Les risques d’un thème WordPress obsolète

Les propriétaires de sites WordPress se concentrent souvent sur les mises à jour des extensions et du cœur, mais le thème actif reçoit moins d’attention. La liste des extensions est bien visible dans l’administration. Le thème, lui, est souvent quelque chose qui a été installé il y a des années et auquel on ne pense plus. Le problème, c’est que les thèmes sont du code eux aussi. Ils présentent les mêmes risques que les extensions, et un thème obsolète peut être tout aussi dangereux qu’une extension non corrigée présente sur votre site.

Le risque de sécurité

Les thèmes contiennent du PHP. Ils s’exécutent à chaque chargement de page. Ils incluent leur propre functions.php, souvent avec du code auxiliaire personnalisé qui gère les formulaires, les requêtes AJAX et les intégrations. Toute faille dans ce code est accessible depuis le web public, exactement comme une faille dans une extension.

Parmi les vulnérabilités fréquentes des thèmes figurent les points de terminaison AJAX non authentifiés qui acceptent des données utilisateur sans validation, les fonctions de téléversement de fichiers dépourvues d’une sanitisation correcte, et les formulaires de contact ou les gestionnaires de commentaires qui n’ont pas été audités contre le cross site scripting. Les thèmes premium avec extensions intégrées sont aussi un risque, car les versions de ces extensions sont généralement figées et rarement mises à jour lorsque l’extension d’origine corrige une faille.

Si votre thème n’a pas été mis à jour depuis plus d’un an, prenez-le comme un avertissement. S’il ne l’a pas été depuis plus de deux ans, considérez-le comme pratiquement abandonné.

Le risque de compatibilité

Les thèmes sont conçus pour une version précise du cœur de WordPress, une version de PHP et un ensemble d’extensions associées. À mesure que tout cela évolue, un thème non maintenu commence à se dégrader de manière subtile. L’éditeur de blocs s’affiche différemment. Les blocs modernes ne s’affichent pas correctement. Des avertissements PHP apparaissent dans le journal des erreurs. Les mises en page mobiles se comportent mal sur les navigateurs récents. Les scores Core Web Vitals chutent parce que le thème génère des décalages de mise en page que les navigateurs actuels mesurent plus strictement.

Rien de tout cela n’est dramatique le premier jour. C’est l’érosion lente d’un site qui fonctionnait bien autrefois.

Le risque de performance

Les anciens thèmes chargent souvent plus de ressources que nécessaire. Plusieurs versions de jQuery. Des icônes Font Awesome même lorsque le site n’en utilise que quelques-unes. Des bibliothèques de carrousels issues de thèmes achetés pour une bannière précise de la page d’accueil et jamais optimisées. Ces ressources apparaissent à chaque chargement de page et tirent les scores Core Web Vitals vers le bas.

Les thèmes modernes conçus pour l’éditeur de blocs sont généralement plus légers, avec des ressources chargées uniquement lorsque les blocs concernés sont présents sur la page. L’écart de performance entre un thème de 2020 et un thème de blocs actuel bien construit est important.

Le problème des thèmes piratés

Un risque distinct qu’il vaut la peine de souligner est la pratique du téléchargement de thèmes premium depuis des sources non officielles. Une copie gratuite d’un thème à cent dollars sur un site de torrents ou de partage est presque toujours truffée de portes dérobées. Le propriétaire installe le thème, la porte dérobée s’active dès la première requête, et l’attaquant obtient un accès total au site.

Ce schéma est d’une banalité affligeante. L’économie réalisée sur la licence du thème ne représente qu’une infime fraction du coût de nettoyage lorsque l’inévitable se produit. Achetez toujours vos thèmes auprès du fournisseur officiel ou utilisez le dépôt de thèmes WordPress.org.

Les problèmes de personnalisation du thème

La plus grande erreur que nous constatons est la modification directe des fichiers du thème. Un développeur modifie header.php pour corriger un problème de mise en page, ou ajoute une fonction dans functions.php pour gérer un besoin spécifique. Lorsque le thème est mis à jour, ces modifications sont effacées.

La bonne approche est un thème enfant. Un thème enfant hérite de tout le thème parent et vous permet de remplacer des fichiers précis ou d’ajouter des fonctions précises sans toucher au parent. Lorsque le parent est mis à jour, vos personnalisations sont préservées.

Si votre thème actuel a été modifié directement, le bon moment pour corriger cela, c’est maintenant. Migrez les modifications dans un thème enfant. Vous pourrez ensuite mettre à jour le thème parent en toute sécurité.

Comment évaluer votre thème

Ouvrez la page des thèmes dans votre administration WordPress. Notez le nom du thème, la version, l’auteur et la date de la dernière mise à jour. Recherchez le thème sur WordPress.org ou sur le site du fournisseur. Si la dernière version est en avance de plus de quelques versions mineures sur la vôtre, planifiez une mise à jour. Si la dernière mise à jour remonte à plus d’un an, planifiez une migration pour l’abandonner.

Vérifiez si le thème est conçu pour l’éditeur de blocs. Les thèmes plus anciens supposent l’éditeur classique et paraissent de plus en plus lourds dans le WordPress moderne. Un thème de blocs est compatible avec la direction que prend la plateforme.

Mettre à jour un thème en toute sécurité

La procédure sûre est la même que pour tout changement important sur WordPress. Faites d’abord une sauvegarde. Testez sur un environnement de préproduction. Consultez le journal des modifications à la recherche de changements pouvant casser la compatibilité. Mettez à jour en préproduction, parcourez le site, corrigez ce qui a bougé, puis déployez le changement en production pendant une plage horaire à faible trafic.

Pour les mises à jour de version majeure qui incluent des changements de design, prévoyez de passer un peu de temps à ajuster les surcharges de votre thème enfant. Pour les mises à jour mineures, c’est généralement invisible. La discipline est la même. Préproduction, test, déploiement.

Quand la migration est la bonne réponse

Parfois, un ancien thème est tellement en retard que le mettre à jour devient plus pénible que migrer. Le développeur d’origine n’est plus là, le thème n’est plus maintenu, le code est rempli de jQuery d’une autre époque, et un nouveau thème de blocs offrirait au site une meilleure base que de continuer à rafistoler l’ancien.

Une migration planifiée vers un thème de blocs actuel permet généralement de préserver l’apparence et le ressenti du site tout en remplaçant les fondations qui se trouvent en dessous. Le coût est initial, mais les économies se cumulent sur chaque année future de maintenance.

Besoin d’un coup de main ?

Si vous souhaitez faire auditer votre thème WordPress, obtenir une recommandation pour le mettre à jour ou migrer, et exécuter l’une ou l’autre voie en toute sécurité, l’équipe de Defyn peut vous aider. Le thème est la fondation. Il vaut la peine de bien le faire.