Ce que signifie la fin de support
Publié en 2011, Drupal 7 a bénéficié d'une durée de vie exceptionnellement longue : sa fin de support, plusieurs fois repoussée, est intervenue le 5 janvier 2025. Depuis cette date :
- l'équipe de sécurité de Drupal ne publie plus de correctifs pour le cœur de Drupal 7 ;
- les modules contribués pour Drupal 7 ne sont plus couverts par la politique de sécurité de drupal.org ;
- les failles découvertes dans Drupal 7 peuvent être rendues publiques sans qu'aucun correctif officiel ne soit disponible.
Votre site continue de fonctionner normalement. C'est précisément ce qui rend la situation trompeuse : rien ne signale que le niveau de risque augmente.
Les risques concrets pour votre organisation
Une exposition croissante aux attaques
Les robots malveillants parcourent le web en permanence à la recherche de sites utilisant des versions vulnérables. Un site Drupal 7 est facilement identifiable. Chaque nouvelle faille publiée sans correctif accroît la surface d'attaque, et les conséquences d'une intrusion peuvent être lourdes : site défiguré, diffusion de contenus malveillants, vol de données, blocage par les moteurs de recherche.
Une responsabilité juridique engagée
Si votre site traite des données personnelles (comptes utilisateurs, formulaires, inscriptions), le RGPD impose de mettre en œuvre des mesures de sécurité appropriées. Maintenir en ligne un logiciel qui ne reçoit plus de correctifs peut être difficile à justifier en cas d'incident.
Un environnement technique qui se dérobe
Drupal 7 a été conçu pour des versions de PHP aujourd'hui anciennes. Les hébergeurs abandonnent progressivement ces versions, et certains modules ne fonctionnent pas correctement avec les versions récentes de PHP. Une simple évolution de l'hébergement peut rendre le site instable.
Des compétences qui se raréfient
Les développeurs se forment sur les versions actuelles de Drupal. Trouver un prestataire capable d'intervenir rapidement sur un site Drupal 7 devient chaque année plus difficile, et plus coûteux.
Les solutions transitoires
Si la migration ne peut pas être engagée immédiatement, plusieurs mesures permettent de réduire le risque en attendant.
- Le support étendu commercial. Des prestataires spécialisés proposent, sous contrat, des correctifs de sécurité pour Drupal 7 et pour une sélection de modules. C'est une solution utile pour gagner du temps, mais elle a un coût récurrent et ne couvre pas tous les modules.
- Le durcissement du site. Désactivation des modules inutilisés, suppression des comptes obsolètes, restriction de l'accès à l'administration, pare-feu applicatif, sauvegardes régulières et testées.
- Une veille active. Surveillance des failles publiées et application rapide des correctifs disponibles, qu'ils proviennent du support étendu ou de la communauté.
Ces mesures limitent le risque. Elles ne le suppriment pas : elles doivent accompagner un projet de migration, pas le remplacer.
La solution durable : migrer vers Drupal 11
Drupal 11 est la version actuelle de Drupal, maintenue pour plusieurs années. Le passage depuis Drupal 7 est un projet à part entière, car l'architecture du logiciel a profondément changé à partir de Drupal 8. Mais c'est aussi un investissement : vous obtenez un site moderne, plus sûr, plus performant, avec une interface d'administration nettement améliorée et des mises à jour beaucoup plus simples par la suite.
Nous détaillons la démarche, les étapes et les facteurs de coût dans notre guide : Migrer de Drupal 7 vers Drupal 11.
Changer de CMS : une option à étudier sérieusement
La fin de Drupal 7 est aussi l'occasion de se reposer la question de l'outil. Pour un site vitrine simple, une autre solution peut parfois être plus adaptée. Pour un site riche en contenus structurés, avec des droits d'accès fins, du multilingue ou des fonctionnalités métier, Drupal reste l'un des choix les plus solides. Un audit préalable permet de trancher sur des critères objectifs plutôt que sur des habitudes.
Comment nous vous accompagnons
- Audit de votre site Drupal 7 : modules utilisés, code spécifique, volume et structure des contenus, état de sécurité actuel.
- Sécurisation immédiate : mesures de durcissement et veille des failles pendant la période de transition.
- Plan de migration chiffré : périmètre, planning et budget, avec les choix à arbitrer.
- Migration et maintenance : reconstruction sous Drupal 11, reprise des contenus, préservation du référencement, puis maintenance de sécurité du nouveau site.
Nous avons accompagné de nombreux sites Drupal 7, dont certains repris après un incident de sécurité. Plus la démarche est engagée tôt, plus elle se déroule dans de bonnes conditions.