Ce que fait WooCommerce sur votre site
WooCommerce transforme un site WordPress en boutique. L’extension gère le catalogue (produits physiques, téléchargeables, variables ou externes), le panier, la validation de la commande, les comptes clients, les stocks, les taxes, la livraison et les e-mails transactionnels. Elle crée les pages Boutique, Panier, Validation de la commande et Mon compte, un menu WooCommerce dans l’administration et deux rôles, Client et Gestionnaire de boutique.
Depuis la version 8.3, les nouvelles boutiques utilisent les blocs Panier et Validation de la commande, qui dialoguent avec la Store API, une API REST publique accessible sans connexion. Depuis la version 8.2, les commandes des nouvelles installations sont rangées dans des tables dédiées, le stockage des commandes haute performance (HPOS). Une API REST complète, des webhooks et des commandes WP-CLI servent aux intégrations.
Le cœur est gratuit et open source, sans version payante. Automattic, son éditeur, se rémunère autour : la place de marché WooCommerce vend des extensions (abonnements, réservations, adhésions…) et des thèmes, et propose des services comme WooPayments. Les commandes et les clients restent dans votre base de données.
Pour quelles boutiques WooCommerce est un bon choix
WooCommerce convient quand vous voulez vendre depuis un site WordPress que vous maîtrisez, sans abonnement de plateforme pour le logiciel lui-même :
- Boutiques de produits physiques avec variations (tailles, couleurs), gestion des stocks et plusieurs zones de livraison.
- Vente de fichiers (livres numériques, modèles, logiciels) avec accès au téléchargement après paiement.
- Sites de contenu ou d’artisans qui ajoutent une boutique à côté de leurs articles, avec le même thème.
- Agences qui relient un catalogue sur mesure à un ERP ou à une logistique par l’API REST.
Ce n’est pas le bon choix si vous vendez un seul produit ou recevez des dons : un lien de paiement de votre prestataire suffit. Ni si personne ne peut assurer les mises à jour, les sauvegardes et la surveillance : une plateforme hébergée fait ce travail à votre place, en échange d’un abonnement et de moins de liberté.
Points forts et limites de WooCommerce
Points forts
- Un cœur gratuit et complet. Catalogue, panier, commande, comptes, stocks, taxes, coupons et e-mails sont inclus sans licence.
- Vos données chez vous. Commandes et clients sont stockés dans votre base WordPress et s’exportent vers une autre plateforme.
- Un écosystème très large. Plus de 100 passerelles de paiement, dont Stripe, PayPal et Square, et des centaines d’extensions.
- Des correctifs graves poussés aux anciennes versions. En mars 2026, une faille de la Store API a été corrigée sur 52 versions, de la branche 5.4 à la 10.5, avec un déploiement automatique.
Limites
- Le coût réel est dans les extensions. Abonnements, réservations et adhésions passent par des extensions payantes de la place de marché.
- Une surface d’attaque publique. La Store API, la création de compte et la validation de la commande répondent sans connexion.
- Pas de captcha à l’inscription. Selon WooCommerce, le formulaire d’inscription de Mon compte n’est couvert ni par les réglages d’inscription de WordPress ni par un captcha intégré.
- Des services inégaux selon le pays. WooPayments n’est proposé que dans dix pays, dont la France, et WooCommerce Shipping ne fonctionne qu’aux États-Unis.
Les réglages WooCommerce que nous recommandons
Les chemins partent du menu WooCommerce > Réglages de l’interface française (version 11.2). Validez chaque changement par une commande de test, idéalement sur une copie du site.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Autoriser la validation de la commande en tant qu’invité Réglages > Comptes et confidentialité | Activé (valeur par défaut), sauf abonnements | Chaque compte client inutile est un identifiant de plus à protéger. |
| Création de compte : Sur la page « Mon compte » Réglages > Comptes et confidentialité | Décoché (valeur par défaut), ou coché avec un captcha compatible | Ce formulaire attire les robots créateurs de comptes, et WordPress ne le protège pas. |
| Envoyer un lien de configuration du mot de passe Réglages > Comptes et confidentialité | Activé (valeur par défaut) | Le client choisit lui-même son mot de passe par un lien envoyé par e-mail. |
| Conserver les commandes en attente, échouées et annulées Réglages > Comptes et confidentialité | Une durée, par exemple 3 mois | Vides par défaut, donc conservées indéfiniment ; avec une durée, ces commandes impayées partent à la corbeille. |
| Stockage des données de commande Réglages > Avancé > Fonctionnalités | Stockage des commandes haute performance | Des tables dédiées, plus rapides. Sur une boutique ancienne, vérifiez vos extensions et passez par le mode de compatibilité. |
| Limitation du débit Checkout Réglages > Avancé > Fonctionnalités | Activé, puis commande de test | Désactivé par défaut. Limite la validation de commande à 3 tentatives par minute, ce qui freine le test de cartes volées. |
| Permettre les avis uniquement aux « acheteurs certifiés » Réglages > Produits > Général | Activé | Désactivé par défaut. Coupe le spam d’avis et les faux avis. |
| Méthode de téléchargement de fichiers Réglages > Produits > Produits téléchargeables | Forcer le téléchargement (valeur par défaut), ou X-Accel-Redirect/X-Sendfile | L’adresse réelle des fichiers reste cachée. Évitez « Rediriger uniquement (absence de sécurité) ». |
| Clés de l’API REST Réglages > Avancé > Clés de l’API REST | Droits « Lecture » quand c’est suffisant | Une clé en écriture oubliée donne accès aux commandes et aux clients : révoquez les clés inutilisées. |
- Dans le menu Comptes de WordPress, filtrez par rôle Gestionnaire de boutique et retirez ce rôle aux personnes qui n’en ont plus besoin.
