Ce que fait Forminator sur votre site
Forminator est le constructeur de formulaires de WPMU DEV, publié sur wordpress.org depuis 2018. Les formulaires se composent par glisser-déposer dans l’administration, à partir d’un modèle ou d’une page blanche, puis s’insèrent avec le bloc Forminator ou un code court. La même extension gère aussi des sondages avec résultats en direct et des quiz, avec formulaire de contact intégré pour collecter des prospects.
La version gratuite va loin : logique conditionnelle, champs de calcul, envoi de plusieurs fichiers, groupes de champs répétables, formulaires d’inscription et de connexion, sauvegarde d’un brouillon pour finir plus tard, paiements Stripe et PayPal. Les envois sont enregistrés dans la base de données et consultables dans Forminator > Entrées. Un assistant importe les formulaires de Contact Form 7, et des intégrations natives envoient les données vers Mailchimp, HubSpot, Google Sheets, Slack, Trello ou un webhook (Zapier, Make, n8n).
Le modèle économique repose sur Forminator Pro, vendu par WPMU DEV à partir de 50 $ par an pour un site, 75 $ pour 3 sites et 100 $ pour 10 sites. Pro ajoute quatre fonctions : abonnements Stripe, génération de PDF, géolocalisation avec saisie automatique d’adresse et champ de signature électronique. Un compte WPMU DEV gratuit, relié par le Hub, débloque aussi les modèles dans le cloud.
Pour quels sites Forminator est un bon choix
- Petites entreprises et associations qui veulent encaisser un acompte, un don ou une commande simple par Stripe ou PayPal sans payer de licence.
- Sites de devis et de réservation : champs de calcul pour un estimateur de prix, limites de dates dans le calendrier, formulaires en plusieurs étapes.
- Médias et sites de contenu qui veulent des sondages et des quiz sans ajouter une deuxième extension.
- Sites qui quittent Contact Form 7 pour garder les messages dans l’administration et gagner un éditeur visuel.
Ce n’est pas le meilleur choix pour un site qui n’a besoin que d’un formulaire de contact : chaque module (paiements, inscriptions, sondages, quiz) ajoute du code à surveiller, et l’extension reçoit des correctifs de sécurité très fréquents. Si vous ne pouvez pas appliquer les mises à jour rapidement, une extension plus simple réduit le risque. Pour comparer un autre constructeur visuel, voyez notre fiche WPForms.
Points forts et limites de Forminator
Points forts
- Version gratuite très complète. Logique conditionnelle, calculs, envoi multiple de fichiers et paiements Stripe et PayPal ne demandent pas de licence.
- Anti-spam au choix. reCAPTCHA, hCaptcha, Cloudflare Turnstile, champ pot de miel, Akismet et listes d’adresses ou de domaines autorisés ou bloqués.
- Envois conservés et réglables. Les entrées restent dans l’administration, avec des durées de conservation des envois et des adresses IP à fixer pour le RGPD.
- Pro peu coûteux. Les quatre fonctions payantes coûtent 50 $ par an pour un site.
Limites
- Failles nombreuses. Patchstack recense plus de soixante-dix failles corrigées, dont une trentaine publiées entre mi-août et début novembre 2026.
- Conservation illimitée par défaut. Envois et adresses IP sont gardés pour toujours tant que vous ne fixez pas de durée.
- Fichiers larges par défaut. Un champ d’envoi accepte tous les types que WordPress autorise, hors une liste de types dangereux bloqués par l’extension.
- Fonctions réservées à Pro. Abonnements Stripe, PDF des envois, signature électronique et géolocalisation sont payants.
- Écosystème WPMU DEV. Les modèles dans le cloud exigent de relier le site au Hub avec un compte WPMU DEV.
