Choisir et évaluer des extensions

Module 5: Thèmes et extensions · Temps de lecture : 9 minutes

Objectif pédagogique : après cette leçon, vous saurez évaluer une extension avant de l'installer et reconnaître les signaux d'alerte.

Notions clés : extension, hooks (actions et filtres), dernière mise à jour, testé jusqu'à, version PHP requise, installations actives, évaluations, forum d'assistance, vulnérabilité, freemium, extension nulled, chevauchement

Ce qu'est une extension, et pourquoi c'est important

Une extension est un morceau de code PHP chargé avec WordPress à chaque requête (leçon 1.2). WordPress possède partout des hooks : des points fixes où les extensions peuvent s'accrocher. Il en existe deux types :

• actions : « faire quelque chose maintenant », par exemple ajouter un script à la page, envoyer un e-mail après une commande ;
• filtres : « modifier ceci », par exemple adapter le titre d'une page ou modifier le contenu d'un article.

Une extension peut ainsi modifier presque tout sur votre site. Et elle s'exécute avec les mêmes droits que WordPress lui-même : elle peut lire et écrire dans votre base de données, créer des fichiers, envoyer des e-mails. Installer une extension, c'est donc accorder sa confiance à son auteur. Une bonne extension améliore votre site ; une extension mauvaise ou abandonnée est la porte d'entrée la plus courante pour les pirates (leçon 7.1).

Où trouver des extensions

• Le répertoire d'extensions de wordpress.org (également accessible via Extensions > Ajouter une extension dans votre administration). Chaque extension est vérifiée lors de sa soumission et le répertoire retire les extensions présentant une faille de sécurité non résolue.
• Le site d'un éditeur reconnu, pour les extensions payantes ou les extensions complémentaires.
• Jamais depuis un site de téléchargement qui propose « gratuitement » des extensions payantes. Ces extensions nulled sont souvent modifiées avec une porte dérobée, des liens de spam ou du code qui détourne ensuite votre site à d'autres fins. De plus, vous ne recevez aucune mise à jour, donc les failles connues restent ouvertes. L'argent que vous économisez, vous le repayez au moment de la première réparation après un piratage.

Les cinq caractéristiques sur la page d'une extension

Sur chaque page d'extension de wordpress.org figurent à droite les mêmes informations. Lisez les dans cet ordre :

Dans les évaluations, lisez surtout les mauvaises évaluations récentes : s'agit il d'une mise à jour qui a cassé quelque chose, de publicités agressives, de données envoyées vers l'extérieur ? Et vérifiez dans le forum d'assistance si l'auteur répond.

Une extension retirée de wordpress.org affiche, à l'ouverture, un message indiquant qu'elle est fermée, souvent avec la raison (par exemple « problème de sécurité »). Si vous utilisez une telle extension, remplacez la.

Regarder au delà de la page de l'extension

• Vulnérabilités : il existe des bases de données publiques répertoriant les failles connues des extensions WordPress, par exemple celles de Patchstack, Wordfence et WPScan. Recherchez le nom de l'extension : a t elle eu des failles, et à quelle vitesse ont elles été corrigées ? Une extension ayant eu une faille rapidement corrigée n'est pas une mauvaise extension. Un auteur qui ne fait rien pendant des mois, si.
• Freemium : de nombreuses extensions sont gratuites avec une extension payante. C'est tout à fait valable, mais surveillez les notifications qui encombrent votre administration ou les fonctions accessibles uniquement avec la partie payante.
• Services externes : l'extension envoie t elle des données de vos visiteurs vers un service de l'auteur (un filtre anti spam, un service de statistiques, une compression d'images dans le cloud) ? Cela doit figurer dans votre politique de confidentialité et parfois dans un contrat de sous traitance (leçon 9.3). Les bonnes extensions l'indiquent dans leur description.
• Ce qu'elle charge : une extension pour un formulaire sur votre page de contact n'a pas besoin de charger des scripts sur toutes les autres pages. Avec les outils de développement de votre navigateur (onglet Réseau), vous voyez ce qu'une extension charge sur une page.

Une tâche, une extension, et de préférence aucune

La question la plus importante se pose avant la page de l'extension : ai-je vraiment besoin d'une extension pour cela ?

• WordPress peut il le faire lui même ? Un plan de site simple (leçon 9.2), le chargement différé (leçon 4.4), les colonnes, boutons et tableaux (leçon 4.1) sont déjà inclus.
• Le thème peut il le faire ? Avec un thème basé sur des blocs, vous pouvez faire beaucoup de choses avec l'Éditeur de site.
• Est ce possible avec quelques lignes de code dans une petite extension personnalisée ou un thème enfant ? Vous n'avez alors pas besoin d'un paquet de milliers de lignes pour une seule fonction.
• Ai-je déjà une extension qui fait cela ? Le chevauchement (deux extensions de cache, deux extensions de référencement, deux extensions de sécurité) entraîne des conflits et du travail en double.

Un site avec dix extensions bien choisies est plus sain qu'un site avec quarante. Non pas parce que le chiffre compte, mais parce que chaque extension doit être suivie, peut entrer en conflit avec les autres et peut présenter une faille.

Consigner votre évaluation

Pour chaque extension que vous installez, notez : à quoi elle sert, pourquoi celle ci plutôt qu'une autre, qui la maintient et quand vous l'avez vérifiée pour la dernière fois. Cela peut sembler fastidieux, mais c'est exactement ce dont vous aurez besoin lors d'un nettoyage (leçon 5.4), en cas de piratage (leçon 7.5) et si quelqu'un d'autre reprend votre site.

Résumé

• Une extension s'accroche à WordPress via des hooks et s'exécute avec les mêmes droits ; l'installer, c'est accorder sa confiance.
• Récupérez vos extensions sur wordpress.org ou chez un éditeur reconnu, jamais en version nulled.
• Lisez la dernière mise à jour, le testé jusqu'à, la version PHP, les installations actives et les évaluations/l'assistance ; recherchez les failles connues.
• Demandez vous d'abord si vous avez besoin d'une extension ; évitez les chevauchements.
• Consignez pourquoi vous utilisez une extension.

Quiz

Exercice

Exercice A5.3 : Lire une page d'extension. Choisissez une extension du répertoire de wordpress.org que vous utilisez ou envisagez d'utiliser, et indiquez le slug (la dernière partie de l'adresse, par exemple contact-form-7 dans wordpress.org/plugins/contact-form-7/). Indiquez également ce qui figure sur la page concernant la dernière mise à jour (la date), le testé jusqu'à et la version PHP requise. Le programme récupère les mêmes informations auprès de l'API publique des extensions de wordpress.org et les compare.

Exercice D5.3 : Une grille de notation pour trois extensions. Choisissez un besoin (par exemple un formulaire de contact, une notification de cookies ou une sauvegarde) et comparez trois extensions. Pour chaque extension, renseignez les cinq caractéristiques, vérifiez si des failles connues ont existé et à quelle vitesse elles ont été corrigées, regardez si elle envoie des données vers un service externe, puis choisissez en une. Expliquez en quelques phrases pourquoi, et si vous avez réellement besoin de cette extension.

Pour aller plus loin

Ces articles décrivent les étapes dans les panneaux de WebOké ; dans d'autres panneaux, le fonctionnement est similaire.

• Au secours ! Mon site a été piraté. Comment résoudre ou éviter ce problème ?
• Guide DirectAdmin 18.2: Mon site est piraté : plan d'action
• Extensions sur wordpress.org : https://wordpress.org/plugins/
• Gérer les extensions (wordpress.org, en anglais) : https://wordpress.org/documentation/article/manage-plugins/