Ce que fait Jetpack sur votre site
Jetpack est la boîte à outils d’Automattic, la société derrière WordPress.com et WooCommerce. Elle relie votre site au cloud de WordPress.com, qui fait le travail lourd à la place de votre hébergeur : statistiques, CDN d’images, sauvegardes, analyse de sécurité. D’où ses exigences : un compte WordPress.com gratuit (distinct de votre compte d’administration) et un site accessible publiquement, avec XML-RPC actif.
L’extension regroupe des dizaines de modules activables séparément : protection contre la force brute, surveillance des temps d’arrêt, statistiques, partage social, newsletter, formulaires, outils SEO et plan de site XML, liens courts WP.me, plus de cinquante blocs. Les réglages de sécurité sont regroupés dans Jetpack > Protect. Jetpack sert aussi de passerelle MCP vers ChatGPT, Claude et d’autres agents d’IA ; cet accès reste coupé tant que vous ne l’activez pas.
Le plan gratuit fonctionne sur n’importe quel site, commercial ou non. Selon la page tarifs, seules les statistiques gratuites sont réservées aux sites personnels ; statistiques d’un site commercial, sauvegardes en temps réel, analyse des malwares avec correction en un clic et règles automatiques du pare-feu demandent une offre payante. Plusieurs outils existent aussi en extensions autonomes (Jetpack Protect, Jetpack Boost, Jetpack Stats, VaultPress Backup).
Pour quels sites Jetpack est un bon choix
- Blogs personnels et associatifs : statistiques, partage social, abonnement par e-mail et protection des connexions sans payer ; les statistiques gratuites sont réservées aux sites personnels.
- Sites sur un hébergement modeste : images servies par le CDN de WordPress.com, statistiques calculées hors de votre serveur.
- Boutiques WooCommerce prêtes à payer : VaultPress Backup enregistre chaque modification en temps réel et restaure en un clic, commandes comprises.
Ce n’est pas le bon choix pour un site qui doit fonctionner sans service tiers, pour un site de préproduction inaccessible depuis Internet, ni si votre hébergeur bloque xmlrpc.php (voir notre article sur XML-RPC et ses usages). Pour un pare-feu complet sans abonnement, Wordfence est plus adapté ; pour des sauvegardes gratuites vers votre propre stockage, UpdraftPlus.
Points forts et limites de Jetpack
Points forts
- Beaucoup de fonctions gratuites. Protection contre la force brute, surveillance des temps d’arrêt, CDN d’images, statistiques personnelles et partage social.
- Calcul déporté. Statistiques, sauvegardes et analyses tournent sur le cloud de WordPress.com, pas sur votre hébergement.
- Des modules à la carte. Chaque fonction s’active séparément, et plusieurs existent en extensions autonomes.
- Correctifs poussés loin. En 2023 comme en 2024, Automattic a publié des correctifs pour les branches anciennes ; en 2024, la plupart des sites ont été mis à jour automatiquement.
Limites
- Dépendance à WordPress.com. Sans compte connecté, site public et XML-RPC accessible, la plupart des fonctions ne marchent pas.
- Statistiques gratuites réservées aux sites personnels. Un site commercial paie ses statistiques, et tout site paie les sauvegardes en temps réel et l’analyse des malwares.
- Sécurité gratuite limitée. Le pare-feu gratuit n’accepte que des règles manuelles, et la vérification gratuite ne regarde que les versions des extensions et des thèmes.
- Abonnements élevés. Pro coûte 324 € et Complete 540 € par an pour un site ; les remises demandent au moins cinq sites.
