WordPress · Strapi v5 · Directus · Payload CMS · Ghost
| Composant | Description | Usage recommandé |
|---|---|---|
| WordPress.org (Core) | CMS open source self-hosted. Block Editor Gutenberg, REST API et WPGraphQL headless. PHP 8.2+, MariaDB. | Sites institutionnels, blogs, e-commerce (WooCommerce), portails mid-market, multilangues |
| WordPress VIP | Plateforme managed enterprise d'Automattic : infrastructure haute disponibilité, CDN global, sécurité renforcée, déploiement Git. | Grands médias (TechCrunch, Quartz), sites institutionnels CAC 40, e-commerce haute charge |
| WooCommerce | Extension e-commerce open source (30 % des boutiques en ligne mondiales). Paiements, catalogue, livraison, abonnements, B2B. | E-commerce PME/ETI, marketplaces, boutiques DTC (Direct-to-Consumer) |
| WordPress Headless | WordPress comme back-office CMS uniquement, front-end découplé en Next.js via WP REST API ou WPGraphQL. WP Engine Atlas. | Sites haute performance, applications hybrides web+mobile, architectures JAMstack CDN |
Node.js, MIT license, 60 000+ GitHub stars. Génère automatiquement une API REST et GraphQL depuis un modèle de contenu. Strapi v5 (2024) : meilleure performance, Content History, Draft & Publish avancé. Self-hosted ou Strapi Cloud. Cible idéale : ETI tech souhaitant un headless CMS maîtrisé sans dépendance à Contentful.
TypeScript/Node.js, GPL v3, 27 000+ GitHub stars. Directus wrappe n'importe quelle base SQL existante (PostgreSQL, MySQL) en exposant son schéma via une API REST+GraphQL avec un studio d'administration. Idéal pour les projets combinant CMS et backend applicatif métier.
TypeScript/Node.js, MIT, 30 000+ GitHub stars (2024). Configuration code-first (pas d'UI pour le modèle de données), React admin généré automatiquement. Cible les équipes fullstack TypeScript intégrant un CMS de première classe à leur base de code Next.js.
- Sécurité : WordPress est la cible N°1 des attaques web (force brute, injections via plugins vulnérables). Un WordPress non maintenu est compromis rapidement. Politique de mises à jour automatiques et WAF obligatoires en production.
- Qualité des plugins : sur 60 000+ plugins, la qualité est très hétérogène. Préférer des plugins maintenus activement, avec plus de 100 000 installations actives. Les plugins abandonnés sont des vecteurs d'attaque connus.
- RGPD : l'hébergement sur infrastructure EU est indispensable. Vérifier les plugins de consentement (Complianz, CookieBot) et les transferts de données vers services tiers (Google Analytics, Facebook Pixel).