- Dans Réglages > Paiements, désactivez les moyens de paiement inutilisés et supprimez les extensions de passerelle correspondantes.
- Passez une commande de test en navigation privée après chaque changement de réglage de commande ou de cache.
- Dans Extensions, activez les mises à jour automatiques de WooCommerce.
La sécurité de WooCommerce : Store API et Gestionnaire de boutique
Très installée et ouverte au public, WooCommerce a un historique de failles régulier. Trois épisodes résument les risques :
- Juillet 2021, CVE-2021-32789 : une injection SQL sans compte dans la Store API touchait les versions 3.3 à 5.5. WooCommerce 5.5.1 l’a corrigée et wordpress.org a poussé la mise à jour aux boutiques vulnérables.
- Mars 2026, CVE-2026-3589 : une faille CSRF dans le point d’accès « batch » de la Store API permettait de créer un compte administrateur si un administrateur connecté ouvrait un lien piégé, dans certains navigateurs. Versions 5.4 à 10.5.2, corrigées en 10.5.3 et sur chaque branche.
- Octobre 2026, CVE-2026-106608 : publiée par Patchstack, une élévation de privilèges permettait à un Gestionnaire de boutique de devenir administrateur sur les versions 9.8.0 à 11.1.2 (CVSS 7,2). Corrigée en 11.2.0.
Le geste utile : rester sur la dernière version, 11.2.0 au minimum à ce jour, et réserver le rôle Gestionnaire de boutique aux personnes de confiance. L’historique complet est dans notre chronologie des failles de WooCommerce, la fraude à la carte et les comptes clients dans notre guide de sécurité d’une boutique. Masquer WooCommerce ne corrige aucune faille, mais WP Masquerade retire la balise generator qui annonce WooCommerce et sa version, un indice utilisé par les robots pour choisir leurs cibles.
Ce que WP Masquerade masque pour WooCommerce
Version gratuite Pris en charge par la version gratuite de WP Masquerade
WooCommerce fait partie des 50 extensions les plus utilisées que la version gratuite connaît. Pro va plus loin en renommant ses fichiers.
Version gratuite
- balise generator
- commentaires HTML signés
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
- noms de fichiers
woocommerce.min.js - variables JavaScript
woocommerce_params, wc_add_to_cart_params - classes CSS
woocommerce, woocommerce-no-js - cookies
woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_*, woocommerce_recently_viewed (Recently Viewed Products widget) - routes REST
/wp-json/wc/store/
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur WooCommerce
WooCommerce est-il vraiment gratuit ?
Oui, l’extension est gratuite et n’a pas de version payante. Les dépenses viennent de l’hébergement, des extensions payantes et des frais de votre prestataire de paiement.
Faut-il passer une boutique existante au stockage haute performance (HPOS) ?
Oui à terme : c’est le stockage recommandé et celui des boutiques créées depuis la version 8.2. Vérifiez la compatibilité de vos extensions, activez le mode de compatibilité le temps de la synchronisation et testez sur une copie du site.
Vaut-il mieux autoriser la commande sans compte ?
Pour la plupart des boutiques, oui : moins de comptes, c’est moins d’identifiants à protéger et moins de données à conserver. Un compte reste nécessaire pour les abonnements ou un espace client avec historique.
WooCommerce et WooPayments, est-ce la même extension ?
Non. WooPayments est une extension de paiement distincte, avec ses propres mises à jour et ses propres failles, dont CVE-2023-28121, exploitée en 2023.