--- title: "Forminator" description: "Forminator : pour qui il convient, ses limites (failles fréquentes, conservation illimitée), réglages anti-spam, RGPD et fichiers, prix de Forminator Pro." language: "fr" locale: "fr-FR" type: "plugin-sheet" canonical: "https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/forminator/" published: "2026-11-04T08:00:00+00:00" modified: "2026-11-05T21:09:03+00:00" translations: fr-FR: "https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/forminator/index.md" en-US: "https://www.wp-masquerade.com/features/camouflaged-plugins/forminator/index.md" es-ES: "https://www.wp-masquerade.com/es/funcionalidades/plugins-camuflados/forminator/index.md" de-DE: "https://www.wp-masquerade.com/de/funktionen/getarnte-plugins/forminator/index.md" it-IT: "https://www.wp-masquerade.com/it/funzionalita/plugin-camuffati/forminator/index.md" pt-BR: "https://www.wp-masquerade.com/pt/recursos/plugins-wordpress-camuflados/forminator/index.md" nl-NL: "https://www.wp-masquerade.com/nl/functies/gecamoufleerde-plugins/forminator/index.md" --- # Forminator Forminator est le constructeur de formulaires gratuit de WPMU DEV, avec paiements, sondages et quiz inclus. Cette fiche montre pour qui il convient, ses limites réelles, les réglages anti-spam, RGPD et fichiers à appliquer et pourquoi ses mises à jour de sécurité comptent autant. ## L’essentiel - Idéal pour encaisser par Stripe ou PayPal, calculer un devis ou lancer un sondage sans payer de licence. - Limite principale : des failles corrigées très souvent, qui imposent des mises à jour rapides. - Gratuite ; Forminator Pro dès 50 $ par an pour un site, avec PDF, signature et abonnements Stripe. ## Ce que fait Forminator sur votre site Forminator est le constructeur de formulaires de WPMU DEV, publié sur wordpress.org depuis 2018. Les formulaires se composent par glisser-déposer dans l’administration, à partir d’un modèle ou d’une page blanche, puis s’insèrent avec le bloc Forminator ou un code court. La même extension gère aussi des sondages avec résultats en direct et des quiz, avec formulaire de contact intégré pour collecter des prospects. La version gratuite va loin : logique conditionnelle, champs de calcul, envoi de plusieurs fichiers, groupes de champs répétables, formulaires d’inscription et de connexion, sauvegarde d’un brouillon pour finir plus tard, paiements Stripe et PayPal. Les envois sont enregistrés dans la base de données et consultables dans Forminator > Entrées. Un assistant importe les formulaires de [Contact Form 7](https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/contact-form-7/), et des intégrations natives envoient les données vers Mailchimp, HubSpot, Google Sheets, Slack, Trello ou un webhook (Zapier, Make, n8n). Le modèle économique repose sur Forminator Pro, vendu par WPMU DEV à partir de 50 $ par an pour un site, 75 $ pour 3 sites et 100 $ pour 10 sites. Pro ajoute quatre fonctions : abonnements Stripe, génération de PDF, géolocalisation avec saisie automatique d’adresse et champ de signature électronique. Un compte WPMU DEV gratuit, relié par le Hub, débloque aussi les modèles dans le cloud. ![Schéma : Forminator agit sur visiteurs et robots, wordpress, services externes. Traces publiques : nom du dossier (masqué avec Pro); identifiants de balises (masqué avec Pro); variables JavaScript (reste visible); classes CSS (reste visible).](https://www.wp-masquerade.com/media/wpm-sheets/forminator/diagram-fr.svg?v=3f5a6444) ## Pour quels sites Forminator est un bon choix - **Petites entreprises et associations** qui veulent encaisser un acompte, un don ou une commande simple par Stripe ou PayPal sans payer de licence. - **Sites de devis et de réservation** : champs de calcul pour un estimateur de prix, limites de dates dans le calendrier, formulaires en plusieurs étapes. - **Médias et sites de contenu** qui veulent des sondages et des quiz sans ajouter une deuxième