Catégorie : WordPress

  • Mises à jour automatiques de WordPress : Quels risques et avantages pour votre site web ?

    Mises à jour automatiques de WordPress : Quels risques et avantages pour votre site web ?

    Les mises à jour de WordPress, qu’elles soient manuelles ou automatiques, suscitent toujours des interrogations, voire des craintes chez les webmasters. Ces mises à jour sont nécessaires pour la sécurité et l’évolutivité de votre site, mais elles comportent aussi des risques. Alors faut-il activer les mises à jour automatiques WordPress ? Explorons les enjeux.

    Mises à jour manuelles

    Quel que soit votre mode de mise à jour (manuelle ou automatique), les risques existent.

    Globalement, peu importe si la mise à jour est automatique ou manuelle, vous rencontrerez parfois des soucis à traiter, tôt ou tard.

    Quels sont les risques des mises à jour de WordPress ?

    Du simple bug à l’inaccessibilité du site, voici les problèmes les plus fréquents :

    • Intervention nécessaire : Parfois, une mise à jour nécessite une intervention manuelle pour ajuster certains paramètres ou configurations.
    • Un plugin ou un thème présente un bug : Une mise à jour peut introduire un dysfonctionnement, surtout si le plugin ou le thème n’est plus maintenu par ses développeurs.
    • Incompatibilité de versions : Un plugin ou un « addon » dépend d’un autre plugin et peut ne pas être mis à jour aussi fréquemment, créant des conflits.

    Comment réduire le risque

    Pour éviter ces risques et désagréments, un processus de staging est nécessaire : cela consiste à essayer toute mise à jour dans un environnement de test avant de l’appliquer en production. Cependant, cette pratique nécessite du temps et des ressources conséquents, ce qui n’est pas envisageable pour les sites les plus modestes.

    Mises à jour automatiques

    Quels sont les avantages des mises à jour automatiques WordPress ?

    Passer aux mises à jour automatiques offre un gain de temps et de sécurité.

    Cela se fait en quelques clics depuis votre panneau de contrôle Plesk. Vous avez la possibilité de désactiver la mise à jour automatique de tout plugin qui poserait souci.

    1. Gain de sécurité

    En activant les mises à jour automatiques, votre site est protégé contre les dernières failles de sécurité identifiées dès leur correction. Cela permet de limiter les risques de piratage et de maintenir votre site en sécurité sans intervention manuelle systématique.

    2. Économie de temps et d’énergie

    Les mises à jour automatiques réduisent la nécessité d’une intervention fréquente. Au lieu de vérifier manuellement les nouvelles versions de plugins ou de WordPress, vous économisez du temps précieux qui peut être réinvesti dans des tâches à plus forte valeur ajoutée.

    3. Des bugs plus mineurs

    Grâce à une mise à jour régulière, les bugs rencontrés seront globalement plus mineurs, tout simplement car les changements sont plus mineurs. De plus, le diagnostic sera plus simple : si un plugin pose problème, vous trouverez rapidement parmi les quelques scripts récemment modifiés, lequel pose problème, tandis que si tous les plugins ont reçu une mise à jour, vous devrez tous les tester un par un.

    Pré-requis des mises à jour automatiques

    En mise à jour automatique, il il y a des pré-requis encore plus importants qu’en MAJ manuelle.

    1. Sauvegardes automatisées et externalisées

    Les sauvegardes sont indispensables dans certains cas. Il est donc important d’avoir des sauvegardes régulières, externalisées, avec une rétention longue. Ces sauvegardes doivent être sélectivement et facilement restaurables.

    Sur les hébergements web LRob, nous effectuons une sauvegarde hébergeur remontant jusqu’à 1 an en arrière.

    2. Monitoring du site

    Vous devez monitorer la bonne réponse de vos sites et faire une vérification manuelle de temps en temps.

    Via nos hébergements web LRob, nous monitorons la bonne réponse de chaque site hébergé.

    3. Disponibilité

    Vous devez réagir rapidement si besoin, pour éviter qu’un souci ne dure sur votre site. Et vous devez avoir les bons outils pour diagnostiquer (accès aux logs, phpMyAdmin, explorateur de fichiers, désactivation des plugins depuis le panel hébergeur – tout cela est disponible sur les hébergements web LRob). Votre support LRob peut vous aider à diagnostiquer et résoudre votre souci, en s’impliquant dans la recherche et le diagnostic WordPress.

    Que faire en cas de problème suite à une mise à jour WordPress ?

    Si une mise à jour cause un problème, il faut réagir vite et bien :

    • Consultez les logs : Les journaux du serveur peuvent indiquer très rapidement la source du problème.
    • Désactivez le plugin fautif : Si vous pouvez vous en passer, désactivez le plugin concerné.
    • Adaptez les réglages : Parfois, une simple modification de réglage suffit pour résoudre l’incident.
    • Support des développeurs : Contactez le support du plugin ou du thème concerné pour remonter le problème et obtenir de l’aide.
    • Restaurez une sauvegarde : Si le problème est critique et n’a pas de solution immédiate, alors une restauration de sauvegarde est peut-être nécessaire solution. Dans ce cas, il peut être judicieux de suspendre temporairement les mises à jour (automatiques) jusqu’à ce que la solution soit trouvée. Si vous n’avez pas de sauvegarde de votre côté, votre support LRob peut restaurer sa sauvegarde hébergeur.
    • Contactez votre support LRob : Nous gérons de nombreux sites, il est fort probable que nous ayons déjà passé des heures à résoudre un souci similaire ou que notre expérience nous permettant de trouver votre solution très rapidement. Nous sommes toujours heureux de vous aider à gagner du temps !

    En résumé : mise à jour manuelle ou automatique ?

    Mise à jour manuelle

    En MAJ manuelle, vous retardez l’apparition des problèmes que vous devrez résoudre tôt ou tard, tout en vous exposant à davantage de failles de sécurité.

    Ce choix peut convenir aux sites très complexes, soumis à de potentiels bugs et nécessitant un suivi plus extensif.

    Mise à jour automatique

    En MAJ auto vous risquez un bug temporaire, vous devez prendre en charge les (rares) problèmes dès leur apparition.

    L’exception : les sites complexes

    L’exception étant les gros sites complexes, tels que des WooCommerce avec du dev custom, où dans ce cas, il vaut mieux faire un staging et tester chaque mise à jour (maxi tous les 3 mois, ou lorsqu’une faille de sécurité connue apparaît), moyennant un forfait de maintenance approprié.

