification quotidienne signale une connexion cassée (jeton OAuth expiré, clé révoquée), et des commandes WP-CLI envoient un test, contrôlent les connexions ou purgent le journal.
L’éditeur, WPManageNinja LLC, publie aussi Fluent Forms et FluentCRM. FluentSMTP est entièrement gratuit et open source : l’éditeur s’engage publiquement à ne jamais sortir de version Pro, et toutes les connexions et fonctions sont dans l’extension de wordpress.org.
Pour quels sites FluentSMTP est un bon choix
FluentSMTP convient dès que les e-mails de WordPress doivent arriver et que vous voulez pouvoir le prouver :
- Sites à formulaires : avec l’adresse d’expéditeur forcée, les messages partent d’une adresse de votre domaine, et le journal montre ce qui a été envoyé quand un client dit n’avoir rien reçu.
- Boutiques et sites à comptes clients : confirmations de commande et liens de mot de passe passent par un service transactionnel, avec une connexion de secours si le premier tombe.
- Petits budgets : Amazon SES, Microsoft 365, le journal et les alertes sont gratuits, là où d’autres extensions SMTP les réservent à une version payante.
- Agences : identifiants dans
wp-config.php, commandes WP-CLI et alertes Slack, Telegram, Discord ou Pushover.
Ce n’est pas le bon choix si vous voulez être guidé par un assistant de configuration : WP Mail SMTP en propose un, avec une offre Pro payante. Et si votre hébergeur fournit déjà un relais SMTP authentifié bien configuré, une extension n’est pas toujours nécessaire.
Points forts et limites de FluentSMTP
Points forts
- Tout est gratuit. Journal, renvoi, routage, secours, alertes et connexions Amazon SES ou Microsoft 365 n’exigent aucune licence.
- Routage et secours. Une connexion par adresse d’expéditeur, une par défaut et une de secours qui prend le relais en cas d’échec.
- Des pannes détectées tôt. Le contrôle quotidien des connexions et les alertes d’échec préviennent avant qu’un client ne se plaigne.
- Des secrets protégés. Les identifiants peuvent rester dans
wp-config.php; ceux enregistrés en base sont chiffrés avec les clés de sécurité de WordPress. - Migration rapide. L’extension détecte les réglages de WP Mail SMTP ou d’Easy WP SMTP et propose de les importer.
Limites
- Traduction française incomplète. Moins de la moitié des textes de la version actuelle sont traduits : l’interface peut mélanger français et anglais.
- Un journal sensible. Il conserve le contenu complet des e-mails, et deux failles XSS sont déjà passées par lui (2023 et 2026).
- Gmail et Outlook plus techniques. La connexion OAuth demande de créer votre propre application dans Google Cloud ou Microsoft Entra.
- Une seule extension SMTP à la fois. Si une autre extension a déjà remplacé
wp_mail(), FluentSMTP ne peut pas fonctionner et l’affiche en erreur.
Les réglages que nous recommandons pour FluentSMTP
Tout se règle dans Réglages > FluentSMTP. La traduction étant partielle, nous donnons entre parenthèses le libellé anglais quand l’interface risque de l’afficher tel quel. Avant tout, publiez les enregistrements SPF et DKIM demandés par votre service d’envoi dans la zone DNS de votre domaine.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Type de connexion FluentSMTP > Réglages, liste des connexions | L’API d’un service transactionnel, sinon le SMTP authentifié de l’hébergeur | L’API évite les ports SMTP souvent bloqués et renvoie des erreurs plus claires. |
| « Force From Email (recommended) » Fiche de la connexion | Activé (valeur par défaut) | Tous les e-mails partent de l’adresse vérifiée de votre domaine, même si une extension en indique une autre. |
| Définissez le chemin de retour qui correspond à l’adresse de l’expéditeur Fiche de la connexion (SMTP, Amazon SES...) | Activé (valeur par défaut) | Les avis de non-remise reviennent à votre adresse d’expéditeur au lieu de se perdre. |
| « Store in wp-config.php » Fiche de la connexion, choix du stockage des clés | Choisi, si vous pouvez modifier wp-config.php | Recommandé par l’éditeur : mot de passe ou clé d’API sortent de la base de données (voir nos réglages de sécurité de wp-config.php). |
| Désactiver le chiffrement de la clé ou du mot de passe Fiche de la connexion | Non coché (valeur par défaut) | À cocher seulement si une extension de sécurité renouvelle les clés de WordPress, ce qui rendrait la valeur chiffrée illisible. |
| Journal des e-mails (Log Emails) FluentSMTP > Réglages > Réglages généraux | Activé (valeur par défaut) | Indispensable pour prouver un envoi et renvoyer un message perdu. |
| Supprimer les journaux (Delete Logs) Même encadré | Après 14 jours (valeur par défaut) ou 30 jours | Le journal garde le contenu des messages, y compris liens de mot de passe et données de formulaires : gardez-le court. |
| Connexion de secours (Set as Fallback) FluentSMTP > Réglages, sur une seconde connexion | Un autre service que la connexion par défaut | Si le service principal refuse un message, le second l’envoie. |
| Simulation d’e-mail (Email Simulation) FluentSMTP > Réglages > Réglages généraux | Désactivé en production, activé sur une copie de test | Aucun e-mail ne part, mais chaque message est écrit dans le journal. |
- Depuis l’écran Réglages de FluentSMTP, envoyez un e-mail de test vers une boîte externe (Gmail, Outlook) : il doit arriver en boîte de réception.
