Si vous n’avez que trente minutes \u00e0 consacrer \u00e0 la s\u00e9curit\u00e9 de WordPress ce trimestre, consacrez-les \u00e0 un audit des extensions. Les extensions sont responsables de la majorit\u00e9 des compromissions de WordPress, et l’essentiel du risque sur la plupart des sites se concentre dans un petit nombre d’extensions install\u00e9es qui sont obsol\u00e8tes, abandonn\u00e9es ou tout simplement devenues inutiles. Un audit cibl\u00e9 d\u00e9tecte ces trois cat\u00e9gories.<\/p>
Cet article d\u00e9crit le processus d’audit que nous menons sur chaque site que nous prenons en charge, et les crit\u00e8res que nous utilisons pour d\u00e9cider quelles extensions restent, lesquelles sont remplac\u00e9es et lesquelles sont supprim\u00e9es.<\/p>
Commencez par avoir sous les yeux la liste compl\u00e8te des extensions, d’une mani\u00e8re que vous pouvez examiner. Ouvrez Extensions dans l’administration WordPress. Notez chaque entr\u00e9e, active et inactive. Les extensions inactives restent sur le disque et peuvent toujours \u00eatre exploit\u00e9es. Leurs fichiers sont accessibles depuis le web public. Un audit couvre les deux.<\/p>
Pour chaque extension, notez le nom, la version install\u00e9e, la version disponible, l’auteur et la date de la derni\u00e8re mise \u00e0 jour. Beaucoup de sites ont entre 15 et 30 extensions. \u00c9crivez-le.<\/p>
Pour chaque extension, trouvez sa fiche sur le d\u00e9p\u00f4t WordPress.org ou sur le site de l’\u00e9diteur. Regardez la date de la derni\u00e8re mise \u00e0 jour. Tout ce qui date des trois derniers mois convient. Entre trois et douze mois m\u00e9rite d’\u00eatre surveill\u00e9, mais reste probablement acceptable. Plus d’un an est un avertissement s\u00e9rieux. Plus de deux ans doit \u00eatre consid\u00e9r\u00e9 comme abandonn\u00e9.<\/p>
Les extensions abandonn\u00e9es sont dangereuses, car toute vuln\u00e9rabilit\u00e9 publi\u00e9e depuis la derni\u00e8re mise \u00e0 jour ne sera jamais corrig\u00e9e. WordPress.org signale d\u00e9sormais les extensions non mises \u00e0 jour depuis longtemps, mais la responsabilit\u00e9 vous incombe toujours : lire l’avertissement et agir.<\/p>
Les extensions \u00e0 faible nombre d’installations sont plus risqu\u00e9es de deux fa\u00e7ons. Elles tendent \u00e0 \u00eatre moins \u00e9prouv\u00e9es, de sorte que des failles n’ont peut-\u00eatre pas encore \u00e9t\u00e9 rep\u00e9r\u00e9es. Et le d\u00e9veloppeur a moins de raison commerciale de les maintenir, de sorte que les mises \u00e0 jour peuvent \u00eatre lentes. Une extension avec cent installations actives est bien plus risqu\u00e9e qu’une avec cent mille, toutes choses \u00e9gales par ailleurs.<\/p>
Ce n’est pas une r\u00e8gle absolue. Certaines extensions de niche sont excellentes. Mais peu d’installations associ\u00e9es \u00e0 une derni\u00e8re mise \u00e0 jour ancienne est une combinaison qui devrait vous rendre nerveux.<\/p>
Plusieurs bases de donn\u00e9es gratuites publient les vuln\u00e9rabilit\u00e9s des extensions WordPress. La base de WPScan et celle de Patchstack sont les deux plus utilis\u00e9es. Recherchez le nom de chaque extension. Si des vuln\u00e9rabilit\u00e9s sont list\u00e9es pour la version que vous utilisez, traitez-les comme urgentes.<\/p>
Wordfence Premium et Solid Security incluent aussi une surveillance des vuln\u00e9rabilit\u00e9s et vous alerteront automatiquement lorsqu’un probl\u00e8me connu s’applique \u00e0 vos extensions install\u00e9es. Si vous g\u00e9rez un site s\u00e9rieux, l’un de ces moniteurs vaut l’abonnement.<\/p>