    Avec un service d’hébergement professionnel, tel que celui proposé par LRob, vous pouvez bénéficier d’un support technique et de sauvegardes prolongées, jusqu’à un an en arrière, pour sécuriser votre site face aux imprévus.

    Conclusion

    Globalement, la mise à jour automatique devrait selon nous être votre choix par défaut car la sécurité prime sur la fonctionnalité. Si vous êtes « agile », alors cela ne devrait pas poser de souci. Car mieux vaut avoir un bug à résoudre qu’un site piraté et toutes ses conséquences à traiter. Les petites et moyennes structures tireront souvent plus de bénéfices des mises à jour automatiques, tandis que les sites plus complexes requièrent une gestion de maintenance spécifique et approfondie.

    Si vous êtes prêt à adopter les mises à jour automatiques, assurez-vous d’avoir des sauvegardes et une stratégie de monitoring en place pour gérer efficacement les rares incidents qui pourraient survenir.

    👉 Pour une gestion simplifiée de votre site WordPress, découvrez les offres d’hébergement LRob et bénéficiez de notre expertise pour éviter ou résoudre les soucis techniques et garder votre site en ligne, sécurisé et performant.

  • WPMasterToolKit : le plugin tout-en-un pour WordPress

    WPMasterToolKit : le plugin tout-en-un pour WordPress

    Découvrez WPMasterToolKit : le plugin indispensable pour vous simplifier la vie et alléger vos sites WordPress.

    Ce plugin made-in France, développé par le talentueux Ludwig YOU de Webdeclic, regroupe une multitude de fonctionnalités essentielles de WordPress, que vous pouvez chacune activer en un clic. Le tout en une seule extension : de quoi simplifier votre gestion tout en accélérant votre site ! 🚀

    Un plugin vraiment différent

    WPMasterToolKit est simple et flexible. Avec déjà plus de 83 fonctionnalités gratuites activables, ce plugin vous permet de remplacer d’innombrables extensions par une seule.

    Ce qui rend WPMasterToolKit unique, outre le fait d’être français, c’est sa capacité à activer uniquement les fonctionnalités dont vous avez besoin, sans alourdir inutilement votre site. Là où d’autres extensions sont monolithiques, chargeant des scripts inutiles même lorsque vous ne les utilisez pas, WPMasterToolKit est conçu pour être léger et efficace.

    Si une fonctionnalité est désactivée, le programme associé ne se charge pas du tout. Ainsi, vous allégez l’utilisation de ressources de votre site et améliorez ses performances, en ne chargeant que les fonctionnalités dont vous avez réellement besoin.

    D’autres fonctionnalités sont sur le feu, et quelques unes sont disponibles en premium pour pérenniser le projet.

    Le développeur, Ludwig YOU, est très à l’écoute des suggestions et améliore activement son plugin. Avec notamment l’ajout récent d’un onglet permettant de voir d’un coup d’œil les fonctionnalités actives.

    Fonctionnalités phares de WPMasterToolKit

    WPMasterToolkit : Modules actifs sur le site LRob.fr

    Voici quelques-unes de mes fonctionnalités préférées jusqu’à présent :

    1. Cacher la version de WordPress

    Cacher la version de WordPress affichée dans le code source est une excellente mesure de sécurité. Cela réduit les chances que votre site soit ciblé par des attaques automatisées visant des versions spécifiques de WordPress.

    2. Limitation des révisions

    La gestion des révisions de contenu est un point souvent négligé qui peut rapidement surcharger la base de données. WPMasterToolKit permet de limiter le nombre de révisions par article, ce qui aide à garder la base de données propre et performante.

    3. Désactiver le support des emojis

    Les emojis sont utiles pour certains sites, mais la plupart des navigateurs modernes supportent déjà nativement ces symboles. Désactiver leur prise en charge au niveau de WordPress permet d’alléger le chargement des pages.

    4. Désactiver les balises Really Simple Discovery (RSD)

    En désactivant le chargement des balises RSD (et des scripts comme Dashicons pour les visiteurs non connectés), vous pouvez réduire le temps de chargement de vos pages publiques, particulièrement si votre site n’utilise pas de services tiers qui nécessitent ces éléments.

    5. Désactiver jQuery Migrate

    Si votre site utilise des versions récentes de jQuery, le script jQuery Migrate devient inutile et peut être désactivé pour améliorer la vitesse de chargement des pages.

    D’autres fonctionnalités intéressantes

    Outre ces fonctionnalités favorites, WPMasterToolKit propose également une panoplie d’outils qui facilitent la gestion quotidienne de votre site. Parmi les plus populaires, vous trouverez :

    • Auto-publication des articles manqués : publie automatiquement les articles qui ont raté leur date de planification.
    • Gestion du SMTP : Se connecte à un serveur SMTP tiers pour relayer plus fiablement vos emails.
    • Désactivation des API REST pour les utilisateurs non authentifiés : améliore la sécurité en limitant l’accès aux données via l’API REST.
    • Ban d’emails : bloque la création de comptes utilisateurs avec des adresses email temporaires ou non autorisées.
    • Mode Maintenance : affiche une page de maintenance personnalisée pendant vos travaux sans gêner les administrateurs.
    • Redirection des 404 vers la page d’accueil : améliore l’expérience utilisateur en redirigeant les pages inexistantes vers la page d’accueil.

    Et bien d’autres encore… L’idéal reste d’explorer et de tester par vous-même ! Qui sait, vous pourriez remplacer des dizaines de plugins !

    Une boîte à outils WordPress essentielle qui gagnera à être connue

    Avec ses multiples fonctionnalités personnalisables, vous avez tout sous la main pour mieux personnaliser et contrôler votre site, améliorer ses performances et renforcer sa sécurité.

    Le plugin, encore récent compte à l’heure où j’écris ces lignes +500 installations active. Pour moi, ce plugin est un véritable game changer et je suis convaincu qu’il dépassera le millier bien avant la fin de l’année, et que sa popularité explosera ensuite.

    Essayez-le dès aujourd’hui ! WPMasterToolkit sur WordPress.org

    Hébergement WordPress Spécialisé

    Pratique, libre, rapide et sécurisé

    WordPress
    WordPress, Meilleur CMS depuis 20 ans

    Bien plus qu’un hébergement classique : bénéficiez d’outils de gestion et de sécurisation simplifiés pour WordPress. Avec support d’expert inclus !

  • Comparatif des 8 plugins de cache gratuits et populaires pour WordPress : quel est le plus performant ?

    Comparatif des 8 plugins de cache gratuits et populaires pour WordPress : quel est le plus performant ?