extension. - **Sites qui quittent Contact Form 7** pour garder les messages dans l’administration et gagner un éditeur visuel. Ce n’est pas le meilleur choix pour un site qui n’a besoin que d’un formulaire de contact : chaque module (paiements, inscriptions, sondages, quiz) ajoute du code à surveiller, et l’extension reçoit des correctifs de sécurité très fréquents. Si vous ne pouvez pas appliquer les mises à jour rapidement, une extension plus simple réduit le risque. Pour comparer un autre constructeur visuel, voyez notre fiche [WPForms](https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/wpforms/). ## Points forts et limites de Forminator ### Points forts - **Version gratuite très complète.** Logique conditionnelle, calculs, envoi multiple de fichiers et paiements Stripe et PayPal ne demandent pas de licence. - **Anti-spam au choix.** reCAPTCHA, hCaptcha, Cloudflare Turnstile, champ pot de miel, Akismet et listes d’adresses ou de domaines autorisés ou bloqués. - **Envois conservés et réglables.** Les entrées restent dans l’administration, avec des durées de conservation des envois et des adresses IP à fixer pour le RGPD. - **Pro peu coûteux.** Les quatre fonctions payantes coûtent 50 $ par an pour un site. ### Limites - **Failles nombreuses.** Patchstack recense plus de soixante-dix failles corrigées, dont une trentaine publiées entre mi-août et début novembre 2026. - **Conservation illimitée par défaut.** Envois et adresses IP sont gardés pour toujours tant que vous ne fixez pas de durée. - **Fichiers larges par défaut.** Un champ d’envoi accepte tous les types que WordPress autorise, hors une liste de types dangereux bloqués par l’extension. - **Fonctions réservées à Pro.** Abonnements Stripe, PDF des envois, signature électronique et géolocalisation sont payants. - **Écosystème WPMU DEV.** Les modèles dans le cloud exigent de relier le site au Hub avec un compte WPMU DEV. ## Les réglages que nous recommandons pour Forminator Les réglages généraux se trouvent dans Forminator > Réglages ; ceux d’un formulaire, dans son éditeur, onglet Comportement. Les libellés ci-dessous sont ceux de la traduction française de l’extension. | Réglage | Valeur conseillée | Pourquoi | | --- | --- | --- | | **Conservation des soumissions** Forminator > Réglages > Entrées > Confidentialité des formulaires | Une durée personnalisée adaptée à votre usage, par exemple 12 mois | Par défaut, tout est gardé pour toujours ; une durée limitée est attendue par le RGPD. | | **Conservation de l’IP** Même écran, formulaires et sondages | Durée courte, par exemple 1 mois | Les sondages utilisent l’IP pour bloquer les votes multiples : une durée trop courte rouvre le vote. | | **Protection Pot de Miel (Honeypot)** Éditeur du formulaire > Comportement > Sécurité | Activée sur chaque formulaire | Un [pot de miel](https://www.wp-masquerade.com/fr/definitions/honeypot/) piège les robots sans gêner les visiteurs. | | **Cloudflare Turnstile** Forminator > Réglages > CAPTCHA | Clé du site et Clé secrète, puis un champ Captcha avec ce fournisseur dans le formulaire | Turnstile est gratuit et ne demande en général aucune action au visiteur. | | **Protection Akismet** Comportement > Sécurité | Activée, en mode « Marquer comme indésirable » | Les envois douteux restent consultables avec le filtre Spam des entrées au lieu d’être perdus ; Akismet doit être actif avec une clé. | | **Types de fichiers** Champ Téléversement de fichier > Réglages | Types de fichiers spécifiques : seulement ceux attendus (par exemple PDF), avec une limite de taille de fichier | Réduit ce qu’un attaquant peut déposer dans `wp-content/uploads/forminator/`. | | **Méthode de téléversement** Champ Téléversement de fichier en mode multiple | Lors de la soumission du formulaire | En mode AJAX, les fichiers arrivent sur le serveur même si le formulaire n’est jamais envoyé. | | **Adresse e-mail de l’expéditeur** Forminator > Réglages > Général > En-têtes de l’expéditeur | Une adresse du domaine du site ; E-mail de réponse `{email-1}` dans l’onglet Avancé de la notification | Une adresse externe finit en spam. Avec une extension comme [WP Mail SMTP](https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/wp-mail-smtp/), laissez l’expéditeur du SMTP s’appliquer. | | **Charger le formulaire à l’aide d’AJAX** Comportement > Rendu | Activé si une extension de cache met les pages en cache | Évite qu’un formulaire mis en cache échoue à l’envoi ; testez un envoi après le changement. | - Envoyez un formulaire de test et vérifiez la notification dans la boîte de réception, puis l’entrée dans Forminator > Entrées. - Activez les mises à jour automatiques de Forminator dans Extensions > Extensions installées. - Dans Forminator > Réglages > Permissions, ne donnez l’accès aux entrées qu’aux rôles qui en ont besoin. ## Les failles de Forminator et le rythme de ses correctifs Les failles les plus graves de Forminator touchent les fichiers envoyés par les formulaires. CVE-2023-4596, notée 9,8, permettait sans compte d’envoyer un fichier arbitraire sur le serveur, jusqu’à la version 1.24.6. CVE-2024-28890, un envoi de fichiers dangereux, a été corrigée en 1.29.0. CVE-2025-6463, notée 8,8, permettait d’inscrire dans un envoi le chemin d’un fichier du serveur, supprimé ensuite avec cet envoi, jusqu’à la version 1.44.2. Depuis août 2026, l’extension enchaîne les versions de sécurité : envoi de fichiers sans authentification, exécution de codes courts, élévation de privilèges, XSS stockées. L’éditeur passe par le programme de divulgation de Patchstack, et à la date de rédaction aucune faille connue n’est ouverte dans la version 1.58.4. Avec ce rythme, une version de retard suffit à exposer le site : la mise à jour automatique est le réglage le plus utile (voir notre guide des mises à jour automatiques des extensions). WP Masquerade Pro retire une partie des traces qui signalent Forminator aux robots (la section suivante précise lesquelles), ce qui complique son repérage sans remplacer le correctif. ## Questions fréquentes sur Forminator **Forminator est-il vraiment gratuit ?** Oui, la version de wordpress.org suffit pour des formulaires avec logique conditionnelle, calculs et paiements Stripe ou PayPal. Forminator Pro, à partir de 50 $ par an pour un site, ajoute les abonnements Stripe, les PDF, la signature électronique et la géolocalisation. **Peut-on ne pas enregistrer les envois dans la base de données ?** Oui : dans l’onglet Réglages du formulaire, la section Stockage de données permet de désactiver l’enregistrement. Avec un champ Stripe, les envois en attente de paiement restent stockés le temps du paiement. Pour fixer vos durées de conservation, voyez notre article sur le RGPD et la sécurité de WordPress. **Comment passer de Contact Form 7 à Forminator ?** Forminator > Réglages > Importer importe tous les formulaires de Contact Form 7 ou une sélection. Le CAPTCHA et les réglages additionnels ne sont pas repris : reconfigurez-les, puis testez chaque formulaire. **Pourquoi les notifications n’arrivent-elles pas ?** Vérifiez d’abord que WordPress envoie bien ses propres e-mails, par exemple une réinitialisation de mot de passe. L’éditeur recommande ensuite un envoi par SMTP et, dans ce cas, de laisser vide l’adresse de l’expéditeur de la notification. **Quelles versions de WordPress et de PHP faut-il ?** Forminator demande WordPress 6.4 et PHP 7.4 au minimum. ## Fiche technique - Catégorie : Formulaires - Éditeur : WPMU DEV - Prix : Gratuite ; Forminator Pro à partir de 50 $ par an pour un site - Installations actives (wordpress.org) : 600 000+ - Version : 1.58.4 - Page officielle : https://fr.wordpress.org/plugins/forminator/ ## Ce que WP Masquerade masque - Pris en charge par WP Masquerade Pro uniquement - Avec Pro : nom du dossier, identifiants de balises - Reste visible : variables JavaScript, classes CSS