Les propri\u00e9taires de sites WordPress se concentrent souvent sur les mises \u00e0 jour des extensions et du c\u0153ur, mais le th\u00e8me actif re\u00e7oit moins d’attention. La liste des extensions est bien visible dans l’administration. Le th\u00e8me, lui, est souvent quelque chose qui a \u00e9t\u00e9 install\u00e9 il y a des ann\u00e9es et auquel on ne pense plus. Le probl\u00e8me, c’est que les th\u00e8mes sont du code eux aussi. Ils pr\u00e9sentent les m\u00eames risques que les extensions, et un th\u00e8me obsol\u00e8te peut \u00eatre tout aussi dangereux qu’une extension non corrig\u00e9e pr\u00e9sente sur votre site.<\/p>
Les th\u00e8mes contiennent du PHP. Ils s’ex\u00e9cutent \u00e0 chaque chargement de page. Ils incluent leur propre functions.php, souvent avec du code auxiliaire personnalis\u00e9 qui g\u00e8re les formulaires, les requ\u00eates AJAX et les int\u00e9grations. Toute faille dans ce code est accessible depuis le web public, exactement comme une faille dans une extension.<\/p>
Parmi les vuln\u00e9rabilit\u00e9s fr\u00e9quentes des th\u00e8mes figurent les points de terminaison AJAX non authentifi\u00e9s qui acceptent des donn\u00e9es utilisateur sans validation, les fonctions de t\u00e9l\u00e9versement de fichiers d\u00e9pourvues d’une sanitisation correcte, et les formulaires de contact ou les gestionnaires de commentaires qui n’ont pas \u00e9t\u00e9 audit\u00e9s contre le cross site scripting. Les th\u00e8mes premium avec extensions int\u00e9gr\u00e9es sont aussi un risque, car les versions de ces extensions sont g\u00e9n\u00e9ralement fig\u00e9es et rarement mises \u00e0 jour lorsque l’extension d’origine corrige une faille.<\/p>
Si votre th\u00e8me n’a pas \u00e9t\u00e9 mis \u00e0 jour depuis plus d’un an, prenez-le comme un avertissement. S’il ne l’a pas \u00e9t\u00e9 depuis plus de deux ans, consid\u00e9rez-le comme pratiquement abandonn\u00e9.<\/p>
Les th\u00e8mes sont con\u00e7us pour une version pr\u00e9cise du c\u0153ur de WordPress, une version de PHP et un ensemble d’extensions associ\u00e9es. \u00c0 mesure que tout cela \u00e9volue, un th\u00e8me non maintenu commence \u00e0 se d\u00e9grader de mani\u00e8re subtile. L’\u00e9diteur de blocs s’affiche diff\u00e9remment. Les blocs modernes ne s’affichent pas correctement. Des avertissements PHP apparaissent dans le journal des erreurs. Les mises en page mobiles se comportent mal sur les navigateurs r\u00e9cents. Les scores Core Web Vitals chutent parce que le th\u00e8me g\u00e9n\u00e8re des d\u00e9calages de mise en page que les navigateurs actuels mesurent plus strictement.<\/p>
Rien de tout cela n’est dramatique le premier jour. C’est l’\u00e9rosion lente d’un site qui fonctionnait bien autrefois.<\/p>
Les anciens th\u00e8mes chargent souvent plus de ressources que n\u00e9cessaire. Plusieurs versions de jQuery. Des ic\u00f4nes Font Awesome m\u00eame lorsque le site n’en utilise que quelques-unes. Des biblioth\u00e8ques de carrousels issues de th\u00e8mes achet\u00e9s pour une banni\u00e8re pr\u00e9cise de la page d’accueil et jamais optimis\u00e9es. Ces ressources apparaissent \u00e0 chaque chargement de page et tirent les scores Core Web Vitals vers le bas.<\/p>
Les th\u00e8mes modernes con\u00e7us pour l’\u00e9diteur de blocs sont g\u00e9n\u00e9ralement plus l\u00e9gers, avec des ressources charg\u00e9es uniquement lorsque les blocs concern\u00e9s sont pr\u00e9sents sur la page. L’\u00e9cart de performance entre un th\u00e8me de 2020 et un th\u00e8me de blocs actuel bien construit est important.<\/p>
Un risque distinct qu’il vaut la peine de souligner est la pratique du t\u00e9l\u00e9chargement de th\u00e8mes premium depuis des sources non officielles. Une copie gratuite d’un th\u00e8me \u00e0 cent dollars sur un site de torrents ou de partage est presque toujours truff\u00e9e de portes d\u00e9rob\u00e9es. Le propri\u00e9taire installe le th\u00e8me, la porte d\u00e9rob\u00e9e s’active d\u00e8s la premi\u00e8re requ\u00eate, et l’attaquant obtient un acc\u00e8s total au site.<\/p>