    Trouver le meilleur plugin de cache n’est pas évident. Il faut le tester, mesurer les performances, connaître son support à long terme…

    Alors quel est le cache le plus rapide ? Quel est le meilleur plugin de cache ? Lesquels sont pratiques et complets, lesquels sont performants ? A-t-on besoin de payer pour un bon plugin de cache ?

    Aujourd’hui, on tente de répondre à ces questions avec des mesures indépendantes et les plus objectives possibles. Le test est un peu « meta » car il porte sur essai sur lrob.fr, une vitrine/blog réalisée avec FSE (full site editing). Un site standard et léger.

    Introduction

    L’objectif d’un plugin de cache : tomber sous 200ms de temps de réponse ou « TTFB » (Time To First Byte, 200ms est le temps maximum préconisé par Google PageSpeed Insights).

    Mais tous les cache ne se valent pas, comme le rappelle Yoan De Macedo dans son article de blog. Certains sont plus performants et d’autres dégradent même parfois les performances. Alors pour vraiment choisir le meilleur cache, il reste nécessaire d’en tester plusieurs sur son propre site et de mesurer précisément les résultats. En raison de la variabilité du temps de réponse, il est important de faire des tests sur une certaine durée et de moyenner les résultats. Cela peut cependant être fastidieux, alors vous pouvez choisir de vous baser sur ce test comparatif pour commencer à y voir plus clair.

    On rappelle aussi que le cache ne fait pas tout. Le cache permet d’alléger les ressources serveur, mais votre site doit être optimisé à la base. Sinon cela s’appelle un « cache-misère ». Privilégiez donc les plugins et thèmes légers et bien optimisés pour éviter les mauvaises surprises. Le cache sera alors la cerise sur le gâteau.

    Plugins testés

    Je me suis basé sur un « top » des plugins de cache ainsi que sur mon expérience des plugins réellement rencontrés chez les différents clients hébergés pour établir cette liste des plugins à tester :

    1. Autoptimize
    2. Breeze
    3. Cachify
    4. LiteSpeed Cache
    5. WP Fastest Cache
    6. WP-Optimize
    7. W3 Total Cache
    8. Bonus : Solid Performance (nouveau plugin)

    Protocole de test

    Ce test réalisé par LRob n’est aucunement sponsorisé par un quelconque plugin de cache. Il a vocation à être le plus objectif possible. Cependant, ce test n’est que le reflet de lui-même et de notre avis qui ne saurait être parfaitement objectif et n’a donc pas vocation à produire des vérités générales. LRob est un hébergeur web indépendant spécialiste de WordPress.

    Détails du site web

    Le test est réalisé sur https://www.lrob.fr/. La fonction WP-Cron est désactivée et est exécutée directement par le serveur toutes les 4 minutes. Le site tourne sous PHP 8.3.12 en FPM dédié derrière Apache 2, avec MariaDB 11.4. Redis server est également disponible sur le serveur hôte (version 5:6.0.16).

    Thème

    Le site est réalisé avec FSE et le thème Twenty Twenty-Four

    Plugins

    Le site comporte 17 plugins actifs au moment du test (sans compter le plugin de cache testé) :

    Voir la liste des plugins
    • Comment Blacklist Updater
    • Complianz | GDPR/CCPA Cookie Consent
    • Connect Matomo
    • Easy WP SMTP
    • hCaptcha for WP
    • Insert PHP Code Snippet
    • Optimize Database after Deleting Revisions
    • Rank Math SEO
    • Regenerate Thumbnails
    • Simple Local Avatars
    • Site Reviews
    • Social Sharing Block
    • TranslatePress – Developer
    • TranslatePress – Multilingual
    • Update URLs
    • WPForms Lite
    • WPMasterToolKit

    Mesures et détails

    La mesure du temps de réponse est effectuée avec Uptime Kuma sur un serveur chez PulseHeberg en Suisse (Lausanne), qui fournit cette moyenne. Le serveur en production est situé en Allemagne chez Hetzner à Falkenstein.

    Chaque plugin est testé successivement, avec une mesure toutes les 20 secondes pendant 5 minutes ou plus (parfois je suis allé me faire un café entre temps), soit minimum 15 mesures pour obtenir une moyenne cohérente.

    Entre chaque test, les valeurs enregistrées d’Uptime Kuma sont effacées après une première mesure une fois que le cache est mis en place; le dossier de cache est supprimé et il a été vérifié que le .htaccess et wp-config.php sont bien exempts de toute trace du précédent plugin.

    Limites du protocole

    Le test est fait sur un serveur en production, générant une variabilité des résultats légèrement supérieure à celle observée sur un serveur sans activité. Cependant, l’utilisation serveur est très modérée au moment du test et la variabilité est compensée par une série de plus de 15 mesures à chaque fois qui permet de moyenner les résultats. Le but n’est pas d’avoir la valeur à la milliseconde près, mais d’obtenir un ordre de grandeur.

    Par ailleurs, le test est fait sur un site spécifique et ne peut pas être extrapolé à l’ensemble des sites : chaque site est différent et régira différemment à certains plugins (en particulier les boutiques). Mais si votre site est fait avec le thème Twenty Twenty-Four ou un autre thème FSE (Full Site Editing), alors il y a fort à parier que vos résultats soient similaires.

    Tests et Benchmarks

    Baseline – Test contrôle : Réponse sans plugin de cache

    Sans aucun plugin de cache, le site répond en moyenne en 379ms avec une faible variabilité. Cette valeur est relativement faible de base, puisque les sites faits avec des builders peuvent facilement prendre 2 à 4x ce temps de réponse.

    Voyons comment s’en sortent les différents plugins de cache pour améliorer ce temps de réponse.

    Autoptimize

    Réponse moyenne : 379ms

    Le temps de réponse est identique au site sans cache. Et pour cause, la fonction de cache de Autoptimize n’est en fait disponible qu’avec le plugin payant. Autrement dit, vous n’accélérerez pas votre site en version gratuite avec ce plugin. Dommage.

    Cependant, comme le précise le développeur Simon JANVIER, Autoptimize, en version gratuite, est davantage utile pour la concaténation et minification intelligente des scripts. Sur ce point, il peut alléger votre site, mais cela n’améliorera pas le TTFB (temps de réponse) de votre site.

    Breeze

    Contrairement à ce que je pensais initialement, Breeze n’est pas réservé à Cloudways ou à Varnish, il fonctionne également sur un système classique. Je l’ajoute donc à ce test et je remercie Michael GOUT d’avoir porté ce plugin à mon attention.

    Réponse moyenne : 98ms

    Le résultat est bluffant : on tombe sous les 100ms avec une très bonne stabilité des temps de réponse ! Je découvre ce plugin et j’en tombe de ma chaise !

