L’une des questions les plus fr\u00e9quentes que nous posent les propri\u00e9taires de WordPress est de savoir \u00e0 quelle fr\u00e9quence mettre \u00e0 jour les extensions. La r\u00e9ponse honn\u00eate, c’est que cela d\u00e9pend du site, mais le cadre de d\u00e9cision est le m\u00eame partout. Choisissez la fr\u00e9quence qui correspond \u00e0 votre profil de risque, \u00e0 votre capacit\u00e9 et au type d’extensions que vous utilisez. Puis engagez-vous \u00e0 la suivre. La pire fr\u00e9quence, c’est l’absence de fr\u00e9quence.<\/p>
Une fr\u00e9quence hebdomadaire est la r\u00e9f\u00e9rence pour tout site o\u00f9 la s\u00e9curit\u00e9 ou le chiffre d’affaires comptent. Elle r\u00e9duit la fen\u00eatre entre la divulgation d’une vuln\u00e9rabilit\u00e9 et un site corrig\u00e9, g\u00e9n\u00e9ralement moins de sept jours. La plupart des campagnes d’exploitation automatis\u00e9e surviennent dans cette fen\u00eatre.<\/p>
L’hebdomadaire est la bonne cadence pour les sites e-commerce, les sites qui traitent des donn\u00e9es personnelles, les sites \u00e0 fort trafic et les sites d\u00e9j\u00e0 compromis par le pass\u00e9. La friction est faible. Un mainteneur comp\u00e9tent peut traiter une semaine de mises \u00e0 jour en une trentaine de minutes, sauvegarde comprise, test en pr\u00e9production pour les changements risqu\u00e9s et test de fum\u00e9e ensuite.<\/p>
Le mensuel est la cadence la plus courante pour les sites WordPress de petites entreprises. Il \u00e9tablit un \u00e9quilibre raisonnable entre s\u00e9curit\u00e9 et temps n\u00e9cessaire \u00e0 des tests corrects. Pour les sites avec vingt extensions ou moins et sans commerce \u00e0 \u00e9ch\u00e9ance critique, le mensuel fonctionne bien.<\/p>
Le hic du mensuel, c’est que la fen\u00eatre entre divulgation et correctif peut s’\u00e9tirer sur pr\u00e8s d’un mois. Pour la plupart des extensions, c’est acceptable. Pour une extension vis\u00e9e par un avis d’ex\u00e9cution de code \u00e0 distance sans authentification, c’est bien trop long. Le mensuel ne fonctionne que s’il inclut des mises \u00e0 jour hors cycle pour les avis r\u00e9ellement critiques.<\/p>
\u00ab Au besoin \u00bb a l’air responsable. En pratique, c’est souvent un euph\u00e9misme pour \u00ab jamais \u00bb. Sans cr\u00e9neau r\u00e9current au calendrier, le travail est repouss\u00e9 au jour o\u00f9 quelqu’un remarque un probl\u00e8me. \u00c0 ce moment-l\u00e0, le site a des mois de retard.<\/p>
Si la seule chose qui maintient votre site WordPress \u00e0 jour est votre propre attention aux e-mails de notification des extensions, le syst\u00e8me a d\u00e9j\u00e0 \u00e9chou\u00e9. La plupart des propri\u00e9taires rangent ces e-mails dans un dossier qu’ils ne lisent jamais.<\/p>
Depuis WordPress 5.5, les mises \u00e0 jour automatiques des extensions peuvent \u00eatre activ\u00e9es extension par extension depuis l’administration. Pour des extensions \u00e0 faible risque sur un site o\u00f9 les tests en pr\u00e9production ne sont pas pratiques, activer les mises \u00e0 jour automatiques vaut mieux que pas de fr\u00e9quence du tout. L’extension se met \u00e0 jour automatiquement d\u00e8s qu’une nouvelle version est publi\u00e9e, sans intervention humaine.<\/p>
