Extension de sécurité WordPress gratuite : que doit-elle vérifier, et que ne doit-elle jamais faire ?

Le répertoire WordPress.org compte de nombreuses extensions qui ont « sécurité » dans leur nom, et presque toutes ont une version gratuite. Les descriptions se ressemblent, et vous n'allez pas lire le code. Alors comment choisir ?

Voici cinq critères que vous pouvez évaluer vous-même : à partir de la fiche du répertoire, de l'écran des réglages et du premier scan. Suivent les choses qu'une extension gratuite ne doit pas faire, avec les règles du répertoire lui-même.

Ce qu'une extension peut faire, et ce qu'elle ne peut pas faire

Une extension de sécurité travaille depuis l'intérieur du site. Elle voit les fichiers sur le serveur, la base de données, les comptes utilisateurs et les réglages. Un scan depuis l'extérieur ne voit rien de tout cela, donc une bonne extension couvre ce qui demande un accès.

Une extension reste pourtant une partie de WordPress. Quelqu'un qui prend le contrôle du site avec des droits d'administrateur peut la désactiver ou modifier ses réglages. C'est pourquoi aucune extension n'offre une protection complète, et aucune extension honnête ne la promet. Considérez-la comme une couche parmi d'autres, à côté des mises à jour, des sauvegardes et du contrôle du site depuis l'extérieur.

1. Elle vérifie et signale, et ne modifie rien sans votre accord

L'essentiel de sa valeur vient de vérifications en lecture seule :

• comparer les fichiers de WordPress, des extensions et des thèmes avec les sommes de contrôle officielles de WordPress.org pour votre version, ce qui repère les fichiers altérés,
• chercher des fichiers PHP dans le dossier des téléversements, où ils n'ont rien à faire,
• lister tous les comptes qui ont des droits d'administrateur,
• trouver les fichiers que le serveur livre à n'importe qui : copies de wp-config.php, exports de base de données, archives contenant une sauvegarde du site,
• repérer les réglages qui facilitent une intrusion : mode débogage resté actif, éditeur de fichiers dans l'administration, inscription des utilisateurs ouverte.

Les modifications, comme désactiver XML-RPC ou mettre un fichier en quarantaine, ne doivent intervenir qu'après un clic de votre part. Les « corrections » automatiques peuvent faire tomber une boutique : l'extension supprime un fichier qu'elle juge suspect, et ce fichier fait partie du thème.

Comment vérifier : cherchez dans la fiche une phrase indiquant que l'extension ne modifie rien sans votre consentement. Après le premier scan, regardez si les résultats ont seulement été affichés ou si quelque chose a déjà été changé.

2. Elle ne ralentit pas le site

Un scan complet des fichiers représente un vrai travail pour un serveur. Une bonne extension le découpe en petites étapes exécutées en arrière-plan, ignore les fichiers qui n'ont pas changé et ne fait rien de lourd à chaque visite de vos pages.

Comment vérifier : mesurez le temps de chargement dans PageSpeed Insights avant l'installation et un jour après. Regardez aussi le panneau de votre hébergeur, qui affiche en général l'utilisation du processeur. Si elle a nettement augmenté après l'installation et que votre hébergeur commence à envoyer des avertissements, quelque chose ne va pas.

3. Elle parle clairement et ne crie pas au loup

Chaque résultat doit dire trois choses : ce qu'il signifie, sa gravité et ce qu'il faut faire. « Chaîne base64 suspecte dans un fichier » sans explication ne vous apprend rien.

Les alertes suivent la même règle. Une extension qui vous écrit pour chaque détail finit en une semaine dans un dossier que personne ne lit. Mieux vaut qu'elle ne signale que les problèmes nouveaux ou aggravés, et qu'elle présente les résultats incertains comme incertains au lieu de déclencher l'alarme.

4. Elle surveille les mises à jour

Les extensions obsolètes sont la porte d'entrée la plus fréquente dans un site WordPress. L'article sur les extensions WordPress obsolètes en parle plus en détail.