    J’émets une petite réserve sur la compatibilité du plugin avec tous les sites en raison des commentaires sur wordpress.org. A la lecture de ces commentaires, il semble que son utilisation pourrait poser quelques soucis avec les sites les plus dynamiques ou complexes, comme les e-commerce WooCommerce.

    Pour le reste, il semble être un excellent choix à ne surtout pas manquer.

    Cachify

    Cachify propose par défaut une mise en cache en base de données et supporte également un cache par fichiers et par Redis. Nous avons testé le cache par défaut et Redis. En dehors de cela, très peu de réglages nous sont disponibles.

    Réponse moyenne : 260ms

    Les résultats sont similaires entre le cache « Database » et Redis, on est dans la marge d’erreur. Les résultats semblent cependant plus stables avec Redis. Le résultat dépasse dans tous les cas les 200ms escomptées, ce qui est donc décevant. Ce plugin ne peut pas vraiment être recommandé.

    LiteSpeed Cache

    LiteSpeed Cache a beaucoup fait parler de lui récemment pour ses failles de sécurité. Le plugin prétend correspondre également à un serveur Apache. Alors comment s’en sort-il en pratique ?

    Réponse moyenne : 376ms

    Un résultat décevant pour LiteSpeed cache sur notre configuration de test, puisque le site est dans la marge d’erreur du temps de réponse original du site, sans cache.

    Et pour cause, comme le relève Louis Chance, LiteSpeed, comme son nom l’indique, n’apporte aucun cache sur un serveur Apache ! Il faut forcément un serveur LiteSpeed disponible. Impossible de recommander ce plugin si vous tournez sous Apache, étant donné les performances obtenues et les multiples failles de sécurité récentes.

    W3 Total Cache

    W3 Total Cache offre un assistant de configuration et de nombreux réglages. C’est le plugin gratuit le plus complet que je connaisse. Il supporte différents types de cache dont Redis. Ici, la minification a été activée, ce qui peut augmenter légèrement le temps de réponse mesuré mais offre de meilleures performances pour les visiteurs à la connexion plus lente (mobiles, ADSL, etc.).

    Réponse moyenne : 159ms

    Enfin un résultat sous les 200ms ! Avec Redis, donc en évitant des milliers de fichiers de cache. Et un grand contrôle sur les réglages et des options comme le Lazy Load des images, et la désactivation de certains scripts optionnels de WordPress. Sa configuration versatile permettra de s’adapter plus précisément à chaque site : vous pourrez mesurer les performances obtenues avec différents réglages et choisir les plus pertinents pour votre site spécifique.

    Par ailleurs, les autres types de cache disponibles sont également performants, bien que non testés aujourd’hui, les résultats sont assez similaires quel que soit le type de cache choisi.

    Ce plugin n’a jamais déçu selon notre expérience est donc tout à fait recommandable. (C’est même le choix de LRob.fr)

    WP Fastest Cache

    Ce plugin offre des options intéressantes en version gratuite. Certaines options offertes gratuitement avec W3 Total Cache manquent cependant à l’appel.

    Mais le plus important aujourd’hui : ce plugin porte-t-il bien son nom, en étant réellement le plus rapide ?

    Réponse moyenne : 123ms

    Ce plugin porte assez bien son nom, c’est effectivement l’un des plus rapide testés ! Sur notre test, Breeze arrive cependant en tête.

    Chez LRob, nous avons vu plusieurs blogs divers et variés obtenir de très bons résultats avec ce plugin. Il n’a jamais déçu, et nous le recommandons sans hésiter.

    WP-Optimize

    WP-Optimize n’offre que très peu de réglages de cache. Car en réalité, sa fonction première semble plutôt être le nettoyage de la base de données. Alors comment s’en sort-il en cache ?

    La variabilité du temps de réponse est trop élevée à notre goût avec des réponses oscillant entre 132 et 180ms.

    Néanmoins, la moyenne reste très bonne avec 152ms. Une bonne surprise.

    Nous ne sommes pas du tout rassurés par cette variabilité et ne recommandons donc pas ce plugin en tant que cache. D’autant plus que nous avons déjà observé des sites plus lents avec ce plugin que sans… A utiliser donc avec précaution en tant que cache.

    Solid Performance

    En bonus, je vous propose de tester un nouveau plugin de cache, Solid Performance, qui semble prometteur. (merci à Julien ROUSSEL pour la recommandation).

    Réponse moyenne : 155ms

    Si celui-ci ne fournit strictement aucun réglage, son temps de réponse mesuré figure parmi les meilleurs de ce test. De quoi potentiellement satisfaire ceux qui n’ont pas envie de faire le moindre réglage. Le plugin étant jeune, il n’a pas encore été éprouvé, néanmoins un plugin de cache se change facilement si besoin dans la plupart des cas, il n’y a donc pas trop de risque à l’essayer si le cœur vous en dit !

    Résumé des résultats et conclusion

    PluginRéponse moyenne (ms)Pourcentage (lower is better)
    Baseline (pas de cache)379100%
    Autoptimize379100%
    Breeze 🥇9825.8%
    Cachify Database25767.8%
    Cachify Redis26369.4%
    LiteSpeed37699.2%
    W3 Total Cache Redis 🥉15941.9%
    WP Fastest Cache 🥈12332.4%
    WP-Optimize15240.1%
    Solid Performance15540.9%

    Nous pouvons sans hésiter recommander Breeze, WP Fastest Cache et W3 Total Cache qui sont tous les trois excellents. Ils proposent de très bon temps de réponse avec suffisamment de réglages, même en version gratuite. A noter toutefois que Breeze pourrait poser quelques soucis sur certains sites. Aussi, W3 est toutefois un peu plus complet en gratuit que WP Fastest Cache, raison pour laquelle il a été choisi pour LRob.fr, mais Breeze pourrait potentiellement le remplacer à terme, car il fournit presque autant de fonctionnalités tout en étant plus simple d’utilisation.

    En résumé, selon notre test :

    • Choisissez Breeze pour la performance max, plutôt pour les sites vitrine
    • Choisissez W3 Total Cache pour le plus haut niveau de personnalisation ou si votre hôte supporte Redis (c’est le cas des hébergements LRob)
    • Choisissez WP Fastest Cache pour d’excellentes performances sans configuration

    Mention pour WP-Optimize qui malgré son manque de réglages et sa grande variabilité de temps de réponse montre un temps de réponse moyen tout à fait correct. Mention également pour Solid Performance qui, nouvel arrivant, porte bien son nom et semble prometteur sans pour autant révolutionner quoi que ce soit, en l’état, dû à son manque de réglages. Cachify montre des réglages et des performances inférieures aux autres plugins. Nous ne pouvons pas nous prononcer sur LiteSpeed dans notre configuration Apache (si ce n’est que son intérêt est donc très limité dans ce type de configuration). Autoptimize enfin, n’apporte aucune amélioration sur les temps de chargement et est donc totalement inutile à cet effet, selon nos mesures, mais pourrait être utilisé en conjonction avec un plugin de cache pour réduire le nombre de fichiers.