La contrepartie, c’est que les mises \u00e0 jour automatiques ne testent pas d’abord en pr\u00e9production. Si une mise \u00e0 jour casse le site, vous le d\u00e9couvrez en production. Pour un blog personnel, c’est acceptable. Pour un site e-commerce, c’est risqu\u00e9.<\/p>
Le sch\u00e9ma sens\u00e9 est hybride. Mises \u00e0 jour automatiques activ\u00e9es pour les extensions de s\u00e9curit\u00e9 courantes qui posent rarement probl\u00e8me. Mises \u00e0 jour manuelles avec tests en pr\u00e9production, \u00e0 une cadence hebdomadaire ou mensuelle, pour les extensions plus complexes comme les plateformes e-commerce, les constructeurs de pages et les int\u00e9grations.<\/p>
Quelle que soit votre fr\u00e9quence habituelle, certains avis exigent une attention imm\u00e9diate. Une vuln\u00e9rabilit\u00e9 critique activement exploit\u00e9e dans la nature ne peut pas attendre le cr\u00e9neau programm\u00e9 de mardi prochain. La fr\u00e9quence doit inclure une voie pour les mises \u00e0 jour hors cycle, avec une r\u00e8gle claire sur ce qui y donne droit et sur qui a autorit\u00e9 pour les appliquer dans l’urgence.<\/p>
Abonnez-vous aux flux d’avis de s\u00e9curit\u00e9 des extensions que vous utilisez. Wordfence, Patchstack et WPScan publient des avis quasi en temps r\u00e9el. Si vous n’avez pas le temps de les lire, un contrat de support g\u00e9r\u00e9 devrait le faire pour vous.<\/p>
Une session de mise \u00e0 jour digne de ce nom, ce n’est pas juste cliquer sur \u00ab mettre \u00e0 jour \u00bb. Elle comprend une sauvegarde v\u00e9rifi\u00e9e effectu\u00e9e d’abord, une revue rapide du changelog de chaque extension qui monte de plus d’une version de correctif, des mises \u00e0 jour par lots regroup\u00e9es assez petits pour qu’isoler un probl\u00e8me co\u00fbte peu, des tests de fum\u00e9e apr\u00e8s chaque lot, et une v\u00e9rification finale que les fonctions d’administration et les principaux parcours publics fonctionnent toujours.<\/p>
Pour un site WordPress de petite entreprise typique, cela repr\u00e9sente 20 \u00e0 40 minutes de travail concentr\u00e9. Pour un site WooCommerce complexe, cela peut s’\u00e9tirer \u00e0 une heure. Dans tous les cas, ce n’est pas un travail \u00e0 caser dans les cinq derni\u00e8res minutes d’une journ\u00e9e charg\u00e9e.<\/p>
Mettez la fr\u00e9quence par \u00e9crit. Qui fait les mises \u00e0 jour. Quand. Ce que couvre le test de fum\u00e9e. Quelle est la voie d’escalade quand quelque chose casse. O\u00f9 sont stock\u00e9es les sauvegardes. Ce n’est pas de la paperasse d’entreprise. C’est le document qui emp\u00eache le syst\u00e8me de s’effondrer le jour o\u00f9 le mainteneur habituel est en vacances.<\/p>
Si votre fr\u00e9quence actuelle repose sur la m\u00e9moire d’une seule personne, elle est fragile. Un court guide \u00e9crit prot\u00e8ge la routine.<\/p>
Passez du mensuel \u00e0 l’hebdomadaire d\u00e8s que l’un de ces \u00e9v\u00e9nements survient. Le site passe de vitrine \u00e0 critique pour le chiffre d’affaires. Une compromission pass\u00e9e en a fait une cible connue. La liste des extensions s’allonge sensiblement. Une nouvelle fonctionnalit\u00e9 e-commerce est lanc\u00e9e. Le site commence \u00e0 traiter des donn\u00e9es personnelles.<\/p>
La cadence doit correspondre au co\u00fbt d’un incident. \u00c0 mesure que le co\u00fbt augmente, la cadence se resserre.<\/p>