Une bonne extension de sécurité indique quelle extension ou quel thème présente une vulnérabilité connue et quelle version la corrige. Elle signale aussi les extensions fermées dans le répertoire WordPress.org ou abandonnées par leur auteur, et rappelle qu'une extension désactivée reste présente sur le serveur. Avec cette liste, vous savez quoi mettre à jour aujourd'hui et quoi supprimer.

5. Elle vous donne accès à la vue de l'extérieur

Depuis l'intérieur, vous ne voyez pas tout ce que voit un visiteur. La configuration du serveur, les enregistrements DNS de votre messagerie, le certificat tel qu'Internet le voit, les sous-domaines oubliés : tout cela se vérifie depuis l'extérieur. Une bonne extension interroge son propre site par Internet, par exemple pour tester si des fichiers censés rester privés sont accessibles, ou bien vous permet de vous connecter à un scan externe.

La différence entre les deux points de vue est expliquée dans l'article sur les scanners de sécurité de site en ligne.

Ce qu'une extension gratuite ne doit jamais faire

Le répertoire WordPress.org publie des règles détaillées pour les extensions (en anglais). Plusieurs d'entre elles se traduisent directement en ce que vous êtes en droit d'attendre :

• Elle n'envoie pas de données vous concernant sans consentement. La règle 7 interdit aux extensions de suivre les utilisateurs sans leur consentement. Si une extension communique avec un service externe, sa fiche doit nommer ce service et dire pourquoi.
• Elle ne retire pas de fonctions après une période d'essai. La règle 5 n'autorise pas les versions d'essai limitées dans le répertoire, donc une extension qui y figure ne doit pas cesser de fonctionner au bout de quelques jours.
• Elle ne remplit pas votre tableau de bord de publicités pour la version payante. La règle 11 précise que les extensions ne doivent pas détourner le tableau de bord d'administration. Une notification sur une offre payante est normale. Des bannières sur chaque écran ne le sont pas.
• Elle ne promet pas une protection complète. Une promesse de sécurité totale est un signal pour lire la fiche plus attentivement.

Une option parmi d'autres

J'ai moi-même développé une extension de ce type : Ensomedia Security dans le répertoire WordPress.org, reliée à ShieldWave. Jugez-la selon les mêmes cinq critères que les autres. Les faits tirés de sa fiche :

• elle effectue 25 vérifications, et toutes les vérifications, les scans planifiés et les alertes par e-mail sont gratuits, sans compte et sans limite,
• elle compare les fichiers avec les sommes de contrôle de WordPress.org et surveille les modifications des fichiers que WordPress.org ne peut pas vérifier,
• elle scanne en arrière-plan par petites étapes et n'analyse pas une deuxième fois les fichiers inchangés,
• elle ne modifie les fichiers, les utilisateurs et les réglages que lorsque vous cliquez sur un bouton ou activez un interrupteur,
• ce n'est pas un pare-feu applicatif complet et elle ne nettoie pas les fichiers à votre place : c'est vous, votre développeur ou votre hébergeur qui faites la modification qu'elle explique,
• elle peut, si vous le souhaitez, se connecter au tableau de bord shieldwave.io, où le site apparaît à côté de son scan externe.

Un guide écran par écran se trouve dans un article séparé consacré à l'extension.

Que faire après avoir installé une extension de sécurité, quelle qu'elle soit

1. Lancez le premier scan et lisez d'abord les résultats les plus graves.
2. Mettez à jour ou supprimez les extensions et les thèmes qui ont des vulnérabilités connues.
3. Passez en revue la liste des administrateurs et retirez les personnes qui ne travaillent plus avec vous.
4. Planifiez un scan. Une fois par semaine suffit.
5. Vérifiez le site depuis l'extérieur pour voir ce que l'extension ne voit pas.

Vérifiez votre site depuis l'extérieur. Saisissez votre adresse sur shieldwave.io. Cela prend environ 90 secondes, sans mot de passe et sans extension.