    Vu les bons résultats obtenus avec ces plugins gratuits, il ne semble donc pas indispensable de payer pour un plugin de cache si vous n’avez pas besoin des fonctions additionnelles proposées. Nous pourrions cependant tester les versions payantes dans un futur article, si cela vous intéresse.

    On rappelle bien-sûr qu’un hébergement performant est indispensable pour obtenir les meilleurs temps de réponse. Pour cela, les hébergements LRob sont là pour vous servir (dans tous les sens du terme) !

    Hébergement WordPress Spécialisé

    Pratique, libre, rapide et sécurisé

    WordPress
    WordPress, Meilleur CMS depuis 20 ans

    Bien plus qu’un hébergement classique : bénéficiez d’outils de gestion et de sécurisation simplifiés pour WordPress. Avec support d’expert inclus !

  • Conflit WordPress vs WP Engine : analyse du drama

    Conflit WordPress vs WP Engine : analyse du drama

    Le monde de WordPress, qui alimente plus de 40 % des sites web dans le monde, est en pleine ébullition. Au centre du conflit se trouvent deux acteurs majeurs de l’écosystème : Matt Mullenweg, fondateur de WordPress et CEO d’Automattic, et WP Engine, une des principales entreprises d’hébergement pour WordPress.

    Cet affrontement, qui a pris des proportions juridiques, soulève des questions cruciales sur le contrôle de la marque WordPress, l’open source, et la gouvernance de l’un des projets les plus influents du web. Voici une analyse détaillée de cette affaire et des enjeux qu’elle représente.

    Contexte : WordPress et WP Engine

    WordPress et Automattic : une relation complexe

    WordPress, lancé en 2003 par Matt Mullenweg et Mike Little, est un logiciel open source permettant de créer et gérer des sites web. Il est gratuit et bénéficie du soutien d’une large communauté de développeurs qui contribuent à son amélioration continue. Cependant, la gouvernance du projet repose en grande partie sur Automattic, la société fondée par Mullenweg. Automattic gère notamment WordPress.com et d’autres produits populaires comme WooCommerce et Jetpack.

    Bien que WordPress soit open source, Automattic détient une licence exclusive pour l’utilisation de la marque WordPress, ce qui donne à l’entreprise un rôle central dans l’écosystème. Cela inclut la protection de la marque contre des utilisations perçues comme abusives ou trompeuses.

    WP Engine : un gros acteur de l’hébergement WordPress

    De son côté, WP Engine est l’un des plus grands services d’hébergement spécialisés dans WordPress. L’entreprise propose des solutions d’hébergement optimisées pour WordPress, facilitant la gestion des sites web pour des millions d’utilisateurs. Elle a connu une croissance rapide, attirant des investisseurs de premier plan comme Silver Lake.

    Cependant, WP Engine n’est pas directement affilié à Automattic ni à la WordPress Foundation, bien que son nom et son modèle économique soient étroitement liés à WordPress.

    Le Début du Conflit : Mullenweg vs WP Engine

    En septembre 2024, Matt Mullenweg a publié un billet de blog dans lequel il critiquait ouvertement WP Engine, qualifiant l’entreprise de “cancer pour WordPress”. Il reprochait à WP Engine de désactiver par défaut la fonctionnalité d’historique des révisions des articles, une pratique qui, selon lui, compromettait la protection des données des utilisateurs.

    Mullenweg a également dénoncé l’utilisation par WP Engine de la marque “WP”, estimant que cela créait une confusion chez les utilisateurs, leur faisant croire que WP Engine faisait partie de WordPress ou avait un lien officiel avec la WordPress Foundation.

    La Réaction de WP Engine

    Face à ces accusations, WP Engine a répliqué en envoyant une lettre de cessation et de désistement à Mullenweg et à Automattic, exigeant qu’ils retirent leurs déclarations. WP Engine a défendu son utilisation de la marque « WP », affirmant que cela relevait de l’usage loyal du nom, conformément à la loi sur les marques. La société a également accusé Mullenweg d’avoir menacé d’adopter une “approche nucléaire” contre WP Engine à moins qu’elle n’accepte de payer une redevance substantielle pour l’utilisation de la marque WordPress.

    L’escalade juridique : cessez-le-feu et contre-attaques

    En réponse à la lettre de WP Engine, Automattic a émis sa propre lettre de cessation et de désistement, affirmant que WP Engine violait les règles d’utilisation des marques WordPress et WooCommerce.

    Le conflit a atteint un nouveau sommet lorsque Mullenweg a pris la décision radicale de bannir WP Engine des ressources de WordPress.org. Ce ban a bloqué les sites hébergés sur WP Engine de l’accès aux mises à jour des plugins et des thèmes, exposant de nombreux sites à des risques de sécurité. Cette mesure a été largement critiquée au sein de la communauté WordPress, car elle a laissé de petites entreprises et des sites indépendants sans solution viable.

    WP Engine a dénoncé cette décision, accusant Mullenweg d’abus de pouvoir et de mettre en danger l’ensemble de l’écosystème WordPress.

    Les répercussions pour la communauté WordPress

    Des utilisateurs pris en otage

    L’interruption des services WP Engine a eu un impact majeur sur de nombreux utilisateurs. Bien que les plugins et thèmes WordPress soient sous licence open source, les hébergeurs comme WP Engine doivent gérer des infrastructures pour que leurs clients puissent les utiliser. Le ban temporaire a révélé la fragilité de certaines dépendances techniques et a mis en lumière l’importance d’une gestion équilibrée des ressources open source.

    Mullenweg a toutefois affirmé que le conflit était strictement lié à des questions de marques et non à la gestion globale de WordPress. Le ban a été levé temporairement à la fin du mois de septembre, mais l’incident a semé des doutes dans la communauté.

    Automattic trop dominant ?

    De plus en plus de voix s’élèvent pour questionner la position dominante d’Automattic dans la gestion de WordPress. John O’Nolan, fondateur du CMS open source Ghost, a critiqué la centralisation excessive autour de Matt Mullenweg, affirmant que “40 % du web ne devrait pas être contrôlé par une seule personne”.

