Comment ça marche

1. Une preuve que vous gérez le site

L’outil ne vérifie que votre site. Avant toute consultation, vous confirmez en être propriétaire ou autorisé à le gérer, puis vous le prouvez : en ouvrant un lien reçu sur une adresse e-mail de ce domaine, ou en collant un code dans l’extension NoveaCloud pour WordPress.

2. Une consultation normale de la page d’accueil

L’outil ouvre la page d’accueil de votre site une seule fois, comme un navigateur, en suivant au besoin les redirections que votre site impose (vers HTTPS ou vers /fr/, par exemple). Il lit trois informations que le serveur envoie lui-même : les en-têtes X-Powered-By etServer, et le nom des cookies (sans leur contenu).

Il ne consulte aucune autre page, ne provoque pas d’erreur, n’envoie pas de données forgées et ne teste aucune faille. Il ne déduit jamais une version à partir de l’apparence du site, de son ancienneté ou de sa version de WordPress.

3. Une comparaison avec les avis officiels

Si une version est affichée, elle est comparée aux branches maintenues et aux avis de sécurité publiés par le projet PHP (php.net etavis GitHub de PHP), à jour au 26 octobre 2026. Chaque avis est accompagné de la condition nécessaire pour qu’il s’applique.

Les limites, en toute transparence

1. La plupart des sites n’affichent pas leur version de PHP. Beaucoup d’hébergeurs la masquent. Le résultat le plus fréquent est donc « impossible à déterminer ».
2. Ne rien voir ne veut pas dire « à jour ».
3. Un numéro de version ne dit pas tout. Certaines distributions Linux (Debian, Ubuntu, Red Hat) appliquent les correctifs sans changer le numéro : une version qui paraît ancienne peut être corrigée.
4. L’information peut être trompeuse. Elle peut provenir d’un cache, d’un CDN ou d’un serveur intermédiaire, être restée figée dans une ancienne configuration, ou avoir été modifiée volontairement.
5. Une seule consultation, un seul serveur. Si votre hébergement répartit le trafic entre plusieurs serveurs, un seul est observé.
6. Les conditions des avis sont invisibles de l’extérieur (extensions PHP, PHP-FPM, système d’exploitation). Elles sont présentées comme des questions à poser à votre hébergeur, pas comme des constats.
7. Les données sont datées : elles sont mises à jour à chaque publication de PHP.
8. Ce n’est pas un audit de sécurité. WordPress, ses extensions et ses thèmes ne sont pas analysés.

Pour aller plus loin

Seul votre hébergeur peut confirmer l’état réel de PHP. Pour un contrôle complet, vous pouvez demander une vérification autorisée.