Les réglages que nous recommandons pour Forminator
Les réglages généraux se trouvent dans Forminator > Réglages ; ceux d’un formulaire, dans son éditeur, onglet Comportement. Les libellés ci-dessous sont ceux de la traduction française de l’extension.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Conservation des soumissions Forminator > Réglages > Entrées > Confidentialité des formulaires | Une durée personnalisée adaptée à votre usage, par exemple 12 mois | Par défaut, tout est gardé pour toujours ; une durée limitée est attendue par le RGPD. |
| Conservation de l’IP Même écran, formulaires et sondages | Durée courte, par exemple 1 mois | Les sondages utilisent l’IP pour bloquer les votes multiples : une durée trop courte rouvre le vote. |
| Protection Pot de Miel (Honeypot) Éditeur du formulaire > Comportement > Sécurité | Activée sur chaque formulaire | Un pot de miel piège les robots sans gêner les visiteurs. |
| Cloudflare Turnstile Forminator > Réglages > CAPTCHA | Clé du site et Clé secrète, puis un champ Captcha avec ce fournisseur dans le formulaire | Turnstile est gratuit et ne demande en général aucune action au visiteur. |
| Protection Akismet Comportement > Sécurité | Activée, en mode « Marquer comme indésirable » | Les envois douteux restent consultables avec le filtre Spam des entrées au lieu d’être perdus ; Akismet doit être actif avec une clé. |
| Types de fichiers Champ Téléversement de fichier > Réglages | Types de fichiers spécifiques : seulement ceux attendus (par exemple PDF), avec une limite de taille de fichier | Réduit ce qu’un attaquant peut déposer dans wp-content/uploads/forminator/. |
| Méthode de téléversement Champ Téléversement de fichier en mode multiple | Lors de la soumission du formulaire | En mode AJAX, les fichiers arrivent sur le serveur même si le formulaire n’est jamais envoyé. |
| Adresse e-mail de l’expéditeur Forminator > Réglages > Général > En-têtes de l’expéditeur | Une adresse du domaine du site ; E-mail de réponse {email-1} dans l’onglet Avancé de la notification | Une adresse externe finit en spam. Avec une extension comme WP Mail SMTP, laissez l’expéditeur du SMTP s’appliquer. |
| Charger le formulaire à l’aide d’AJAX Comportement > Rendu | Activé si une extension de cache met les pages en cache | Évite qu’un formulaire mis en cache échoue à l’envoi ; testez un envoi après le changement. |
- Envoyez un formulaire de test et vérifiez la notification dans la boîte de réception, puis l’entrée dans Forminator > Entrées.
- Activez les mises à jour automatiques de Forminator dans Extensions > Extensions installées.
- Dans Forminator > Réglages > Permissions, ne donnez l’accès aux entrées qu’aux rôles qui en ont besoin.
Les failles de Forminator et le rythme de ses correctifs
Les failles les plus graves de Forminator touchent les fichiers envoyés par les formulaires. CVE-2023-4596, notée 9,8, permettait sans compte d’envoyer un fichier arbitraire sur le serveur, jusqu’à la version 1.24.6. CVE-2024-28890, un envoi de fichiers dangereux, a été corrigée en 1.29.0. CVE-2025-6463, notée 8,8, permettait d’inscrire dans un envoi le chemin d’un fichier du serveur, supprimé ensuite avec cet envoi, jusqu’à la version 1.44.2.
Depuis août 2026, l’extension enchaîne les versions de sécurité : envoi de fichiers sans authentification, exécution de codes courts, élévation de privilèges, XSS stockées. L’éditeur passe par le programme de divulgation de Patchstack, et à la date de rédaction aucune faille connue n’est ouverte dans la version 1.58.4. Avec ce rythme, une version de retard suffit à exposer le site : la mise à jour automatique est le réglage le plus utile (voir notre guide des mises à jour automatiques des extensions).
WP Masquerade Pro retire une partie des traces qui signalent Forminator aux robots (la section suivante précise lesquelles), ce qui complique son repérage sans remplacer le correctif.
Ce que WP Masquerade masque pour Forminator
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Forminator : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
- variables JavaScript
ForminatorFront - classes CSS
forminator-ui, forminator-custom-form
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur Forminator
Forminator est-il vraiment gratuit ?
Oui, la version de wordpress.org suffit pour des formulaires avec logique conditionnelle, calculs et paiements Stripe ou PayPal. Forminator Pro, à partir de 50 $ par an pour un site, ajoute les abonnements Stripe, les PDF, la signature électronique et la géolocalisation.
Peut-on ne pas enregistrer les envois dans la base de données ?
Oui : dans l’onglet Réglages du formulaire, la section Stockage de données permet de désactiver l’enregistrement. Avec un champ Stripe, les envois en attente de paiement restent stockés le temps du paiement. Pour fixer vos durées de conservation, voyez notre article sur le RGPD et la sécurité de WordPress.
Comment passer de Contact Form 7 à Forminator ?
Forminator > Réglages > Importer importe tous les formulaires de Contact Form 7 ou une sélection. Le CAPTCHA et les réglages additionnels ne sont pas repris : reconfigurez-les, puis testez chaque formulaire.
Pourquoi les notifications n’arrivent-elles pas ?
Vérifiez d’abord que WordPress envoie bien ses propres e-mails, par exemple une réinitialisation de mot de passe. L’éditeur recommande ensuite un envoi par SMTP et, dans ce cas, de laisser vide l’adresse de l’expéditeur de la notification.
Quelles versions de WordPress et de PHP faut-il ?
Forminator demande WordPress 6.4 et PHP 7.4 au minimum.