- Ouvrez les en-têtes du message reçu : SPF, DKIM et DMARC doivent afficher
pass. - Envoyez un vrai formulaire et demandez une réinitialisation de mot de passe, puis vérifiez les deux lignes dans le journal.
- Configurez au moins un canal dans Alertes, puis lancez
wp fluent-smtp healthsi WP-CLI est disponible. - Désactivez l’ancienne extension SMTP après l’import de ses réglages.
La sécurité de FluentSMTP : le journal des e-mails en première ligne
Les failles publiées sont corrigées, mais deux étaient exploitables sans compte. Le journal revient souvent : un e-mail piégé y dépose un script exécuté quand un administrateur le consulte (faille XSS stockée).
- CVE-2024-9511, corrigée en 2.2.83 : injection d’objet PHP sans compte (CVSS 9,8). L’extension ne contenait pas elle-même de chaîne exploitable ; le danger venait d’une autre extension ou d’un thème qui en fournirait une.
- CVE-2026-16636, corrigée en 2.3.0 : XSS stockée sans compte via le nom d’un destinataire, affiché sans échappement dans le journal (CVSS 7,2).
- CVE-2023-0219, corrigée en 2.2.3 : XSS stockée via le contenu d’un e-mail, à condition qu’une autre extension laisse envoyer du HTML non filtré.
- CVE-2025-24739, corrigée en 2.2.81 : falsification de requête (CSRF) permettant de faire exécuter une action à un administrateur connecté (CVSS 4,3).
L’enjeu dépasse l’extension : elle détient les accès à votre service d’envoi, qu’un intrus pourrait utiliser pour expédier du spam ou de l’hameçonnage au nom de votre domaine. Préférez une clé d’API limitée à l’envoi quand le service le permet, limitez le nombre d’administrateurs et activez les mises à jour automatiques des extensions. WP Masquerade Pro prend en charge FluentSMTP, mais l’encadré ci-dessous ne liste aucune trace à retirer de vos pages : la mise à jour reste la vraie protection.
Ce que WP Masquerade masque pour FluentSMTP
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à FluentSMTP : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
Rien de plus
Reste visible
Aucune trace connue
Questions fréquentes sur FluentSMTP
FluentSMTP est-il vraiment gratuit ?
Oui. Il n’existe ni version Pro ni module payant, et l’éditeur s’engage à n’en jamais publier. Seul le service d’envoi que vous connectez (Amazon SES, Postmark...) peut être payant, selon votre volume.
Peut-on passer de WP Mail SMTP à FluentSMTP sans tout ressaisir ?
Oui. À l’ouverture de Réglages > FluentSMTP, l’extension détecte la configuration de WP Mail SMTP ou d’Easy WP SMTP et propose un bouton d’import. Désactivez ensuite l’ancienne extension, car une seule peut remplacer wp_mail().
Peut-on envoyer avec Gmail sans créer d’application Google ?
Oui, en choisissant une connexion SMTP vers le serveur de Gmail avec un mot de passe d’application. La connexion par l’API Gmail, plus robuste, passe par OAuth et demande une application dans Google Cloud.