Ce que fait WP Rocket sur votre site
WP Rocket est une extension de performance commerciale éditée par WP Media, vendue sur son site officiel et absente du répertoire wordpress.org. Dès l’activation, elle enregistre chaque page sous forme de fichier HTML statique dans wp-content/cache/wp-rocket/, servi ensuite par les règles de réécriture du serveur (.htaccess ou configuration Nginx) sans requête à la base de données. Elle reconstruit ce cache seule grâce au préchargement, qui lit vos sitemaps et revisite les adresses après chaque purge.
Autour du cache, elle regroupe les optimisations courantes : minification CSS et JavaScript, suppression du CSS inutilisé, JavaScript différé ou reporté jusqu’à la première interaction, chargement différé des images, iframes et vidéos, dimensions d’image manquantes, Google Fonts auto-hébergées, nettoyage de la base, contrôle de l’API Heartbeat, intégrations Cloudflare, Varnish et Sucuri. Sur une nouvelle installation, le cache, le préchargement, la minification CSS et JS et la réduction de Heartbeat sont déjà actifs ; le chargement différé des images, le CSS inutilisé et le JavaScript reporté s’activent à la main.
Il n’existe pas de version gratuite. La licence annuelle donne droit aux mises à jour, au support et aux fonctions « cloud » qui tournent sur les serveurs de WP Media : suppression du CSS inutilisé, chargement asynchrone du CSS et Rocket Insights, le tableau de suivi des performances intégré. Configuration requise selon l’éditeur : PHP 7.4 et WordPress 5.8 au minimum, permaliens « jolis », serveur Apache, Nginx, LiteSpeed ou Windows.
Pour quels sites WP Rocket est un bon choix
- Les sites sur Apache ou Nginx sans cache serveur : WP Rocket produit lui-même son cache de pages, quel que soit l’hébergeur.
- Les propriétaires qui veulent un résultat sans tout régler : la configuration par défaut couvre déjà l’essentiel et l’interface tient en quelques onglets.
- Les boutiques WooCommerce : les pages panier, commande et mon compte définies dans WooCommerce sont détectées et jamais mises en cache par défaut.
- Les agences : la licence Multi couvre 50, 100 ou 500 sites clients.
Ce n’est pas le meilleur achat sur un serveur LiteSpeed, où LiteSpeed Cache pilote gratuitement le cache du serveur, ni chez un hébergeur infogéré qui gère son propre cache : la documentation de WP Rocket indique que son cache de pages est alors désactivé, il ne reste que les optimisations. Vérifiez ce point avant d’acheter (voir notre page compatibilité hébergeurs et caches).
Points forts et limites de WP Rocket
Points forts
- Efficace dès l’activation. Cache de pages, préchargement et minification fonctionnent sans réglage.
- Indépendant du serveur. Le cache marche sur Apache, Nginx, LiteSpeed ou Windows, sans service tiers obligatoire.
- Aides contre la casse. « Exclusions en un clic » pour le JavaScript reporté et listes d’exclusions mises à jour par l’éditeur.
- Interface lisible. Peu d’options, regroupées par thème, avec un avertissement sur celles qui peuvent casser l’affichage.
Limites
- Aucune version gratuite. Seul un essai de 14 jours permet de tester, avec un moyen de paiement enregistré.
- Abonnement à renouveler. Licence expirée : plus de mises à jour ni de support, et fonctions cloud coupées 15 jours plus tard.
- CSS inutilisé dépendant du cloud. Il exige un site public et joignable par les robots de WP Rocket, ce qu’un pare-feu peut bloquer.
- Cache inactif chez certains hébergeurs. Chez un hébergeur infogéré doté de son propre cache, vous payez surtout les optimisations.