Ce sch\u00e9ma est d’une banalit\u00e9 affligeante. L’\u00e9conomie r\u00e9alis\u00e9e sur la licence du th\u00e8me ne repr\u00e9sente qu’une infime fraction du co\u00fbt de nettoyage lorsque l’in\u00e9vitable se produit. Achetez toujours vos th\u00e8mes aupr\u00e8s du fournisseur officiel ou utilisez le d\u00e9p\u00f4t de th\u00e8mes WordPress.org.<\/p>
La plus grande erreur que nous constatons est la modification directe des fichiers du th\u00e8me. Un d\u00e9veloppeur modifie header.php pour corriger un probl\u00e8me de mise en page, ou ajoute une fonction dans functions.php pour g\u00e9rer un besoin sp\u00e9cifique. Lorsque le th\u00e8me est mis \u00e0 jour, ces modifications sont effac\u00e9es.<\/p>
La bonne approche est un th\u00e8me enfant. Un th\u00e8me enfant h\u00e9rite de tout le th\u00e8me parent et vous permet de remplacer des fichiers pr\u00e9cis ou d’ajouter des fonctions pr\u00e9cises sans toucher au parent. Lorsque le parent est mis \u00e0 jour, vos personnalisations sont pr\u00e9serv\u00e9es.<\/p>
Si votre th\u00e8me actuel a \u00e9t\u00e9 modifi\u00e9 directement, le bon moment pour corriger cela, c’est maintenant. Migrez les modifications dans un th\u00e8me enfant. Vous pourrez ensuite mettre \u00e0 jour le th\u00e8me parent en toute s\u00e9curit\u00e9.<\/p>
Ouvrez la page des th\u00e8mes dans votre administration WordPress. Notez le nom du th\u00e8me, la version, l’auteur et la date de la derni\u00e8re mise \u00e0 jour. Recherchez le th\u00e8me sur WordPress.org ou sur le site du fournisseur. Si la derni\u00e8re version est en avance de plus de quelques versions mineures sur la v\u00f4tre, planifiez une mise \u00e0 jour. Si la derni\u00e8re mise \u00e0 jour remonte \u00e0 plus d’un an, planifiez une migration pour l’abandonner.<\/p>
V\u00e9rifiez si le th\u00e8me est con\u00e7u pour l’\u00e9diteur de blocs. Les th\u00e8mes plus anciens supposent l’\u00e9diteur classique et paraissent de plus en plus lourds dans le WordPress moderne. Un th\u00e8me de blocs est compatible avec la direction que prend la plateforme.<\/p>
La proc\u00e9dure s\u00fbre est la m\u00eame que pour tout changement important sur WordPress. Faites d’abord une sauvegarde. Testez sur un environnement de pr\u00e9production. Consultez le journal des modifications \u00e0 la recherche de changements pouvant casser la compatibilit\u00e9. Mettez \u00e0 jour en pr\u00e9production, parcourez le site, corrigez ce qui a boug\u00e9, puis d\u00e9ployez le changement en production pendant une plage horaire \u00e0 faible trafic.<\/p>
Pour les mises \u00e0 jour de version majeure qui incluent des changements de design, pr\u00e9voyez de passer un peu de temps \u00e0 ajuster les surcharges de votre th\u00e8me enfant. Pour les mises \u00e0 jour mineures, c’est g\u00e9n\u00e9ralement invisible. La discipline est la m\u00eame. Pr\u00e9production, test, d\u00e9ploiement.<\/p>
Parfois, un ancien th\u00e8me est tellement en retard que le mettre \u00e0 jour devient plus p\u00e9nible que migrer. Le d\u00e9veloppeur d’origine n’est plus l\u00e0, le th\u00e8me n’est plus maintenu, le code est rempli de jQuery d’une autre \u00e9poque, et un nouveau th\u00e8me de blocs offrirait au site une meilleure base que de continuer \u00e0 rafistoler l’ancien.<\/p>
Une migration planifi\u00e9e vers un th\u00e8me de blocs actuel permet g\u00e9n\u00e9ralement de pr\u00e9server l’apparence et le ressenti du site tout en rempla\u00e7ant les fondations qui se trouvent en dessous. Le co\u00fbt est initial, mais les \u00e9conomies se cumulent sur chaque ann\u00e9e future de maintenance.<\/p>