Le cœur promet une sécurité qu’il ne peut pas étendre à tout le site
Drupal publie des avis de sécurité pour son cœur, mais le projet le dit lui-même : les bibliothèques externes ajoutées par un développeur, les versions encore en développement, alpha ou bêta, et les projets déposés en bac à sable restent hors de ce filet. Un site construit avec des modules non couverts par ce filet porte donc une part de risque que ni Drupal ni sa documentation ne prennent en charge, sans qu’aucune alternative de couverture ne soit proposée par le projet lui-même.
Le projet se contredit sur le langage requis pour l’édition visuelle
Sans développeur, le cœur de Drupal permet déjà de créer types de contenu, champs, taxonomies et thèmes, et l’édition visuelle passe par l’outil Drupal Canvas. Mais les pages de l’éditeur se contredisent sur le code que cet outil suppose malgré tout de maîtriser : l’une parle de HTML, CSS et Twig, l’autre de JSX et CSS — les deux versions sont publiées, et rien ne permet de trancher laquelle est à jour.
Aucun trafic compté par le projet, un pare-feu facturé à la requête
Drupal ne fournit et ne facture lui-même ni bande passante ni visite : tout dépend de l’hébergement choisi par le client. Le seul service au forfait publié par le projet est Drupal Steward, un pare-feu incluant cent mille requêtes par mois, puis dix cents pour dix mille requêtes supplémentaires — une unité de comptage sans équivalent dans le forfait de site Webflow, qui fixe d’emblée un gigaoctet et mille visites par mois sur son offre Starter.
Ce que le code libre apporte réellement en échange
En contrepartie de ce qui reste à votre charge, Drupal donne un accès intégral au code sous licence GPL version deux ou ultérieure, un multilinguisme natif et gratuit couvrant plus de cent langues via quatre modules du cœur, et un annuaire de cinquante-six mille trois cent dix-neuf modules au 10 septembre 2026 — dont trois portent, à eux seuls, sur plus d’un million de sites additionnés : Pathauto sur quatre cent soixante-quatre mille cinquante-neuf sites, Metatag sur trois cent trente-trois mille trois cent quatre-vingt-dix-neuf, Redirect sur deux cent soixante-six mille trente-cinq.
Le référencement annoncé « natif » exige en réalité cinq modules à part
Le référencement est présenté comme intégré au cœur, mais il est en réalité livré par des modules contribués et gratuits : Pathauto, Metatag, Schema.org Metatag, Simple XML sitemap et Redirect. Dès qu’un site a besoin de ces briques de base — et le fichier robots.txt n’est même pas documenté dans le cœur — le mot « natif » ne correspond plus à ce qu’il faut réellement installer avant de publier.
Le taux de complétion du français reste une question sans réponse vérifiable
Le module Locale permet de livrer l’interface en français, avec sept cent quatre-vingt-douze contributeurs recensés sur les dix mille sept cent quatre-vingt-six chaînes source du cœur en version 11.4.6. Mais le taux de couverture réel de cette traduction ne peut pas être vérifié, la page qui le donnerait étant bloquée — un point qu’aucune des pages consultées ne permet de trancher autrement.
Le prix à zéro ne dit rien du budget d’hébergement et de pare-feu
Aucun prix n’est publié pour le logiciel Drupal, sous licence GPL version deux ou ultérieure. Mais l’hébergement géré recommandé démarre à vingt-neuf dollars et quatre-vingt-quinze cents par mois, le pare-feu Drupal Steward ajoute quinze dollars par domaine et par mois, et les prestations d’agence restent facturées à part — trois postes qu’aucun prix affiché à zéro ne laisse deviner.
