Un site Drupal sur deux ne reçoit plus de correctifs de sécurité

J'ai analysé un peu plus de 45 000 sites qui tournent sous Drupal. Le but était simple : savoir dans quel état est réellement le parc, version par version. Le résultat est plus net que je ne le pensais. Parmi les sites encore sous Drupal, plus d'un sur deux tourne sur une version qui ne reçoit plus aucun correctif de sécurité. En chiffres, cela fait plus de 18 000 sites en fin de vie, laissés sur des versions que plus personne ne protège.

Ce chiffre mérite qu'on s'y arrête, parce qu'il décrit une situation à la fois banale et dangereuse, et parce que la sortie n'est pas celle qu'on croit.

Ce que « fin de vie » veut dire vraiment

Un site en fin de vie n'est pas un site en panne. Il sert ses pages, encaisse ses formulaires et génère son trafic comme la veille. C'est précisément ce qui rend la situation trompeuse : tout semble fonctionner, donc rien ne semble urgent.

Sous la surface, c'est autre chose. Quand une version de Drupal atteint sa fin de support, l'équipe de sécurité arrête de publier des correctifs pour elle. Drupal 7 est dans ce cas depuis janvier 2025, Drupal 8 depuis novembre 2021, Drupal 9 depuis novembre 2023. À partir de là, chaque faille découverte reste ouverte pour toujours sur ces sites. Et ces failles ne sont pas secrètes : elles sont documentées publiquement, donc connues des robots qui scannent le web en continu à la recherche de cibles faciles. Un site en fin de vie n'est pas menacé un jour lointain, il l'est maintenant.

Dans mon analyse, Drupal 7 pèse à lui seul près de 12 600 sites, soit plus du tiers du parc. C'est énorme, et c'est logique : Drupal 7 a été une version aimée, simple, stable, et beaucoup de sites qui font bien leur travail n'ont jamais eu de raison d'en bouger. Jusqu'à ce que le support s'arrête.

Le réflexe Drupal 11, et sa limite

Face à un Drupal 7 mort, le réflexe est presque toujours le même : « il faut migrer vers Drupal 11 ». C'est un bon conseil pour une partie des sites, et un mauvais conseil pour beaucoup d'autres.

Un mauvais conseil, parce qu'une migration de Drupal 7 vers Drupal 11 n'est pas une mise à jour, c'est une reconstruction. Nouvelle installation, contenu remigré par l'outil de migration, thème réécrit de zéro, modules repensés ou remplacés. Pour un site premium, stratégique, à ambition d'écosystème moderne, cet investissement se justifie pleinement, et nous le menons. Pour un site éditorial ou institutionnel qui fait très bien son travail et n'a besoin de rien de plus, c'est surinvestir : payer le prix d'une reconstruction complète pour continuer à faire exactement la même chose.

C'est là que la plupart des propositions s'arrêtent, parce que la reconstruction Drupal 11 est aussi ce qui rapporte le plus à celui qui la vend.

L'option qu'on oublie de vous proposer : Backdrop

Il existe une autre sortie, bien moins connue, pour les sites Drupal 7 qui n'ont pas besoin de Drupal 11. Elle s'appelle Backdrop.

Backdrop est un dérivé direct de Drupal 7, lancé en 2013 par des contributeurs du core Drupal, précisément pour offrir une continuité à ceux qui appréciaient la simplicité de Drupal 7 sans vouloir la lourdeur des versions modernes. Il est stable, activement maintenu, reçoit ses correctifs de sécurité et fait tourner des milliers de sites. Comme il descend directement de Drupal 7, la migration n'est pas une reconstruction : c'est un prolongement. Le contenu, la structure et les URLs se transposent, pour une fraction du coût et de l'effort d'un Drupal 11, souvent de l'ordre de la moitié.

Presque personne ne se positionne sur cette voie, justement parce qu'elle est moins lucrative à vendre. C'est pourtant, pour une grande part de ces 12 600 sites Drupal 7, la réponse la plus sensée : sortir d'une version morte, rester sécurisé, sans reconstruire ce qui marche déjà.

Et les sites déjà sous Drupal 10 ?

Mon analyse a aussi relevé près de 10 400 sites en Drupal 10. Ceux-là ne sont pas en fin de vie, mais une échéance approche : le support de sécurité de Drupal 10 s'arrête le 9 décembre 2026. Leur cas est plus simple. Le passage de Drupal 10 à Drupal 11 n'est pas une migration, c'est une mise à niveau mineure, rapide et peu coûteuse tant qu'on s'y prend tôt, avant que les dépendances ne s'accumulent. Pour eux, le bon geste est de ne pas attendre décembre.

La bonne réponse dépend de votre site

Ce que ces 45 000 sites racontent, ce n'est pas « tout le monde doit passer à Drupal 11 ». C'est qu'il y a plusieurs sorties, et que la bonne dépend du site. Un site premier a intérêt à reconstruire en Drupal 11. Un site éditorial gagne à sortir en douceur vers Backdrop. Un site Drupal 10 doit faire sa mise à niveau avant l'échéance. Et rester sur une version morte n'est une option pour personne, comme le rappelle notre article sur les avis de sécurité Drupal.

La seule chose que je fais systématiquement, c'est de dire honnêtement laquelle de ces voies sert le site que j'ai devant moi, même quand ce n'est pas la plus chère. Si votre site tourne encore sur Drupal 7, 8 ou 9, ou s'il est en Drupal 10 avec l'échéance de décembre en tête, le diagnostic de migration établit précisément où vous en êtes et quelle sortie vous convient. C'est le meilleur point de départ pour décider sereinement, avant que l'écart ne se creuse davantage.