Certaines cat\u00e9gories d’extensions ont historiquement pr\u00e9sent\u00e9 plus de vuln\u00e9rabilit\u00e9s que d’autres. Les gestionnaires de fichiers, les extensions de sauvegarde, les extensions de formulaires de contact, les extensions de commerce et les extensions SEO apparaissent de fa\u00e7on disproportionn\u00e9e dans les avis de s\u00e9curit\u00e9. Cela tient en partie au fait qu’elles sont les plus install\u00e9es, en partie au fait qu’elles traitent les donn\u00e9es les plus sensibles, et en partie au fait que certaines conf\u00e8rent aux administrateurs des capacit\u00e9s dangereuses.<\/p>
Les extensions de gestion de fichiers en particulier ont un long historique de failles d’ex\u00e9cution de code \u00e0 distance. Une agence de Sydney que nous avons audit\u00e9e r\u00e9cemment avait \u00e9t\u00e9 compromise via une extension de gestion de fichiers install\u00e9e et oubli\u00e9e plus d’un an auparavant. Cette famille d’extensions compte plusieurs vuln\u00e9rabilit\u00e9s critiques historiques. Le changement le plus impactant pour ce site aurait \u00e9t\u00e9 de supprimer l’extension enti\u00e8rement.<\/p>
Si vous n’utilisez pas activement une extension de gestion de fichiers dans l’administration WordPress, supprimez-la. Le SFTP et le panneau de contr\u00f4le de votre h\u00e9bergeur font le m\u00eame travail sans la surface d’attaque.<\/p>
C’est la question la plus sous-utilis\u00e9e des audits d’extensions. Pour chaque extension, demandez-vous honn\u00eatement si la fonctionnalit\u00e9 qu’elle fournit est encore utilis\u00e9e. Certaines extensions ont \u00e9t\u00e9 install\u00e9es pour une campagne pr\u00e9cise qui s’est termin\u00e9e il y a deux ans. Certaines ont \u00e9t\u00e9 install\u00e9es pour r\u00e9gler un probl\u00e8me depuis r\u00e9solu autrement. Certaines ont \u00e9t\u00e9 install\u00e9es par un d\u00e9veloppeur pr\u00e9c\u00e9dent qui n’est plus impliqu\u00e9.<\/p>
Si vous ne pouvez pas expliquer ce qu’une extension fait sur votre site, supprimez-la et voyez ce qui change. Un environnement de pr\u00e9production rend cela sans risque. Moins vous avez d’extensions, moins vous avez de surface d’attaque, et plus chaque future mise \u00e0 jour devient simple.<\/p>
Beaucoup de sites ont deux extensions SEO actives en m\u00eame temps, ou trois couches de cache empil\u00e9es les unes sur les autres, ou deux extensions de formulaires diff\u00e9rentes g\u00e9rant des formulaires diff\u00e9rents. C’est rarement intentionnel. Cela s’accumule au fil des ans \u00e0 mesure que diff\u00e9rentes personnes font diff\u00e9rents choix.<\/p>
Choisissez-en une. Migrez le travail dessus. Supprimez le reste. Le site devient g\u00e9n\u00e9ralement plus rapide, par effet de bord.<\/p>
\u00c0 la fin de l’audit, vous devriez avoir, pour chaque extension, un jugement clair. Conserver, mettre \u00e0 jour, remplacer ou supprimer. Priorisez les t\u00e2ches de suppression et de remplacement au-dessus des mises \u00e0 jour de routine. Tout ce qui pr\u00e9sente une vuln\u00e9rabilit\u00e9 connue est urgent.<\/p>
Planifiez le travail. Sauvegardez avant chaque suppression. Testez le site ensuite. Une journ\u00e9e cibl\u00e9e sur un audit d’extensions, ex\u00e9cut\u00e9e correctement, peut r\u00e9duire consid\u00e9rablement le profil de risque d’un site WordPress h\u00e9rit\u00e9.<\/p>
Annuellement au minimum. Tous les six mois pour un site de commerce ou un site qui traite des donn\u00e9es sensibles. Apr\u00e8s tout changement de d\u00e9veloppeur ou d’agence, car la nouvelle \u00e9quipe aura un jugement diff\u00e9rent et pourra rep\u00e9rer quelque chose que la pr\u00e9c\u00e9dente a manqu\u00e9.<\/p>