Dernière mise à jour : septembre 2026
En octobre 2024, des millions de sites WordPress ont découvert qu’un plugin qu’ils utilisaient au quotidien pouvait changer de mains du jour au lendemain. Advanced Custom Fields (ACF), l’un des plugins les plus installés de l’écosystème WordPress, a été forké par WordPress.org en plein conflit juridique avec WP Engine, son propriétaire. Le résultat : deux plugins concurrents pour le même besoin, une confusion généralisée, et une question que peu de propriétaires de sites se posent avant qu’il ne soit trop tard — que se passe-t-il quand une dépendance critique de votre site change de propriétaire ?
Ce qui s’est passé — chronologie des faits
Septembre 2024 — Matt Mullenweg, cofondateur de WordPress et CEO d’Automattic, bloque WP Engine de l’accès aux ressources WordPress.org. WP Engine, hébergeur majeur et propriétaire d’ACF depuis son rachat en 2022, se retrouve coupé du répertoire officiel de plugins.
Octobre 2024 — WordPress.org invoque la clause 18 de ses guidelines et fork ACF en Secure Custom Fields (SCF). Le listing original d’ACF sur le répertoire WordPress.org est remplacé par SCF. Les sites qui avaient ACF version gratuite installée depuis WordPress.org reçoivent désormais les mises à jour de SCF à la place — sans action de la part du propriétaire du site.
Décembre 2024 — Un tribunal fédéral américain accorde une injonction préliminaire à WP Engine. Automattic doit restaurer l’accès de WP Engine à WordPress.org et rendre le contrôle du dépôt ACF sous 72 heures. WP Engine regagne l’accès et le contrôle du plugin.
2025 — La procédure judiciaire se poursuit. Le tribunal autorise la majorité des plaintes de WP Engine à avancer, incluant l’interférence intentionnelle dans les relations commerciales, la concurrence déloyale et la diffamation. ACF Pro continue d’être vendu et maintenu par WP Engine. SCF reste disponible sur WordPress.org comme fork libre.
ACF et SCF — état des lieux actuel
ACF Pro reste le plugin commercial de référence pour les champs personnalisés WordPress. Il est toujours maintenu par l’équipe WP Engine, vendu depuis le site officiel advancedcustomfields.com, et les mises à jour se font via le système de licence intégré au plugin — pas via WordPress.org. Pour les sites en production qui utilisent ACF Pro, rien n’a changé fonctionnellement. Le plugin fonctionne, les mises à jour arrivent, le support est assuré.
ACF version gratuite n’est plus disponible sur WordPress.org. Le listing a été remplacé par SCF. Les sites qui avaient la version gratuite d’ACF installée depuis le répertoire officiel ont été basculés vers SCF lors de la mise à jour automatique d’octobre 2024 — souvent sans que le propriétaire du site s’en rende compte.
SCF (Secure Custom Fields) est le fork libre maintenu sur WordPress.org. Il couvre les fonctionnalités de base d’ACF gratuit, mais ne contient pas les fonctionnalités Pro : Repeater, Flexible Content, Options Pages, Gallery, Clone et acf_register_block_type(). Pour un site qui n’utilise que les champs personnalisés de base, SCF est fonctionnellement équivalent. Pour un site qui repose sur les champs Pro — ce qui est le cas de la majorité des sites avec une architecture de contenu avancée — SCF n’est pas un remplacement.
La vraie leçon — la gestion des dépendances critiques
Au-delà du conflit WP Engine / Automattic, cette situation met en lumière un problème structurel que la plupart des sites WordPress ignorent : la gestion des dépendances critiques.
Un plugin comme ACF n’est pas un simple ajout. C’est une dépendance structurelle. Les champs personnalisés qu’il crée sont intégrés dans les templates du thème, dans la logique métier du site, dans les requêtes de la base de données. Retirer ACF d’un site qui l’utilise intensivement, c’est comme retirer les fondations d’un bâtiment — tout ce qui est au-dessus s’effondre.
Quand ce type de plugin change de mains, la migration n’est pas un simple « désinstaller / installer l’alternative ». Il faut vérifier la compatibilité de chaque champ, tester chaque template qui appelle les fonctions ACF, valider que les données existantes sont correctement lues par le nouveau plugin. Sur un site complexe, c’est des jours de travail.