    De son côté, David Heinemeier Hansson, créateur de Ruby on Rails, a accusé Automattic de trahir les principes de l’open source en demandant à WP Engine de reverser 8 % de ses revenus. Pour lui, cette pratique pourrait avoir des répercussions bien au-delà de WordPress, menaçant l’ensemble de la communauté open source.

    Les implications juridiques et commerciales

    Le 3 octobre 2024, WP Engine a décidé de passer à l’offensive en déposant une plainte contre Automattic et Mullenweg pour abus de pouvoir et pratiques anticoncurrentielles. WP Engine accuse Automattic de ne pas avoir respecté ses engagements envers l’open source et de nuire aux intérêts des développeurs et des utilisateurs.

    Cette affaire est encore en cours, mais elle pourrait avoir des répercussions profondes sur la manière dont les marques et projets open source comme WordPress sont gérés à l’avenir.

    Un message spécial à la connexion sur WordPress.org

    Lors du login aux forums de WordPress.org, une nouvelle case à cocher est apparue :

    ✅ I am not affiliated with WP Engine in any way, financially or otherwise.

    Message inhabituel qui m’a poussé à rechercher cela et à découvrir cette affaire.

    Questions soulevées pour WordPress

    Cela touche essentiellement deux grandes entreprises américaines qui font une exploitation commerciale de WordPress (dans des modèles à mon avis trop modifiés de la version originale de WordPress). Version originale de WP qui est vraiment libre et que vous pouvez héberger où vous le souhaitez (et on l’espère, vous choisirez un hébergement LRob).

    Les hébergeurs indépendants tels que LRob, sommes pour l’heure totalement à l’abri de ce conflit. Pas de sonnette d’alarme pour nous, même si l’on reste vigilants.

    Ce conflit souligne en tout cas les tensions possibles lors d’une gestion de projet open source à grande échelle. Alors que WordPress reste une technologie essentielle pour des millions de sites, ce débat autour de la propriété des marques, de la gouvernance et de l’éthique de l’open source, soulève des questions.

    En particulier : Jusqu’où l’open source peut-il rester libre quand il est étroitement lié à des intérêts commerciaux massifs ?

    Source: techcrunch.com

  • Bonnes pratiques pour vos formulaires de contact WordPress

    Bonnes pratiques pour vos formulaires de contact WordPress

    Imaginez le drame : seulement 1 chance sur 10 que vos demandes vous parviennent !

    Les formulaires de contact sont indispensables pour acquérir des clients. Pourtant, un certain nombre de ces formulaires sont mal configurés et échouent à faire parvenir les demandes des prospects…

    De plus, les formulaires sont sensés être faits pour vous faire gagner du temps… Et quelques astuces peuvent vous y aider… Par exemple en ne recevant pas de spam ou en pouvant répondre plus rapidement.

    Aujourd’hui, LRob vous fait gagner du temps et des prospects !

    1. Ne mettez pas l’adresse email du client en expéditeur (From)

    L’erreur la plus fréquente lors de la configuration des formulaires de contact est de considérer le client comme l’expéditeur du mail.

    Il peut sembler logique de mettre son adresse email dans le champ « From », mais cela provoque un problème majeur : le mail spoofing, ou usurpation d’identité.

    En procédant ainsi, votre site web se fait passer pour l’adresse email de votre client (par exemple : john.doe@microsoft.com). Si le domaine de votre client est bien sécurisé (ce qui est souvent le cas), il refusera que votre serveur envoie un email en son nom. Le message sera donc bloqué silencieusement par votre fournisseur email, ou considéré comme du spam… 9 chances sur 10 que vous soyez considéré comme un spammeur.

    La solution est très simple : l’expéditeur du mail doit toujours être une adresse liée à votre propre domaine. Par exemple, utilisez une adresse telle que : site@votredomaine.fr. Cela garantit que les emails envoyés à partir de votre formulaire ne seront pas rejetés ou classés comme spam.

    2. Protégez vos formulaires avec un Captcha

    N’oubliez pas d’ajouter un Captcha pour éviter les spams.

    Le Captcha n’est pas là juste pour embêter le monde : c’est une solution simple et efficace pour filtrer les robots et préserver la qualité des messages reçus.

    Sans cette protection, vous allez recevoir des dizaines voire des centaines de messages non sollicités par jour, ce qui vous fera perdre du temps à trier, en plus de manquer les vraies demandes.

    Pour respecter la vie privée de vos usagers, je conseille hCaptcha.

    3. Configurez SMTP sur votre site

    Votre site web devrait avoir une adresse mail dédiée avec un vrai login SMTP pour vos envois. Pour rappel, SMTP est le protocole standard d’envoi email.

    Si vos mails sont chez Gmail ou Microsoft, cela va être plus compliqué à appliquer car vous payez à chaque boîte mail et SMTP est désactivé par défaut… Mais s’ils sont chez votre hébergeur favori alors aucun souci !

    Pour WordPress, je conseille le plugin Easy WP SMTP ou bien WPMasterToolkit.

    Mais pourquoi s’embêter à utiliser SMTP ?

    • Les envois par défaut via la fonction php mail() sont parfois désactivés pour éviter les envois involontaires de mails et ainsi préserver la réputation des serveurs (bloqué par défaut chez LRob, autorisé au cas par cas).
    • Cela assure que l’envoi se fasse depuis un vrai serveur email plutôt que depuis le serveur du site web, lorsque ces deux serveurs sont distincts.
    • SMTP va améliorer la délivrabilité des mails grâce à des « headers » email (des méta-informations) généralement plus propres que php mail().
    • En cas de problème avec le formulaire (envoi massif de spams par exemple), SMTP permettra de limiter les envois à un quota horaire.
    • En cas de souci de délivrabilité quelconque, si votre hébergeur fournit du support pour cela (c’est le cas de LRob), les envois SMTP sont bien plus facilement traçables dans les logs, ce qui simplifie le diagnostic.

    En résumé, utiliser SMTP n’a que des chances d’améliorer votre délivrabilité et d’éviter les problèmes. Utilisez-le !

    4. Vérifiez la délivrabilité de vos emails du formulaire

    Assurez-vous que vos messages sont bien reçus en effectuant des tests avec des outils comme mail-tester.com.

    Mail-Tester vous permet de mesurer la qualité de vos envois.

    Mettez l’adresse mail s’affichant à la visite de mail-tester.com en destinataire du formulaire, faites votre test, puis vérifiez le score.

