Nous avons construit un thème avec moins de possibilités.

Le développeur déclare en PHP les champs éditables d'une page. Le client remplit ceux-là, et rien d'autre : ni la mise en page, ni les extensions, ni le thème, ni la structure de ses pages.

Ce n'est pas de la défiance envers lui. C'est reconnaître qu'on ne lui a jamais promis d'être développeur, et qu'on n'a aucune raison de le mettre en position de se tromper. Un formulaire de huit champs nommés dans sa langue ne demande aucun apprentissage ; un éditeur de blocs en demande un, et il se facturera en appels le vendredi soir.

La frontière n'est pas une consigne orale qu'on répète à la livraison. C'est une capacité, écrite dans le code. Elle survit au changement d'interlocuteur, et elle ne s'use pas.

Il n'y a pas d'éditeur riche. Pas de constructeur de pages. Pas de champ « contenu libre » où l'on colle du HTML trouvé ailleurs.

Un site livré avec Ironframe ressemble, six mois plus tard, à ce qu'il était le jour de la livraison. Les titres ont la même taille, les images le même cadrage, les marges la même valeur. C'est l'essentiel de ce que nous vendons, et c'est parfaitement invisible tant qu'on ne l'a pas perdu ailleurs.

Une contrainte n'a de valeur que si elle tient. Celle-ci tient parce qu'elle est structurelle : il n'existe aucun champ par lequel la contourner.

Le système de champs n'utilise que les fonctions natives de WordPress. Aucune extension, aucune librairie, aucun paquet à installer. Il ne peut donc être ni racheté, ni abandonné, ni compromis par un tiers.

Cela ne vise personne : les extensions de champs qui nous ont précédés sont excellentes. Le problème n'a jamais été leur qualité, mais le fait que la fonction centrale de nos sites dépendait d'une décision qui nous échappait — un rachat, un changement de licence, une version majeure devenue payante.

En revanche, Ironframe reste pleinement compatible avec les extensions que vous voudrez installer : formulaires, référencement, multilingue, sauvegardes. Nous ne réinternalisons que ce dont nous dépendions, jamais ce que d'autres font mieux.

Le thème s'installe en copiant un dossier. Pas de compilation, pas de gestion de paquets, pas d'outillage à maintenir.

Un site livré aujourd'hui se reprend dans cinq ans avec un éditeur de texte et un client FTP. Peu de produits modernes peuvent en dire autant : la plupart exigent de retrouver la bonne version de Node, le bon gestionnaire de paquets, et un fichier de verrouillage que plus rien n'installe.

Ce que nous refusons n'est pas l'outillage. C'est de le rendre obligatoire pour lire et corriger un site en production.

Tout ce que l'API renvoie est déjà échappé. Sortir du contenu brut demande un appel différent, explicite, qui se voit dans une relecture de code.

Les valeurs sont nettoyées à l'écriture et à la lecture. Une donnée arrivée par un import, une migration ou une écriture directe en base est traitée avec la même méfiance qu'une saisie de formulaire — parce qu'on ne sait jamais par où une valeur est réellement entrée.

Les droits du rôle client sont la vraie frontière. Ce qui est masqué dans l'interface ne fait qu'éviter le mauvais clic ; ce n'est jamais ce qui protège.

Une déclaration de champ erronée prive le client d'un champ. Elle ne provoque pas d'erreur fatale, et le site continue de fonctionner. L'erreur est signalée au développeur, en développement seulement ; le visiteur, lui, ne voit rien.

Un champ obligatoire vidé par mégarde sur une page en ligne conserve sa valeur précédente et affiche un message. La page n'est jamais dépubliée : mettre le site d'un client hors service pour une faute de frappe serait un remède pire que le mal.

Pas de valeur de repli qui réapparaît toute seule. Pas de champ qui se remplit après avoir été vidé. Pas de comportement qui diffère entre l'écran d'édition et la page publiée.

Une valeur par défaut ne s'applique que tant que le champ n'a jamais été enregistré. Ensuite elle disparaît du raisonnement, définitivement.

La prévisibilité vaut mieux que l'intelligence. Un système qui devine se trompe, et personne ne sait pourquoi.

Le moteur et votre projet sont deux dossiers distincts. Le premier se met à jour, le second vous appartient. Aucune mise à jour ne touchera vos gabarits, vos schémas ni vos styles.

Et parce qu'un accident reste possible, les valeurs des champs sont révisionnées : ce qu'un client supprime, vous pouvez le restaurer — y compris le contenu d'une liste entière vidée d'un seul clic.