La question que cette situation pose : combien de plugins critiques votre site utilise-t-il sans plan B ? La réponse, sur la plupart des sites WordPress en production, est « plusieurs ». Et la grille d’évaluation pour choisir un plugin fiable devrait inclure cette dimension : que se passe-t-il si ce plugin disparaît, change de propriétaire ou devient incompatible du jour au lendemain ?
Comment se protéger
Documenter les dépendances critiques. Pour chaque site en maintenance, identifier les plugins sans lesquels le site ne fonctionne pas. ACF, WooCommerce, un page builder, un plugin de formulaire — ce sont les plugins dont la disparition casserait le site. Chacun devrait avoir une fiche : version installée, fonctionnalités utilisées, alternatives connues, niveau de risque.
Tester avant de mettre à jour. Le fait qu’ACF ait été silencieusement remplacé par SCF via une mise à jour automatique montre le danger des mises à jour non contrôlées sur les plugins critiques. Un environnement de staging permet de tester chaque mise à jour majeure avant de l’appliquer en production — surtout quand le plugin vient de changer de mainteneur.
Contrôler les sources de mise à jour. Un plugin installé depuis WordPress.org se met à jour depuis WordPress.org. Un plugin commercial (ACF Pro, Gravity Forms, WP Rocket) se met à jour depuis le serveur de l’éditeur. Savoir d’où viennent les mises à jour de chaque plugin permet d’anticiper les problèmes — et d’éviter de se retrouver avec un fork non souhaité installé automatiquement.
Intégrer l’évaluation des dépendances dans la maintenance. L’audit des plugins ne devrait pas se limiter aux mises à jour de sécurité. Il devrait inclure une veille sur l’écosystème : le plugin est-il toujours activement maintenu ? Son modèle économique est-il stable ? Y a-t-il des signaux de risque (changement de propriétaire, conflit avec WordPress.org, abandon du développement) ? Cette veille fait partie d’une stratégie de maintenance sérieuse — pas d’un audit ponctuel.
Ce type de risque n’est pas hypothétique. ACF concernait des millions de sites. Le prochain incident de ce type touchera un autre plugin — la question n’est pas « si » mais « quand ». Les sites qui auront documenté leurs dépendances et préparé des alternatives seront ceux qui s’en sortiront sans interruption de service.
FAQ
Mon site utilise ACF Pro — dois-je migrer vers SCF ?
Non. ACF Pro est toujours activement maintenu par WP Engine, les mises à jour sont régulières, et le plugin se met à jour via son propre système de licence, indépendamment de WordPress.org. Si ACF Pro fonctionne sur votre site, il n’y a aucune raison technique de migrer. SCF ne contient d’ailleurs pas les fonctionnalités Pro (Repeater, Flexible Content, Options Pages), donc la migration impliquerait une perte de fonctionnalités.
Mon site affiche « Secure Custom Fields » alors que j’avais installé ACF — que s’est-il passé ?
Lors du fork d’octobre 2024, WordPress.org a remplacé le listing d’ACF gratuit par SCF. Les sites qui avaient la version gratuite d’ACF installée depuis le répertoire officiel ont reçu SCF comme « mise à jour ». Si votre site utilise uniquement les fonctionnalités de base (champs texte, image, sélection), SCF est fonctionnellement équivalent et il n’y a pas d’action urgente. Si votre site utilisait des fonctionnalités avancées de la version gratuite, vérifiez que tout fonctionne correctement — notamment les appels de fonctions ACF dans vos templates.
Comment savoir si un plugin est une dépendance critique de mon site ?
Un plugin est une dépendance critique si sa désactivation casse le site — visuellement, fonctionnellement ou structurellement. Le test le plus simple : désactivez le plugin sur un site de staging et naviguez sur le site. Si des pages affichent des erreurs, si des fonctionnalités disparaissent, si la mise en page se casse — c’est une dépendance critique. Les candidats habituels : les plugins de champs personnalisés (ACF, Pods), les page builders (Elementor, Divi), les plugins de formulaires (Gravity Forms, WPForms), WooCommerce sur un site e-commerce, et les plugins de cache (WP Rocket, LiteSpeed Cache). Chacun devrait être documenté dans le cadre de la maintenance préventive du site.
Vous voulez un audit des dépendances critiques de votre site WordPress ?