    Un score supérieur ou égal à 9/10 est recommandé pour garantir la bonne réception des demandes. Ce score devrait également être atteint lors de vos envois email classiques. Si ce n’est pas le cas, contactez votre hébergeur email pour plus d’infos (ou venez vous héberger chez LRob !).

    5. Faites vos tests en navigation privée

    Lorsque vous testez vos formulaires de contact, faites-le en navigation privée.

    Si vous êtes connecté à votre site, certaines fonctionnalités comme le Captcha peuvent être désactivées, pour ne citer que ça. Cela pourrait fausser vos tests et vous donner une impression erronée de la qualité de votre formulaire.

    6. Utilisez une adresse destinataire liée à votre domaine

    Assurez-vous que l’adresse de réception (destinataire du formulaire) appartient bien à votre domaine (vous@votredomaine.fr) et qu’elle n’est pas redirigée vers une autre adresse.

    En cas de problème avec votre formulaire, par exemple si vous recevez du spam via le formulaire et que le destinataire est un grand fournisseur de messagerie (Gmail, Orange, Yahoo, etc.), vous pourriez être considéré comme spammeur.

    Utiliser votre propre domaine en destinataire du formulaire vous permet donc de protéger votre e-réputation et de réduire les risques de blocage ou de mauvaise gestion des emails par les fournisseurs de messagerie.

    7. Évitez les emails de confirmation

    Envoyer un email de confirmation peut sembler être une bonne idée, mais il faut s’en méfier.

    Si ce message contient le texte soumis par l’utilisateur, votre formulaire peut alors être exploité par des personnes malveillantes pour envoyer du spam à n’importe quelle adresse mail via votre site. Même si le texte n’est pas repris, cela peut quand même générer des mails non sollicités vers des tiers, ce qui n’est jamais bon.

    Cela peut donc ternir la réputation de votre domaine et vous exposer à des sanctions. Préférez donc éviter cette pratique.

    8. Utilisez le champ « Reply-To » pour faciliter vos réponses

    Même si vous ne devez pas mettre l’adresse email du client dans le champ « From », vous pouvez cependant l’ajouter dans le champ « Reply-To ».

    Ainsi, vous pourrez directement répondre au mail du formulaire : l’adresse email de votre prospect sera automatiquement le destinataire de votre mail.

    Une solution simple et efficace pour gagner du temps !

    9. Sauvegardez les demandes sur le site

    Envisagez de sauvegarder les demandes du formulaire en base de données du site.

    Des plugins WordPress comme « Contact Form 7 Database Addon » permettent cela gratuitement. Vous pourrez alors vérifier de temps en temps que vous n’avez pas loupé une demande.

    Pour aller plus loin…

    Si vous avez des doutes sur la configuration de vos formulaires, ou si vous souhaitez un audit personnalisé, n’hésitez pas à me contacter.

    Aussi, le conseil relatif à la délivrabilité email est inclus dans le support LRob pour tous les clients.

    Je n’ai plus qu’à vous souhaiter une belle réussite avec des formulaires au top désormais ! 💪

  • Faille de sécurité critique du plugin WordPress LiteSpeed Cache : 5 millions de sites affectés

    Faille de sécurité critique du plugin WordPress LiteSpeed Cache : 5 millions de sites affectés

    Le 19 août 2024, une vulnérabilité critique a été identifiée dans le plugin LiteSpeed Cache, utilisé par plus de 5 millions de sites WordPress. Cette faille permet à un attaquant non authentifié de se faire passer pour un administrateur, compromettant ainsi l’intégrité totale du site.

    Détails Techniques

    La faille a été découverte par WordFence.

    Elle affecte toutes les versions du plugin LiteSpeed Cache jusqu’à la version 6.3.0.1. En exploitant un bug dans la fonction de simulation de rôle, un attaquant peut utiliser un hash pour se faire passer pour un administrateur. Une fois ce hash obtenu, il peut créer un compte administrateur via l’API REST de WordPress, ce qui lui permet de prendre le contrôle du site.

    Le hash utilisé est de seulement six caractères, ce qui le rend vulnérable aux attaques par force brute. De plus, s’il est possible d’accéder aux logs de débogage, ce hash peut être récupéré facilement par un attaquant.

    Que Faire ?

    Ne sous-estimez pas cette vulnérabilité. Les menaces de ce type peuvent rapidement se transformer en catastrophes si elles ne sont pas traitées à temps.

    La solution est simple : mettez à jour LiteSpeed Cache vers la version 6.4.1 ou supérieure. Cette mise à jour corrige la faille.

    Si vous utilisez Wordfence Premium, Care ou Response, une règle de pare-feu a été déployée le 20 août 2024 pour vous protéger. Les utilisateurs de la version gratuite recevront cette protection à partir du 19 septembre 2024.

    Comment rester protégé ?

    Avec le WordPress Toolkit sur les hébergements LRob, vous auriez été alerté automatiquement par mail de la vulnérabilité et la mise à jour aurait pu être automatique 😎. La sauvegarde est complète et quotidienne chez LRob, avec une rétention de 1 an complet !
    Un bon moyen de garder une longueur d’avance sur les menaces de sécurité.

  • 10 critères pour choisir le meilleur Webmaster WordPress

    10 critères pour choisir le meilleur Webmaster WordPress

    Quand il s’agit de gérer un site WordPress, il faut trouver un pro, un webmaster qui sait ce qu’il fait. Ce prestataire qui pourra transformer un périple sur internet en une joyeuse croisière !

    Mais comment choisir le bon, voire le meilleur Webmaster WordPress ?

    Découvrez les 10 qualités les plus utiles pour choisir un spécialiste WordPress au top !

    1. Culture WordPress

    Le bon webmaster WordPress doit évidemment connaître WordPress sur le bout des doigts.

    D’abord sa structure technique, mais aussi dans ses aspects fonctionnels et pratiques. En effet, parmi les milliers de thèmes et de plugins, un bon spécialiste WordPress doit connaître les scripts les plus connus et surtout leurs problèmes et solutions les plus communs. S’il ne pourra jamais tout connaître, son bagage lui permettra de s’adapter face aux nouveautés.

    2. Sécurité WordPress proactive

    La sécurité, c’est la base ! Pourtant très peu de gens la maîtrisent. WordPress est très populaire et il faut une sécurité ultra stricte pour éviter les piratages !

    Un bon spécialiste possède une politique de sécurité qu’il peut vous fournir.

    Il met en place tout un tas de mesures transparentes pour vous.
    Par exemple, des vérifications quotidiennes de failles de sécurité, des mises à jour automatiques, des blocages de robots pirates et des pare-feu solides pour protéger votre site.

