Comment auditer le risque de vos extensions WordPress

Si vous n’avez que trente minutes à consacrer à la sécurité de WordPress ce trimestre, consacrez-les à un audit des extensions. Les extensions sont responsables de la majorité des compromissions de WordPress, et l’essentiel du risque sur la plupart des sites se concentre dans un petit nombre d’extensions installées qui sont obsolètes, abandonnées ou tout simplement devenues inutiles. Un audit ciblé détecte ces trois catégories.

Cet article décrit le processus d’audit que nous menons sur chaque site que nous prenons en charge, et les critères que nous utilisons pour décider quelles extensions restent, lesquelles sont remplacées et lesquelles sont supprimées.

Étape 1 : exportez la liste des extensions

Commencez par avoir sous les yeux la liste complète des extensions, d’une manière que vous pouvez examiner. Ouvrez Extensions dans l’administration WordPress. Notez chaque entrée, active et inactive. Les extensions inactives restent sur le disque et peuvent toujours être exploitées. Leurs fichiers sont accessibles depuis le web public. Un audit couvre les deux.

Pour chaque extension, notez le nom, la version installée, la version disponible, l’auteur et la date de la dernière mise à jour. Beaucoup de sites ont entre 15 et 30 extensions. Écrivez-le.

Étape 2 : vérifiez la date de la dernière mise à jour

Pour chaque extension, trouvez sa fiche sur le dépôt WordPress.org ou sur le site de l’éditeur. Regardez la date de la dernière mise à jour. Tout ce qui date des trois derniers mois convient. Entre trois et douze mois mérite d’être surveillé, mais reste probablement acceptable. Plus d’un an est un avertissement sérieux. Plus de deux ans doit être considéré comme abandonné.

Les extensions abandonnées sont dangereuses, car toute vulnérabilité publiée depuis la dernière mise à jour ne sera jamais corrigée. WordPress.org signale désormais les extensions non mises à jour depuis longtemps, mais la responsabilité vous incombe toujours : lire l’avertissement et agir.

Étape 3 : vérifiez le nombre d’installations actives

Les extensions à faible nombre d’installations sont plus risquées de deux façons. Elles tendent à être moins éprouvées, de sorte que des failles n’ont peut-être pas encore été repérées. Et le développeur a moins de raison commerciale de les maintenir, de sorte que les mises à jour peuvent être lentes. Une extension avec cent installations actives est bien plus risquée qu’une avec cent mille, toutes choses égales par ailleurs.

Ce n’est pas une règle absolue. Certaines extensions de niche sont excellentes. Mais peu d’installations associées à une dernière mise à jour ancienne est une combinaison qui devrait vous rendre nerveux.

Étape 4 : recherchez les vulnérabilités connues

Plusieurs bases de données gratuites publient les vulnérabilités des extensions WordPress. La base de WPScan et celle de Patchstack sont les deux plus utilisées. Recherchez le nom de chaque extension. Si des vulnérabilités sont listées pour la version que vous utilisez, traitez-les comme urgentes.

Wordfence Premium et Solid Security incluent aussi une surveillance des vulnérabilités et vous alerteront automatiquement lorsqu’un problème connu s’applique à vos extensions installées. Si vous gérez un site sérieux, l’un de ces moniteurs vaut l’abonnement.

Étape 5 : identifiez les catégories d’extensions à risque élevé

Certaines catégories d’extensions ont historiquement présenté plus de vulnérabilités que d’autres. Les gestionnaires de fichiers, les extensions de sauvegarde, les extensions de formulaires de contact, les extensions de commerce et les extensions SEO apparaissent de façon disproportionnée dans les avis de sécurité. Cela tient en partie au fait qu’elles sont les plus installées, en partie au fait qu’elles traitent les données les plus sensibles, et en partie au fait que certaines confèrent aux administrateurs des capacités dangereuses.

Les extensions de gestion de fichiers en particulier ont un long historique de failles d’exécution de code à distance. Une agence de Sydney que nous avons auditée récemment avait été compromise via une extension de gestion de fichiers installée et oubliée plus d’un an auparavant. Cette famille d’extensions compte plusieurs vulnérabilités critiques historiques. Le changement le plus impactant pour ce site aurait été de supprimer l’extension entièrement.

Si vous n’utilisez pas activement une extension de gestion de fichiers dans l’administration WordPress, supprimez-la. Le SFTP et le panneau de contrôle de votre hébergeur font le même travail sans la surface d’attaque.

Étape 6 : demandez-vous si chaque extension est encore nécessaire

C’est la question la plus sous-utilisée des audits d’extensions. Pour chaque extension, demandez-vous honnêtement si la fonctionnalité qu’elle fournit est encore utilisée. Certaines extensions ont été installées pour une campagne précise qui s’est terminée il y a deux ans. Certaines ont été installées pour régler un problème depuis résolu autrement. Certaines ont été installées par un développeur précédent qui n’est plus impliqué.

Si vous ne pouvez pas expliquer ce qu’une extension fait sur votre site, supprimez-la et voyez ce qui change. Un environnement de préproduction rend cela sans risque. Moins vous avez d’extensions, moins vous avez de surface d’attaque, et plus chaque future mise à jour devient simple.

Étape 7 : consolidez les extensions qui se chevauchent

Beaucoup de sites ont deux extensions SEO actives en même temps, ou trois couches de cache empilées les unes sur les autres, ou deux extensions de formulaires différentes gérant des formulaires différents. C’est rarement intentionnel. Cela s’accumule au fil des ans à mesure que différentes personnes font différents choix.

Choisissez-en une. Migrez le travail dessus. Supprimez le reste. Le site devient généralement plus rapide, par effet de bord.

Étape 8 : notez et priorisez

À la fin de l’audit, vous devriez avoir, pour chaque extension, un jugement clair. Conserver, mettre à jour, remplacer ou supprimer. Priorisez les tâches de suppression et de remplacement au-dessus des mises à jour de routine. Tout ce qui présente une vulnérabilité connue est urgent.

Planifiez le travail. Sauvegardez avant chaque suppression. Testez le site ensuite. Une journée ciblée sur un audit d’extensions, exécutée correctement, peut réduire considérablement le profil de risque d’un site WordPress hérité.

À quelle fréquence faut-il réauditer ?

Annuellement au minimum. Tous les six mois pour un site de commerce ou un site qui traite des données sensibles. Après tout changement de développeur ou d’agence, car la nouvelle équipe aura un jugement différent et pourra repérer quelque chose que la précédente a manqué.

Besoin d’un coup de main ?

Si vous souhaitez que Defyn réalise un audit des extensions sur votre site WordPress, vous remette un rapport écrit avec nos recommandations et exécute le nettoyage, contactez-nous. C’est l’un des travaux à plus fort impact que nous réalisons.