Extensions WordPress obsolètes : quoi mettre à jour en premier et quoi supprimer

WordPress lui-même est plutôt bien entretenu. Une grande communauté y travaille, les correctifs de sécurité sortent vite, et les mises à jour mineures s'installent d'elles-mêmes depuis des années. Le point faible, ce sont les extensions.

Chaque extension est un morceau de code écrit par quelqu'un d'autre. Parfois par une grande entreprise avec sa propre équipe de sécurité, parfois par une seule personne qui a cessé d'y travailler il y a plusieurs années. Un site d'entreprise typique en a une douzaine ou plus, et une boutique souvent davantage. Il suffit qu'une seule ait une faille.

Pourquoi les extensions sont la porte d'entrée la plus fréquente

Les sociétés qui suivent les vulnérabilités de WordPress comme métier, comme Patchstack et Wordfence, publient des bilans annuels. Le tableau est à peu près le même à chaque fois : la grande majorité des vulnérabilités nouvellement découvertes se trouvent dans des extensions, moins dans des thèmes, et le cœur de WordPress n'en représente qu'une petite fraction.

Le mécanisme est simple. L'auteur d'une extension apprend l'existence d'une faille et publie une version corrigée. Les notes de version sont publiques, le code aussi. Quelqu'un qui cherche des cibles faciles compare l'ancienne et la nouvelle version, voit ce qui a été corrigé et écrit un script qui traque les sites encore sous la version d'avant le correctif. Un site qui a mis à jour l'extension est à l'abri. Celui qui la laisse six mois se retrouve sur la liste.

Personne ne vise votre entreprise en particulier. Les robots testent les sites en masse et prennent ceux qui les laissent entrer.

Comment voir ce qui est périmé

Connectez-vous à l'administration et ouvrez Tableau de bord > Mises à jour. En haut, vous voyez la version de WordPress, et en dessous la liste des extensions et des thèmes pour lesquels une version plus récente existe. La pastille rouge avec un nombre à côté de Extensions dans le menu de gauche indique combien attendent.

Sur la page Extensions, chaque extension périmée a sous son nom une barre indiquant qu'une nouvelle version est disponible, avec un lien vers le détail. Cliquez dessus. Dans le journal des modifications, les auteurs disent souvent clairement qu'ils ont corrigé un problème de sécurité.

Regardez aussi Outils > Santé du site. WordPress y signale lui-même certains problèmes, comme des extensions inactives à supprimer ou une version de PHP obsolète sur le serveur.

Un piège : l'absence d'avis de mise à jour ne veut pas dire qu'une extension est à jour. Les extensions payantes achetées hors du répertoire officiel ne se mettent généralement à jour qu'avec une licence valide. Celles fournies avec un thème attendent souvent que l'auteur du thème publie une nouvelle version. Si la licence a expiré il y a trois ans, l'administration peut n'afficher rien d'inquiétant alors que l'extension n'a pas bougé depuis trois ans. Demandez à la personne qui a construit le site s'il y a des extensions de ce genre.

Quoi mettre à jour en premier

Face à un long retard, ne cliquez pas simplement sur « tout mettre à jour » en espérant. Un ordre raisonnable :

1. Les extensions dont le journal des modifications mentionne « sécurité » ou nomme un type de vulnérabilité, comme XSS ou injection SQL.
2. Les extensions avec lesquelles vos visiteurs interagissent directement : formulaires, boutique, connexion et inscription, envoi de fichiers, constructeurs de pages.
3. WordPress lui-même, s'il a une version majeure entière de retard.
4. Le thème et les autres extensions.

Si quelque chose ne peut pas être mis à jour parce que la nouvelle version exige un PHP ou un WordPress plus récent, cela vous apprend aussi quelque chose. Tout le site a pris du retard, et une vraie intervention de maintenance vous servira mieux que des rustines au coup par coup.

Quoi supprimer plutôt que mettre à jour

Une extension désactivée reste sur votre serveur. Ses fichiers sont souvent accessibles directement, sans passer par l'administration : une faille dans une extension inactive reste donc une faille. Si vous n'utilisez pas quelque chose, désactivez-le et cliquez sur Supprimer. L'éteindre ne suffit pas.

Le deuxième groupe, ce sont les extensions abandonnées. Ouvrez la page de l'extension dans le répertoire wordpress.org et regardez quand elle a été mise à jour pour la dernière fois. Si elle n'a pas été testée avec les trois dernières versions majeures de WordPress, le répertoire affiche au-dessus de la description un avertissement net indiquant qu'elle n'est peut-être plus maintenue. Si l'extension a été fermée, vous verrez un avis indiquant qu'elle n'est plus disponible au téléchargement. Parfois, la raison de la fermeture est un problème de sécurité jamais corrigé.

Une telle extension doit être remplacée par quelque chose qui est encore maintenu. Avant de la remplacer, notez ce qu'elle faisait, pour vérifier ensuite que tout fonctionne comme avant.

Faites une sauvegarde avant de mettre à jour

La plupart des mises à jour passent sans que personne ne s'en aperçoive. De temps en temps pourtant, une nouvelle version entre en conflit avec le thème ou une autre extension, et au lieu de votre site vous obtenez un écran blanc ou un message d'erreur critique. WordPress envoie alors à l'administrateur un e-mail décrivant le problème avec un lien vers le mode de récupération, mais mieux vaut ne pas en avoir besoin.

Avant toute série de mises à jour un peu large :

• faites une sauvegarde complète des fichiers et de la base de données, conservée hors du serveur (l'article sur les sauvegardes oubliées explique pourquoi pas dans le dossier du site),
• mettez à jour une extension à la fois et, après chacune, vérifiez la page d'accueil, le formulaire de contact et, sur une boutique, le panier et le paiement,
• lancez les grosses mises à jour de boutique en dehors de vos heures de pointe,
• si votre hébergeur propose une copie de test du site, dite préproduction, essayez d'abord la mise à jour dessus.

Mises à jour automatiques : activées ou non

Depuis la version 5.5, WordPress permet d'activer les mises à jour automatiques extension par extension. Sur la page Extensions, chaque entrée a un lien Activer les mises à jour automatiques.

L'avantage est évident : un correctif de sécurité s'installe tout seul sans attendre que quelqu'un trouve le temps. Après chaque mise à jour automatique, WordPress envoie à l'administrateur un e-mail indiquant ce qui a changé.

L'inconvénient l'est tout autant. Si une mise à jour casse quelque chose, cela peut arriver la nuit ou le week-end, quand personne ne surveille.

Un compromis raisonnable pour une petite entreprise ressemble à ceci :

• les extensions petites et simples de la part d'auteurs fiables se mettent à jour automatiquement,
• la boutique, le constructeur de pages et tout ce dont dépendent vos commandes se mettent à jour à la main, mais régulièrement, disons une fois par semaine, après une sauvegarde,
• les extensions inutilisées et abandonnées quittent le site.

La pire option, ce sont les mises à jour manuelles que personne ne fait vraiment. Si vous n'êtes pas sûr que quelqu'un ouvre l'administration chaque semaine, les mises à jour automatiques représentent un risque moindre que des extensions laissées intactes pendant un an.