Ce que fait WPCode dans votre WordPress
WPCode est un gestionnaire d’extraits de code : il permet d’ajouter du PHP, du JavaScript, du CSS, du HTML ou du texte depuis l’administration, sans modifier le fichier functions.php du thème. Les extraits sont enregistrés dans la base de données et survivent donc à une mise à jour ou à un changement de thème. Chaque extrait s’insère automatiquement à un emplacement choisi (partout, seulement dans l’administration, avant ou après le contenu, après un paragraphe...) ou manuellement par un code court.
L’extension ajoute aussi l’écran « En-tête et pied de page », trois champs (en-tête, juste après la balise body, pied de page) pour coller un code de suivi ou de vérification, une bibliothèque d’extraits prêts à l’emploi, des générateurs de code et une logique conditionnelle : type de page, type de contenu, adresse de la page, référent, taxonomie, utilisateur connecté ou rôle. Avant d’activer un extrait PHP, WPCode l’exécute une première fois et le laisse inactif en cas d’erreur. Il sait importer les extraits de Code Snippets, Header Footer Code Manager, Post Snippets, Simple Custom CSS and JS et Woody Code Snippets.
Créée en 2011 par Syed Balkhi et l’équipe de WPBeginner sous le nom Insert Headers and Footers, l’extension a été renommée WPCode en 2022 (son dossier s’appelle toujours insert-headers-and-footers). WPCode est une marque de WPCode LLC. La version payante, WPCode Pro, ajoute dès sa formule Basic la planification, les révisions, le mode Test et les scripts par page ; les formules supérieures apportent les pixels de conversion automatiques (Plus) et le contrôle d’accès par rôle (Pro).
Pour quels sites WPCode est un bon choix
WPCode rend service dès que vous ajoutez régulièrement de petits bouts de code :
- Sites qui collent des codes de tiers : balise Google Analytics, pixel publicitaire, vérification AdSense ou Search Console, sans toucher au thème.
- Freelances et petites équipes : les ajustements PHP vivent dans une liste nommée, activable extrait par extrait, au lieu d’un functions.php qui grossit.
- Sites qui remplacent de petites extensions : la bibliothèque propose des extraits pour désactiver les commentaires ou XML-RPC, autoriser les SVG, etc.
Ce n’est pas le bon choix si votre code est versionné et déployé avec Git : une extension maison ou un mu-plugin reste plus traçable. Si vous voulez seulement insérer un script dans l’en-tête, le mode « En-têtes et pieds de page » de WPCode ou Header Footer Code Manager suffisent ; pour comparer avec son concurrent direct, voyez la fiche Code Snippets.
Points forts et limites de WPCode
Points forts
- Des filets de sécurité gratuits. Test avant activation, désactivation automatique des extraits fautifs dans l’administration et mode sans échec par paramètre d’adresse.
- Logique conditionnelle incluse. La version gratuite filtre déjà par type de page, adresse, référent, rôle ou état de connexion.
- Bibliothèque et générateurs. Des extraits courants s’installent en un clic, et des générateurs écrivent le code de types de contenu ou de données structurées.
- Migration facile. Import depuis cinq extensions concurrentes et export des extraits d’un site à l’autre.
Limites
- Révisions et mode Test payants. Sans eux, une modification d’extrait s’applique tout de suite au site public, sans historique des versions précédentes.
- Erreurs publiques non désactivées. Une erreur PHP sur la partie publique est signalée mais n’éteint pas l’extrait automatiquement.
- Interface chargée d’offres Pro. Appareil, planification ou scripts par page apparaissent dans l’éditeur avec la mention PRO.
- Prix de lancement. La formule Basic coûte 99 $ par an (49 $ la première année) : l’éditeur précise que les renouvellements sont au plein tarif.
