Cloudflare EmDash : le successeur de WordPress natif IA

WordPress propulse environ 40 % du web. Il est aussi responsable de la grande majorité des failles de sécurité liées aux CMS, avec 96 % des vulnérabilités WordPress provenant de son écosystème de plugins. Cloudflare a décidé que ce constat était inacceptable.

Le 1er avril 2026, Cloudflare a dévoilé EmDash, un CMS open source sous licence MIT, entièrement écrit en TypeScript et construit sur Astro 6.0. Malgré la date du poisson d'avril, il ne s'agit pas d'une blague. EmDash est une refonte complète de ce que devrait être un système de gestion de contenu à l'ère du serverless et des agents IA.

Pourquoi WordPress a besoin d'un successeur

WordPress était révolutionnaire en 2003. Deux décennies plus tard, son architecture monolithique en PHP et son modèle de plugins sans restrictions sont devenus des handicaps. Les plugins peuvent accéder à la base de données, au système de fichiers et au réseau sans aucune restriction. Un seul plugin compromis peut faire tomber un site entier.

L'écosystème WordPress peine aussi avec les modèles de déploiement modernes. Le faire tourner en serverless nécessite des solutions de contournement complexes, et sa dépendance à MySQL et PHP le rend incompatible avec les plateformes d'edge computing.

EmDash résout ces problèmes au niveau architectural plutôt que de les colmater avec des plugins de sécurité.

Plugins sandboxés : la sécurité par conception

L'innovation la plus significative d'EmDash est son système de plugins basé sur les capacités. Chaque plugin doit déclarer ses permissions en amont dans un manifeste, similaire aux scopes OAuth :

import { definePlugin } from "emdash";
 
export default () => definePlugin({
  id: "notify-on-publish",
  version: "1.0.0",
  capabilities: ["read:content", "email:send"],
  hooks: {
    "content:afterSave": async (event, ctx) => {
      if (event.status === "published") {
        await ctx.email.send({
          to: "editor@example.com",
          subject: `New post: ${event.title}`,
        });
      }
    },
  },
});

Chaque plugin tourne dans son propre Dynamic Worker, un isolat V8 qui l'empêche d'accéder à la base de données, au système de fichiers ou à tout point réseau non explicitement déclaré. Si un plugin ne demande que read:content et email:send, c'est tout ce qu'il peut faire.

C'est un changement fondamental par rapport à WordPress, où n'importe quel plugin peut exécuter du code PHP arbitraire avec un accès complet au serveur.

Construit sur Astro : la performance avant tout

EmDash utilise Astro 6.0 comme moteur de rendu. Les thèmes sont des projets Astro standard combinant routes, layouts, composants et Tailwind CSS. Le contenu est stocké en Portable Text (JSON structuré) plutôt qu'en HTML brut, facilitant le rendu sur différentes plateformes et formats.

L'interrogation du contenu dans un thème est simple :

---
import { getEmDashCollection } from "emdash";
const { entries: posts } = await getEmDashCollection("posts");
---
 
{posts.map(post => (
  <article>
    <h2>{post.title}</h2>
    <p>{post.excerpt}</p>
  </article>
))}

Les thèmes sont également sandboxés. Contrairement aux thèmes WordPress qui peuvent exécuter des requêtes de base de données arbitraires, les thèmes EmDash ne peuvent pas effectuer d'opérations de base de données par conception.

Natif IA dès le premier jour

Là où EmDash se distingue véritablement, c'est dans son intégration IA. Le CMS embarque trois couches de support pour les agents :

Agent Skills : des guides contextuels pour les assistants de codage IA afin de construire des plugins, des thèmes et gérer les migrations WordPress
CLI : une interface programmatique permettant aux agents de télécharger des médias, rechercher du contenu et gérer les schémas
Serveur MCP : un serveur Model Context Protocol intégré permettant à des outils comme Claude et ChatGPT d'interagir directement avec votre site

Cela signifie que vous pouvez demander à un agent IA de « migrer mon blog WordPress vers EmDash » ou de « créer un plugin d'inscription à la newsletter », et l'agent disposera des outils et du contexte pour exécuter ces tâches.

Serverless par défaut

EmDash se déploie nativement sur Cloudflare Workers avec une facturation à l'utilisation réelle. Votre CMS ne consomme des ressources que lors du traitement des requêtes. Pour un site de contenu avec des pics de trafic autour des nouvelles publications, cela peut réduire considérablement les coûts d'hébergement par rapport à des serveurs toujours actifs.

La couche base de données prend en charge plusieurs backends : SQLite, Turso/libSQL, PostgreSQL ou Cloudflare D1. Les options de stockage incluent les services compatibles S3, Cloudflare R2 ou le système de fichiers local.

Pour les équipes préférant l'auto-hébergement, EmDash fonctionne aussi sur tout serveur Node.js standard.

x402 : monétisation sans abonnements

EmDash intègre le support natif du standard de paiement ouvert x402, permettant aux créateurs de contenu de facturer à l'utilisation sans infrastructure d'abonnement. Configurez le contenu à restreindre, définissez un prix et fournissez une adresse de portefeuille. Le protocole gère le reste.

C'est particulièrement intéressant pour les interactions avec les agents IA. Un agent accédant à votre API de contenu peut payer par requête via des paiements machine-à-machine, ouvrant de nouveaux modèles de monétisation pour les éditeurs de contenu.

Chemin de migration depuis WordPress

Cloudflare veut clairement que les utilisateurs WordPress migrent. EmDash propose deux chemins de migration :

Import WXR : exportez depuis l'admin WordPress et importez via l'assistant EmDash
Plugin EmDash Exporter : installez-le sur votre site WordPress pour créer un point de migration sécurisé avec les mots de passe d'application

Les types de contenu personnalisés sont automatiquement convertis en collections EmDash, et les fichiers médias sont migrés vers le backend de stockage choisi.

Démarrage

Créer un nouveau projet EmDash ne demande qu'une commande :

npm create emdash@latest

La configuration Astro est minimale :

import emdash from "emdash/astro";
import { d1 } from "emdash/db";
 
export default defineConfig({
  integrations: [emdash({ database: d1() })],
});

Le panneau d'administration est accessible sur /_emdash/admin avec une authentification par passkeys par défaut. Pas de mots de passe, pas de vecteurs de force brute.

Ce que cela signifie pour le paysage CMS

EmDash est actuellement en version preview v0.1.0. Il n'est pas prêt à remplacer des sites WordPress en production aujourd'hui. Mais les choix architecturaux sont significatifs :

Licence MIT au lieu de GPL supprime les restrictions qui ont contraint le commerce des plugins WordPress
TypeScript au lieu de PHP s'aligne avec les pratiques de développement full-stack modernes
Plugins sandboxés résolvent le problème de sécurité à la racine plutôt que de superposer des WAF et des scanners
Conception native IA positionne EmDash pour un avenir où les agents gèrent et créent du contenu de manière programmatique

Cloudflare parie que la prochaine génération de gestion de contenu sera serverless, sécurisée par défaut, et gérée par des agents IA autant que par des humains. Que EmDash concrétise cette vision ou non, les fondations architecturales sont solides.

Le code source est disponible sur GitHub sous licence MIT. Si vous construisez des sites orientés contenu avec TypeScript et souhaitez expérimenter le futur des CMS, EmDash mérite d'être évalué.