Les réglages que nous recommandons pour Jetpack
Ces réglages existent dans la version gratuite actuelle, une fois le site connecté à WordPress.com.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Protection des connexions Jetpack > Protect > Réglages | Activé | Bloque les adresses IP qui échouent à répétition à se connecter. |
| Adresses IP toujours autorisées Même écran | Votre adresse IP, seulement si elle est fixe | Évite de bloquer votre propre accès ; inutile avec une adresse qui change. |
| Protection du compte Même écran | Activé | Un utilisateur dont le mot de passe a fuité doit vérifier son identité et en choisir un nouveau. |
| Surveillance des temps d’arrêt Même écran | Activé | Un e-mail part vers l’adresse du compte WordPress.com quand le site tombe, puis quand il revient. |
| Exiger que les comptes utilisent l’authentification en deux étapes de WordPress.com Même écran, section Connexion à WordPress.com | Activé si vous utilisez cette connexion | Sinon, un compte WordPress.com relié mais sans double authentification peut ouvrir votre administration. |
| Accélérer le temps de chargement des images Jetpack > Réglages > Performance | Activé si aucun autre CDN d’images ne tourne | Les images sont servies depuis i0.wp.com ; deux services qui réécrivent les mêmes images se gênent. |
| Accélérer le temps de chargement des fichiers statiques Même écran | À tester sur une copie du site | Change l’origine de fichiers CSS et JavaScript ; vérifiez l’affichage avec votre cache. |
| Générer des sitemaps XML Jetpack > Réglages > Trafic | Désactivé si une extension SEO en crée déjà | Un seul plan de site évite deux index concurrents. |
| Liens courts WP.me Même écran | Désactivé (valeur par défaut) | Ajoute un lien court qui signale Jetpack, inutile si vous ne le partagez pas. |
- Ouvrez Jetpack > Mon Jetpack, puis la Liste des modules classiques, et désactivez chaque module inutilisé.
- Après un changement de pare-feu ou de règle serveur, vérifiez dans Mon Jetpack que la connexion à WordPress.com est toujours active.
- Affichez le code source d’une page publique : avec l’accélérateur d’images, les adresses des images commencent par i0.wp.com.
La sécurité de Jetpack : des failles rares mais à large portée
Jetpack étant installé sur un très grand nombre de sites, chacune de ses failles touche beaucoup de monde. Les plus marquantes :
- CVE-2023-2996, corrigée en 12.1.1 : un compte auteur pouvait modifier ou supprimer des fichiers du site via l’API, avec dans de rares cas une exécution de code. Les branches anciennes ont reçu leur correctif.
- CVE-2024-10075 et CVE-2024-10076, corrigées en 13.8 : exécution de codes courts et de blocs sans compte via le formulaire de contact, et XSS stockée par un contributeur via l’accélérateur de site.
- CVE-2024-9926, corrigée en 13.9.1 : tout utilisateur connecté, même abonné, pouvait lire les messages envoyés par le formulaire de contact. La faille datait de la version 3.9.9 (2016) et chaque branche a reçu sa version corrigée.
Activez donc les mises à jour automatiques de Jetpack dans Extensions (voir notre guide des mises à jour automatiques des extensions) ; la chronologie détaillée est dans notre article sur les failles de sécurité de Jetpack. WP Masquerade retire les commentaires HTML et le lien court qui signalent Jetpack, mais les appels à stats.wp.com et i0.wp.com restent visibles, et ce camouflage ne remplace pas la mise à jour.
Ce que WP Masquerade masque pour Jetpack
Version gratuite Pris en charge par la version gratuite de WP Masquerade
Jetpack fait partie des 50 extensions les plus utilisées que la version gratuite connaît. Pro va plus loin en renommant ses fichiers.
Version gratuite
- commentaires HTML signés
- lien court
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
- classes CSS
jetpack-*, jp-* - fichiers servis par l’éditeur
stats.wp.com, i0.wp.com
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur Jetpack
Jetpack est-il vraiment gratuit ?
Oui, le plan gratuit fonctionne sur tout site, y compris commercial : protection des connexions, CDN d’images, surveillance des temps d’arrêt. Les statistiques gratuites sont en revanche réservées aux sites personnels, et les sauvegardes en temps réel comme l’analyse des malwares demandent une offre payante.
Pourquoi Jetpack demande-t-il un compte WordPress.com ?
Ses services tournent sur le cloud de WordPress.com : sauvegardes, statistiques, CDN d’images, filtrage du spam, connexion aux agents d’IA. Ce compte gratuit est différent de celui qui vous connecte à votre site.
Combien coûtent Jetpack Pro et Jetpack Complete ?
La page tarifs affiche 324 € par an pour Pro (50 Go de sauvegarde en temps réel, statistiques commerciales jusqu’à 50 000 vues par mois) et 540 € par an pour Complete (1 To de sauvegarde, VideoPress). Les offres annuelles sont remboursables pendant 14 jours.
Peut-on garder Jetpack avec Wordfence ou une autre extension de sécurité ?
Oui, sans doubler les fonctions : un seul outil pour la protection des connexions, un seul pare-feu. Vérifiez surtout que l’autre extension ne bloque pas xmlrpc.php, dont Jetpack a besoin.