Selon les statistiques de la base de données WPScan sur les vulnérabilités de WordPress, les vulnérabilités des extensions représentent près de 25% des vulnérabilités totales.
Source: WPScan Vulnerability Database
Par défaut, WordPress ne met pas à jour les extensions automatiquement. La disponibilité des mises à jour est signalée par un point rouge sur la page « Mises à jour » du tableau de bord ou dans le menu « Extensions ».
Le reporting est effectué par un job cron (wp_update_plugins) qui est déclenché deux fois par jour (toutes les 12 heures), qui vérifie pour chaque extension installée, si une mise à jour est disponible.
Si vous avez un seul site à gérer et que vous vous connectez souvent au tableau de bord d’administration, la mise à jour des extensions peut être effectuée manuellement directement par l’administrateur du site.
Par contre, si vous gérez plusieurs ou même des centaines de sites Web, la mise à jour manuelle peut prendre beaucoup de temps !
Comment puis-je protéger mon site Web ?
Comme vous l’aurez deviné, il existe quelques extensions qui permettent de paramétrer la mise à jour automatique des extensions installées, sans aucune intervention de la part de l’administrateur du site.
Les extensions les plus populaires en termes de nombre de téléchargements et de commentaires positifs sont :
1) Easy Updates Manager
La configuration de l’extensions est très simple et il fait très bien son travail. Vous pouvez définir des mises à jour automatiques des extensions ainsi que des fichiers de base WordPress, des thèmes et des traductions des langues de chaque composant du système.
Pour une explication sur la configuration de l’extension, regardez la vidéo suivante fournie par le développeur :
2) Companion Auto Update
Companion Auto Update est une autre extension populaire, très facile à configurer et comme l’extension précédente, elle permet de mettre à jour les fichiers WordPress, les extensions, les thèmes et les traductions.
Conclusions
Maintenir vos extensions à jour est une tâche assez simple. Le principal inconvénient de cette approche automatisée est que la mise à jour d’une extension peut casser votre site, souvent à cause d’un conflit entre votre extension mise à jour et le code du site.
Dans ce cas, la meilleure approche, afin d’éviter toute casse du site, est d’effectuer la mise à jour des extensions sur la réplique d’un site (site de « staging ») où les extensions peuvent être installées et testées à fond.
Une fois testées, elles peuvent être installées sur le site principal (site de « production »).
Cependant, la mise à jour des extensions de votre site n’est qu’une petite partie du processus de sécurisation WordPress.
Sécuriser WordPress est une tâche très exigeante, c’est pourquoi nous vous conseillons fortement de ne rechercher que des experts en sécurité de l’information pour vous aider à maintenir votre site Web en fonctionnement et sécurisé.