Les réglages que nous recommandons pour WPCode
Ces réglages existent dans la version gratuite actuelle, sous Extraits de code > Réglages, et dans l’éditeur de chaque extrait.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Journaux d’erreurs Extraits de code > Réglages > Gestion des erreurs | Activé | Désactivé par défaut ; il garde une trace des erreurs de chaque extrait, lisible dans Extraits de code > Outils > Journaux. |
| Infos de la barre d’administration Extraits de code > Réglages > Réglages généraux | Activé (valeur par défaut) | Affiche les extraits chargés sur la page et le lien « Extraits avec erreurs ». |
| Mode En-têtes et pieds de page Même écran | Désactivé (valeur par défaut) | Il réduit WPCode aux trois champs d’en-tête et pied de page et désactive tous vos extraits personnalisés. |
| « AI & Automation Access » Même écran | Désactivé (valeur par défaut) | À n’activer que si un outil d’IA relié par l’API Abilities de WordPress doit créer ou modifier vos extraits. |
| Supprimer toutes les données lors de la désinstallation Même écran | Désactivé (valeur par défaut) | Activé, la suppression de l’extension efface définitivement tous les extraits. |
| Autoriser le suivi d’utilisation Même écran | Selon votre politique de données | Il envoie à l’éditeur des informations sur votre configuration, vos thèmes et vos extensions. |
| Lieu d’un extrait PHP Extraits de code > Ajouter un extrait > Insertion | « Admin uniquement » ou « Interface publique uniquement » plutôt que « Exécuter partout » | Un code qui ne sert que d’un côté du site n’a pas à s’exécuter de l’autre. |
- Notez l’adresse du mode sans échec :
/wp-admin/admin.php?page=wpcode&wpcode-safe-mode=1; elle coupe les extraits insérés automatiquement pour vous seul. - Testez tout nouvel extrait PHP sur une copie de préproduction avant de l’activer en production.
- Exportez vos extraits depuis Extraits de code > Outils > Exporter et gardez le fichier avec vos sauvegardes.
- Si vous ne pouvez plus vous connecter, la constante
WPCODE_SAFE_MODEréglée à true dans wp-config.php coupe les extraits pour tous les visiteurs : retirez-la une fois l’extrait corrigé.
WPCode et la sécurité : une extension qui exécute du PHP
Par nature, WPCode exécute le code qu’on lui confie : un compte capable de gérer les extraits peut faire tourner n’importe quel PHP sur le serveur. Dans la version gratuite, la gestion est réservée aux administrateurs ; ouvrir des droits à d’autres rôles demande la formule Pro. Les failles publiées montrent surtout des contrôles de droits insuffisants :
- CVE-2026-8832, corrigée en 2.3.6 : un compte auteur pouvait publier un extrait PHP par XML-RPC et le faire exécuter, une exécution de code à distance (CVSS 8,8).
- CVE-2023-1624, corrigée en 2.0.9 : une faille CSRF permettait de faire supprimer des fichiers de journal par un utilisateur autorisé à activer des extraits.
- CVE-2023-0328, corrigée en 2.0.7 : tout compte capable de modifier des articles pouvait changer ou effacer la clé de connexion à la bibliothèque WPCode.
Activez les mises à jour automatiques de WPCode (voir notre guide des mises à jour automatiques des extensions) et limitez le nombre d’administrateurs et d’auteurs, comme l’explique notre article sur les rôles et capacités WordPress. WP Masquerade retire du code public les références au dossier de WPCode et à ses fichiers, ce qui complique son repérage par les robots, sans remplacer la mise à jour.
Ce que WP Masquerade masque pour WPCode
Version gratuite Pris en charge par la version gratuite de WP Masquerade
WPCode fait partie des 50 extensions les plus utilisées que la version gratuite connaît. Pro va plus loin en renommant ses fichiers.
Version gratuite
Rien à retirer
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
Aucune trace connue
Questions fréquentes sur WPCode
WPCode est-il la même extension que Insert Headers and Footers ?
Oui. Insert Headers and Footers a été renommée WPCode en 2022 et garde la même page sur wordpress.org. Si vous ne voulez que les anciens champs d’en-tête et de pied de page, le mode « En-têtes et pieds de page » des réglages restaure cette interface.
Mes extraits disparaissent-ils si je change de thème ?
Non : ils sont enregistrés dans la base de données, indépendamment du thème. Ils disparaissent seulement si vous supprimez l’extension avec l’option de suppression des données activée.
Que faire si un extrait PHP casse le site ?
Ouvrez la liste des extraits avec le paramètre wpcode-safe-mode=1, désactivez l’extrait en cause, puis cliquez sur « Quitter le mode sans échec ». Si l’administration est inaccessible, utilisez la constante WPCODE_SAFE_MODE dans wp-config.php.
Combien coûte WPCode Pro ?
La page tarifs affiche la formule Basic à 99 $ par an pour un site (49 $ la première année), les renouvellements étant au plein tarif. Plus (5 sites, 149 $ par an), Pro (25 sites, avec le contrôle d’accès, 249 $ par an) et Bundle (100 sites, 399 $ par an) suivent le même principe, avec une garantie de remboursement de 14 jours.