WordPress fête bientôt ses 24 ans. Et pour la première fois, un acteur majeur de l'infrastructure web ose proposer une alternative crédible, construite de zéro. Cloudflare vient d'annoncer EmDash, un CMS open source pensé pour l'ère du serverless et de l'IA. Tour d'horizon de ce projet qui pourrait redistribuer les cartes.
Pourquoi Cloudflare s'attaque à WordPress
WordPress propulse plus de 40 % des sites web dans le monde. C'est un succès incontestable qui a démocratisé la publication en ligne comme aucun autre outil avant lui. Mais le projet a été conçu à une époque où héberger un site signifiait louer un serveur dédié. AWS EC2 n'existait même pas encore.
Depuis, le web a radicalement changé. Les environnements serverless permettent aujourd'hui de déployer un site sur un réseau mondial distribué, pour un coût quasi nul. Plutôt que de moderniser WordPress brique par brique, Cloudflare a fait le choix de repartir d'une page blanche.
Le résultat s'appelle EmDash. Cloudflare le présente comme le « successeur spirituel » de WordPress : un CMS entièrement écrit en TypeScript, propulsé par le framework Astro, et conçu nativement pour les architectures serverless.
La sécurité des plugins : le problème central que résout EmDash
C'est le point le plus marquant du projet. Sur WordPress, 96 % des failles de sécurité proviennent des extensions. En 2025, le nombre de vulnérabilités critiques découvertes dans l'écosystème WordPress a dépassé celui des deux années précédentes cumulées.
Comment WordPress gère les plugins
Un plugin WordPress est un script PHP qui s'exécute dans le même environnement que le CMS. Il a un accès direct à la base de données et au système de fichiers. En installant une extension, vous lui faites confiance pour gérer correctement chaque entrée malveillante ou cas limite. C'est une surface d'attaque énorme.
L'approche d'EmDash : l'isolation par design
EmDash renverse complètement ce modèle. Chaque plugin s'exécute dans son propre environnement isolé (un Dynamic Worker). Il n'a aucun accès par défaut : il doit déclarer explicitement dans un fichier manifeste les permissions dont il a besoin.
Concrètement, un plugin qui envoie un email après la publication d'un article déclare uniquement deux capacités : read:content et email:send. Il ne peut rien faire d'autre. S'il a besoin d'un accès réseau, il doit même préciser le hostname exact.
Le principe est similaire au système de permissions des applications mobiles. L'administrateur voit à l'avance ce que le plugin demande, et décide en connaissance de cause. Fini les extensions qui aspirent vos données en arrière-plan.
Un CMS serverless, mais pas uniquement pour Cloudflare
EmDash est conçu pour tourner sur la plateforme Workers de Cloudflare, mais il ne s'y limite pas. Le CMS fonctionne aussi sur n'importe quel serveur Node.js avec SQLite. Les couches d'abstraction sont portables : Kysely pour le SQL, l'API S3 pour le stockage. Vous pouvez brancher PostgreSQL, Turso, AWS S3 ou simplement des fichiers en local.
Sur l'infrastructure Cloudflare, EmDash tire parti de l'architecture V8 isolate du runtime open source workerd. Les sites démarrent instantanément à la première requête, montent en charge automatiquement, et redescendent à zéro quand il n'y a plus de trafic. La facturation se fait uniquement sur le temps CPU réellement consommé.
Pour les hébergeurs, c'est un changement de paradigme par rapport au modèle WordPress qui impose de provisionner des serveurs en permanence, même quand personne ne visite le site.
Licence MIT : une rupture avec le modèle GPL de WordPress
Cloudflare a fait un choix de licence délibéré. EmDash est distribué sous licence MIT et n'utilise aucun code WordPress. Cette décision a des conséquences directes pour les développeurs de plugins et de thèmes.
Sur WordPress, la licence GPL impose que les extensions et thèmes dérivés soient eux aussi sous GPL. Cette contrainte, combinée à la marketplace centralisée de WordPress.org (dont la file d'attente de validation dépasse 800 plugins pour un délai de plus de deux semaines), crée un effet de verrouillage.
Avec EmDash, les développeurs choisissent leur propre licence, comme sur NPM ou PyPi. L'écosystème est ouvert, sans dépendance à une marketplace centrale pour établir la confiance. C'est le modèle de sécurité technique lui-même qui assure la confiance, pas la réputation d'un store.