Les réglages que nous recommandons pour WP Rocket
Tout se trouve dans Réglages > WP Rocket. Activez une option à la fois, utilisez « Vider et précharger le cache » dans la barre d’administration, puis testez en navigation privée. Jugez sur les Core Web Vitals mesurés, pas sur une note isolée.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Activer le préchargement Cache > Préchargement | Activé (par défaut) | Le cache se reconstruit après chaque purge, sans attendre les visiteurs. |
| Délai de nettoyage du cache Cache > Règles du cache | 10 heures (par défaut) | L’extension conseille de rester à 10 heures ou moins si des erreurs reviennent périodiquement (jetons de formulaire expirés). |
| Ne jamais mettre en cache ces URL(s) Cache > Règles du cache | Adresse de connexion personnalisée et pages propres à chaque visiteur | L’extension le demande pour les pages sensibles ; panier et commande WooCommerce sont exclus d’office. |
| Minifier les fichiers CSS et Minifier les fichiers JS Optimisation de page > JavaScript & CSS | Activé, après vérification | Gain réel, risque faible ; excluez le fichier fautif si un affichage casse. |
| Optimiser le chargement du CSS Optimisation de page > JavaScript & CSS | « Supprimer les ressources CSS inutilisées » après test ; sinon « Chargement asynchrone du CSS » | Méthode recommandée par l’éditeur, mais signalée comme pouvant casser l’affichage ; elle exige une licence valide. |
| Reporter l’exécution JavaScript Optimisation de page > JavaScript & CSS | Activé après test de chaque type de page, avec « Exclusions en un clic » | Menus, formulaires et bandeau cookies peuvent attendre une action du visiteur. Le mode sécurisé n’est qu’une solution temporaire. |
| Activer pour les images et Ajouter les dimensions d’image manquantes Optimisation de page > Images & Media | Activé, image du haut de page exclue | Ajoutez l’image principale dans « Images ou iframes exclues » pour ne pas retarder son affichage. |
| Contrôler Heartbeat Back-end > Heartbeat | « Réduire l’activité » (par défaut), jamais « Désactiver » sans test | L’extension prévient que la désactivation complète peut casser des extensions et des thèmes. |
| Planifier le nettoyage automatique Back-end > Base de données | Désactivé tant qu’aucune sauvegarde n’est planifiée | Révisions, brouillons et commentaires supprimés le sont définitivement. |
- Déconnecté, affichez le code source d’une page : le commentaire final de WP Rocket doit se terminer par
Debug: cached@suivi d’un horodatage. - Après chaque optimisation, testez un formulaire, le menu mobile, le panier et le bandeau cookies.
- Vérifiez qu’aucune autre extension de cache de pages n’est active.
- Si votre site passe par le CDN Cloudflare, activez l’add-on Cloudflare (Outils > Add-ons) pour que vider le cache de WP Rocket vide aussi celui de Cloudflare.
Les failles de WP Rocket et la version à installer
WP Rocket a un historique de failles court, mais plusieurs ont été publiées depuis 2025 :
- CVE-2026-28044, corrigée en 3.20.0.2 : XSS stockée exploitable par un compte auteur ou plus.
- CVE-2026-5934, corrigée en 3.21.1 : XSS stockée sans compte, via le point d’accès AJAX
rocket_beaconet les attributs des balisespicture. - Fuite d’informations sans compte, corrigée en 3.23.3.3 : elle ne touchait que les versions 3.23.1 à 3.23.3.2.
- CVE-2026-97075 et CVE-2026-97076, corrigées en 3.23.5 : contrôle d’accès manquant et déni de service par expression régulière.
Installez au moins la 3.23.5 et gardez la licence active : sans elle, les correctifs n’arrivent plus. WP Masquerade Pro retire de vos pages les adresses du dossier de l’extension et les identifiants de ses scripts et styles, ce qui complique son repérage par les robots, sans remplacer la mise à jour ; le commentaire des pages en cache, ses scripts de chargement différé et l’en-tête X-Rocket-Nginx-Bypass restent visibles (voir aussi commentaires HTML et balise generator).
Ce que WP Masquerade masque pour WP Rocket
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à WP Rocket : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- commentaires HTML signés
- nom du dossier
- identifiants de balises
Reste visible
- texte du fichier de cache
Cached for great performance - variables JavaScript
RocketLazyLoadScripts, rocket_lazy - identifiants de balises
wpr-usedcss - en-têtes du serveur ou du cache
X-Rocket-Nginx-Bypass
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur WP Rocket
WP Rocket continue-t-il de fonctionner si je ne renouvelle pas la licence ?
Oui, le cache et les optimisations locales continuent. Vous perdez les mises à jour, le support, l’actualisation des listes d’exclusions, et 15 jours après l’expiration, la suppression du CSS inutilisé, le chargement asynchrone du CSS et Rocket Insights.
Peut-on utiliser WP Rocket avec LiteSpeed Cache ?
Pas pour le cache de pages : un seul doit être actif. Sur un serveur LiteSpeed, gardez plutôt LiteSpeed Cache, ou activez chaque optimisation dans une seule des deux extensions.
Combien coûte WP Rocket pour plusieurs sites ?
Facturées à l’année, les licences coûtent 49,95 € pour un site (Single), 99,95 € pour trois (Plus) et 249,95 € pour 50 (Multi), avec des formules à 100 et 500 sites. Le paiement de trois ans d’avance est remisé de 30 %, et des taxes s’ajoutent selon le pays.
Mon site s’affiche mal après une optimisation : que faire ?
Désactivez le dernier réglage modifié, videz le cache et retestez. Si le problème vient du JavaScript reporté, ajoutez le script en cause dans « Fichiers JavaScript exclus » plutôt que de tout désactiver.