Choisir, évaluer et faire le tri parmi vos plugins WordPress
Une extension fonctionne avec les mêmes droits que WordPress lui-même : elle peut lire et modifier votre base de données, créer des fichiers et envoyer des e-mails. Installer une extension revient donc à accorder votre confiance à son auteur. Les extensions obsolètes et mal entretenues sont une porte d'entrée fréquente pour les pirates. Découvrez ici comment évaluer une extension avant de l'installer, et comment faire le ménage dans celles dont vous n'avez plus besoin.
D'abord : avez-vous vraiment besoin d'une extension ?
- WordPress peut-il le faire lui-même ? Les colonnes, les boutons, les tableaux, un plan de site simple et le chargement différé (lazy loading) des images sont déjà intégrés.
- Votre thème peut-il le faire ? Avec un thème à blocs, vous réglez beaucoup de choses dans l'Éditeur de site.
- Avez-vous déjà une extension qui le fait ? Deux extensions pour la même tâche, comme deux extensions de cache, deux extensions SEO ou deux extensions de sécurité, se gênent mutuellement et provoquent des erreurs.
Il n'existe pas de nombre maximal. Mais chaque extension doit être tenue à jour, peut entrer en conflit avec les autres et peut présenter une faille. Un site comptant peu d'extensions, bien choisies, est plus facile à maintenir en bonne santé.
Où trouver des extensions ?
- Dans le répertoire des extensions de wordpress.org, également accessible via Extensions > Ajouter une extension dans votre administration.
- Sur le site web d'un éditeur reconnu, pour les extensions payantes et les modules complémentaires.
- Jamais sur des sites qui proposent gratuitement des extensions payantes. Ces extensions dites nulled contiennent souvent une porte dérobée ou des liens de spam, et elles ne reçoivent aucune mise à jour.
Signaux d'alerte sur la page de l'extension
| Caractéristique | Signal d'alerte |
|---|---|
| Dernière mise à jour | Il y a plus d'un an. Elle risque alors de ne plus bien fonctionner avec les nouvelles versions de WordPress et de PHP. |
| Testée jusqu'à (version de WordPress) | Une version bien plus ancienne que la version actuelle. Sur wordpress.org, un avertissement s'affiche alors sur la page. |
| Version de PHP requise | Ce n'est pas un signal d'alerte en soi, mais vérifiez qu'elle correspond à la version de PHP de votre formule. |
| Installations actives | Très peu : peu de personnes sont alors susceptibles de repérer des erreurs. Ce n'est pas toujours mauvais, mais soyez particulièrement attentif. |
| Avis et assistance | Beaucoup de mauvais avis récents, ou des questions sur le forum auxquelles l'auteur ne répond pas. |
| Extension fermée | La page indique que l'extension a été fermée, parfois avec la raison, par exemple un problème de sécurité. Remplacez-la. |
Consultez également une base de données publique recensant les failles connues des extensions WordPress, comme celles de Patchstack, Wordfence ou WPScan. Une faille corrigée rapidement n'est pas un problème. Un auteur qui reste inactif pendant des mois, si. Vérifiez aussi ce que l'extension fait des données de vos visiteurs : si elle les envoie à un service de son auteur, cela doit figurer dans votre politique de confidentialité.
Désactiver ou supprimer ?
| Désactiver | Supprimer | |
|---|---|---|
| Que se passe-t-il ? | WordPress ne charge plus l'extension. Les fichiers restent présents dans wp-content/plugins. | Les fichiers disparaissent. Certaines extensions nettoient aussi leurs réglages et leurs tables dans la base de données, d'autres les laissent en place. |
| Risque | Une faille dans un fichier isolé de l'extension reste accessible. Les pirates recherchent des fichiers vulnérables connus, pas des extensions actives. | Ce qui est supprimé est définitivement perdu. Vous risquez de perdre vos réglages. |
| Quand ? | Uniquement de manière temporaire, par exemple pour rechercher l'origine d'un problème. | Lorsque vous n'utilisez plus l'extension. |
Il en va de même pour les thèmes que vous n'utilisez pas. Supprimez une extension dans Extensions : d'abord Désactiver, puis Supprimer.
Faire le ménage : une revue régulière
Passez vos extensions en revue, par exemple chaque trimestre, et posez quatre questions pour chacune d'elles :
- À quoi sert-elle ? Si vous ne vous en souvenez plus, renseignez-vous.
- Est-elle encore utilisée ? Une extension de diaporama alors qu'aucun diaporama n'apparaît nulle part peut être supprimée.
- Peut-on s'en passer, parce que WordPress, le thème ou une autre extension le fait déjà ?
- Est-elle encore maintenue ? Reportez-vous aux signaux d'alerte ci-dessus.
Faites d'abord une sauvegarde ou travaillez sur une copie, consultez Créer un environnement de staging WordPress. Supprimez une seule extension à la fois, puis vérifiez que votre site fonctionne toujours. Attention aux shortcodes : si vous supprimez une extension qui fournissait par exemple [formulier id="2"], ce texte s'affichera ensuite tel quel sur votre page.
Désactiver une extension lorsque l'administration ne fonctionne pas
Si une extension provoque une erreur critique ou une page blanche, vous pouvez la désactiver en renommant son dossier dans wp-content/plugins. En cas d'erreur de ce type, WordPress envoie souvent aussi un e-mail contenant un lien vers le mode de récupération. Vous trouverez la marche à suivre détaillée dans Erreur 500 ou « erreur critique » sur votre site web (y compris après une mise à jour de WordPress). Si une extension de sécurité vous empêche d'accéder à votre site, consultez Je n'arrive pas à me connecter à WordPress : que faire ?
Pour aller plus loin
- Gérer les extensions sur wordpress.org (en anglais)
- Au secours ! Mon site a été piraté. Comment résoudre le problème et comment l'éviter ?
Envie d'en apprendre davantage ? Suivez le cours WordPress gratuit, leçon 5.3 Choisir et évaluer des extensions ou leçon 5.4 Moins, c'est mieux : faire le ménage et résoudre les conflits.