Des thèmes modernes avec Astro
Les thèmes EmDash reposent sur Astro, un framework web de plus en plus adopté pour les sites orientés contenu. Un thème est un projet Astro classique comprenant des pages, des layouts, des composants, des styles et un fichier de configuration.
Pour les développeurs frontend habitués aux frameworks JavaScript modernes, c'est un environnement immédiatement familier. Et contrairement aux thèmes WordPress qui passent par functions.php (un environnement d'exécution sans restrictions), les thèmes EmDash ne peuvent jamais effectuer d'opérations en base de données.
Le contenu est stocké au format Portable Text (JSON structuré), qui découple le contenu de sa présentation HTML. Un même contenu peut être rendu en page web, en application mobile, en email ou via une API, sans parsing HTML.
Paiement intégré avec x402 : un modèle économique pour l'ère de l'IA
EmDash intègre nativement le support du protocole x402, un standard ouvert de micropaiement basé sur le code HTTP 402 (Payment Required). Chaque site EmDash peut facturer l'accès à son contenu sans abonnement, sur un modèle pay-per-use.
Le scénario cible est clair : dans un futur où les agents IA consomment du contenu à la place des humains, les créateurs ont besoin de nouveaux modèles de monétisation qui ne reposent plus sur la publicité. Il suffit de configurer quel contenu est payant, fixer un prix, et fournir une adresse de wallet.
Un CMS pensé pour l'IA dès la conception
Cloudflare positionne clairement EmDash comme un CMS « AI-native ». Chaque instance embarque plusieurs outils conçus pour les agents IA :
- Un serveur MCP intégré (Model Context Protocol) qui permet à des outils comme Claude ou ChatGPT d'interagir directement avec le CMS.
- Une CLI complète pour gérer le contenu, les médias et les schémas en ligne de commande.
- Des Agent Skills qui documentent les capacités du CMS et guident les agents dans la création de plugins, de thèmes ou la migration depuis WordPress.
L'objectif : automatiser les tâches répétitives de gestion de contenu (migration, restructuration de champs, renommage en masse) qui sont traditionnellement fastidieuses sur un CMS classique.
Migration depuis WordPress : c'est prévu
EmDash propose deux méthodes pour importer un site WordPress existant. La première passe par l'export WXR classique depuis l'interface d'administration WordPress. La seconde utilise un plugin dédié (EmDash Exporter) qui crée un endpoint sécurisé, protégé par mot de passe.
La migration prend quelques minutes et transfère automatiquement les articles, pages, médias et taxonomies. Les types de contenu personnalisés (custom post types) peuvent être convertis en collections EmDash avec leur propre schéma.
Authentification par Passkeys et gestion des rôles
EmDash utilise l'authentification par Passkeys (WebAuthn) par défaut. Pas de mots de passe à fuiter, pas de vecteurs de brute force à gérer. Le système de rôles classique est présent : administrateur, éditeur, auteur, contributeur. L'authentification est pluggable, avec la possibilité de connecter votre SSO et de provisionner les accès automatiquement.
Faut-il migrer vers EmDash dès maintenant ?
Non, pas encore. EmDash est en version 0.1.0 preview. C'est une bêta destinée aux développeurs curieux qui veulent explorer la plateforme. L'écosystème de plugins et de thèmes est encore quasi inexistant, et c'est précisément la force historique de WordPress : sa communauté massive, ses milliers d'extensions et de thèmes prêts à l'emploi.
Mais le projet envoie un signal fort. Le conflit WP Engine vs WordPress a montré la fragilité de l'écosystème actuel. EmDash réintroduit de la diversité et propose une vision moderne de ce que devrait être un CMS en 2026 : serverless, sécurisé par design, ouvert, et prêt pour l'IA.
Pour tester EmDash, une seule commande suffit :
npm create emdash@latestUn playground en ligne est aussi disponible sur emdashcms.com pour se faire une idée sans rien installer. Et le code source complet est sur GitHub, sous licence MIT.
Chez Publiko, nous concevons tout type de site internet, qu'il s'agissent d'un WordPress, d'un autre framework, ou d'une application complètement sur mesure. Contactez-nous pour établir un devis gratuit.
