Sécurité avec Divi : protégez votre site Divi des attaques

Il n'existe pas de sécurité « spéciale Divi » : un site Divi se protège comme n'importe quel site WordPress. Deux risques sont pourtant propres à Divi : tourner avec une version jamais mise à jour parce que la clé de licence n'a pas été renseignée, et installer une copie piratée du thème. Voici ce que montrent les failles connues de Divi et les gestes qui comptent, dans l'ordre.

Comme tout logiciel très utilisé, Divi a eu des failles de sécurité. En octobre 2026, la base de vulnérabilités Patchstack en recense 14 pour le thème Divi depuis 2020, toutes corrigées par Elegant Themes. Deux enseignements :

• La grande majorité exigeait un compte sur le site, le plus souvent avec au moins le rôle de contributeur : il s'agit surtout de failles XSS (injection de code JavaScript dans une page). Un site sur lequel vous êtes seul à vous connecter y est peu exposé ; un site qui ouvre des comptes à des rédacteurs extérieurs l'est davantage.

• Une faille exploitable sans compte a été corrigée en septembre 2026. Elle touchait Divi 5.0 à 5.11.1 et permettait d'exécuter des shortcodes à distance (gravité jugée moyenne). La correction est arrivée avec Divi 5.12.0.

Une fois un correctif publié, seuls les sites non mis à jour restent vulnérables. Le premier geste de sécurité sur un site Divi est donc de recevoir les mises à jour.

Divi ne se met pas à jour depuis le répertoire officiel de WordPress, mais depuis les serveurs d'Elegant Themes. Pour cela, il faut l'identifier avec votre compte :

1. Dans votre espace membre Elegant Themes, ouvrez la page Account, rubrique « Username & API Key », et copiez votre clé API.

2. Dans WordPress, allez dans Divi > Options du thème, onglet Updates (Mises à jour).

3. Saisissez votre nom d'utilisateur Elegant Themes et la clé API, sans espace en trop, puis enregistrez.

Les nouvelles versions de Divi apparaissent ensuite dans Tableau de bord > Mises à jour, comme les autres thèmes et plugins. Le même onglet propose un bouton pour revenir à la version précédente si une mise à jour pose problème.

Sans cette clé, votre site reste bloqué sur la version installée au départ, avec toutes les failles corrigées depuis.

Divi, WordPress, les plugins et le thème enfant éventuel : les mises à jour corrigent les failles au fur et à mesure qu'elles sont découvertes. Faites une sauvegarde complète avant une mise à jour majeure (passage de Divi 4 à Divi 5, nouvelle version de WordPress), avec un plugin comme UpdraftPlus. Le guide Comment et pourquoi faire des sauvegardes détaille la méthode.

Puisque la plupart des failles de Divi demandent un compte, réduisez la surface d'attaque :

• supprimez les comptes inutilisés et donnez à chacun le rôle minimum nécessaire ;

• utilisez le Role Editor de Divi (menu Divi) pour choisir ce que chaque rôle peut faire dans le constructeur ;

• imposez des mots de passe uniques et activez l'authentification à deux facteurs pour les administrateurs.

Un plugin de sécurité comme Wordfence ajoute un pare-feu applicatif, limite les tentatives de connexion et signale les fichiers modifiés. Il ne remplace pas les mises à jour, mais il bloque une partie des attaques automatisées. Les autres mesures générales sont résumées dans Sécurité WordPress.

Elegant Themes ne propose pas de version gratuite de Divi. Les copies distribuées gratuitement ou à bas prix sur des sites de téléchargement (les versions « nulled ») sont une source classique de code malveillant caché dans les fichiers, et elles ne reçoivent jamais de mises à jour. Si vous voulez essayer Divi, achetez-le : Elegant Themes rembourse sans condition pendant 30 jours. Les prix et l'achat sont détaillés dans la présentation de Divi.

Les extensions Divi vendues par des développeurs indépendants sont un point faible fréquent : leur qualité et leur suivi varient beaucoup d'un éditeur à l'autre. Deux exemples de 2026, tous deux corrigés :

• Divi Form Builder (versions 5.1.8 et antérieures) : envoi de fichiers sur le serveur sans être connecté, une faille de gravité maximale (10 sur 10) publiée en juillet 2026 et corrigée dans la version 5.1.9 ;

• Divi Plus (versions 2.4.0 et antérieures) : lecture de fichiers du serveur sans être connecté, une faille publiée en octobre 2026 et corrigée dans la version 2.4.1.

Les règles sont simples : supprimez les extensions que vous n'utilisez plus (une extension désactivée mais toujours présente sur le serveur peut rester exploitable), vérifiez la date de dernière mise à jour avant d'en installer une, et renouvelez la licence de celles que vous gardez pour continuer à recevoir les correctifs. Voir aussi Plugins Divi.

Divi 5 est sorti en version finale le 26 février 2026. Dans l'annonce de cette sortie, Elegant Themes s'engage à continuer de corriger les failles de sécurité et les problèmes de compatibilité de Divi 4 avec les nouvelles versions de WordPress pendant au moins 12 mois, et plus longtemps si possible. Aucune date de fin n'a été annoncée. Si votre site est encore sous Divi 4, gardez-le à jour sur cette branche et préparez la migration à votre rythme (voir Divi 5).