    Il doit aussi pouvoir vous conseiller sur les éventuelles actions à mener pour rester sécurisé.

    Ainsi, le risque de piratage devient quasi nul. Mais attention : la sécurité parfaite n’existe pas, c’est une illusion et celui qui prétend le contraire est un ignorant ou un menteur ! Mais rassurez-vous, on peut s’approcher bien assez de la perfection et c’est cette direction qu’il faut rechercher.

    3. Gestion des sauvegardes de WordPress

    Des sauvegardes régulières et externalisées, c’est indispensable !

    Sauvegardes quotidiennes et rétention de 12 mois, c’est la tranquillité d’esprit assurée. Les sauvegardes doivent être externalisées du site et même de l’hébergeur principal, et gérées directement au niveau serveur, pour plus de fiabilité. En cas de souci, la restauration doit être rapide. Avec vos arrières ainsi assurées, vous pourrez agir vous-même sur votre site sans la peur de le casser !

    4. Administration système

    Un bon spécialiste doit maîtriser toute la chaîne d’hébergement web. Il doit avoir des compétences d’administration système.

    Ainsi, il comprend les enjeux en termes de chaîne fonctionnement d’un serveur web qui accueille le site, il comprendre les questions de performances, de chaîne de sécurité, il gère aussi les emails, les DNS et noms de domaine sans souci. Il sera ainsi à l’aise dans tous les contextes pour une gestion fluide de votre vie en ligne.

    En fait, il doit littéralement être passionné d’informatique pour avoir une culture vaste et large de tous les outils et connaissances qui permettent une excellente gestion de votre site WordPress.

    5. Il doit vous héberger

    S’il n’héberge pas votre site, votre webmaster sera inefficace et ne pourra garantir sa sécurité.

    Votre webmaster doit disposer d’un serveur sécurisé avec des outils de gestion spécifiques à WordPress.

    En termes de sécurité, on sait que le premier maillon de la chaîne de sécurité est le serveur. Si votre webmaster utilise un bête hébergement mutualisé sans mesures de sécurité spécifiques à WordPress, la sécurité ne peut pas raisonnablement être garantie.

    Et en termes d’efficacité, si votre spécialiste WordPress a tous les accès serveur et centralise la gestion des sites qu’il a en gestion, alors il pourra être beaucoup plus efficace pour résoudre vos problèmes. Entre l’accès aux sauvegardes, l’accès au terminal, l’accès aux logs (historiques des actions et erreurs), cela rend le travail efficace et qualitatif. Les plus exigeants (comme moi) diront qu’on ne peut pas faire du bon travail sans ces outils.

    6. Support humain, réactif et efficace

    Le support doit être rapide, efficace et humain.

    Il doit savoir résoudre les bugs efficacement grâce à une méthodologie bien ficelée. Disponible par téléphone, par mail, par ticket, votre spécialiste doit répondre vite et bien à vos demandes (raisonnables). Si votre site est critique, alors une astreinte doit être disponible pour les interventions d’urgence hors horaire ouvré.

    7. Flexibilité et liberté client

    Vous devez rester libre.

    S’adapter aux besoins de chaque client est essentiel. Vous devez être libre d’accéder à toutes vos données et d’intervenir vous-même sur votre site si vous en avez envie. Et à l’inverse, vous pouvez faire le choix de tout déléguer. Dans tous les cas, le choix doit venir de vous et vous devez être libre de partir quand bon vous semble, quelle qu’en soit la raison.

    8. Autodidaxie et capacité d’adaptation

    Vous cherchez un véritable génie.

    Car WordPress évolue extrêmement vite, votre spécialiste doit être capable d’acquérir de nouvelles connaissances en permanence et de s’adapter à la vitesse de l’éclair. Car il est impossible de tout connaître, même pour un expert, il faut pouvoir apprendre rapidement.

    Ainsi, l’autodidacte ayant déjà appris avec succès par sa propre initiative est souvent plus à même de conserver un excellent niveau dans le temps.

    9. Un bon entourage

    Il sait vous rediriger vers la bonne personne.

    Demain, vous aurez peut-être des besoins particuliers dans le web. Par exemple, de lancer une campagne webmarketing, d’être davantage présent sur les réseaux sociaux, de refaire votre charte graphique, ou même pourquoi pas de créer un événement physique.

    Le bon spécialiste WordPress ne peut pas connaître l’ensemble de ces sujets car il est spécialisé dans WordPress; par contre, il doit pouvoir vous rediriger vers des prestataires de confiance pour accomplir vos ambitions.

    10. Sympathie et franc-parler

    Visez une relation de confiance.

    Votre webmaster est votre meilleur allié, vous avez besoin de lui pour vous accompagner sur internet autant qu’il a besoin de vous pour être fier de son travail et gagner sa vie. Le courant doit bien passer, la conversation doit être fluide et sans filtres.

    Le summum : il doit pouvoir vous dire les vérités difficiles à entendre lorsque vous en avez besoin pour évoluer dans le bon sens !

    Où trouver ce webmaster spécialiste WordPress idéal ?

    Si vous souhaitez cocher toutes ces cases, je suis votre homme.

    Découvrez mes services de webmastering.

  • Pourquoi choisir un hébergeur spécialiste de WordPress ?

    Pourquoi choisir un hébergeur spécialiste de WordPress ?

    En tant que possesseur d’un ou plusieurs sites WordPress, vous devriez savoir à quel point un hébergement web pratique, performant et fiable et sécurisé peut révolutionner votre approche.

    Vous n’imaginez vraiment pas à quel point vous pouvez révolutionner votre gestion de WordPress.

    Révolutionnez votre gestion avec le WordPress Toolkit

    Que vous soyez expert ou non, gérer et maintenir un site WordPress peut être fastidieux et coûteux en temps. Si vous avez plusieurs sites, cela devient encore plus complexe.

    Heureusement, avec le WordPress Toolkit inclus dans l’hébergement LRob, la maintenance devient un jeu d’enfant ! Vous allez gagner un temps fou ! Le WordPress Toolkit révolutionne totalement l’approche de la gestion WordPress en la rendant beaucoup plus efficace et scalable.

    ℹ️ Contrairement à d’autres outils, le WordPress Toolkit est n’est pas intrusif : aucun plugin à installer, et votre installation de WordPress reste parfaitement standard !

    ✅ Installez WordPress en quelques clics, personnalisez l’installation si vous le souhaitez. Fini d’avoir à créer une base de données à la main.
    ✅ Vérifiez d’un coup d’œil si tout va bien et connectez-vous en un clic au back-office de vos sites.
    ✅ Changez votre mot de passe ou email administrateur en 3 clics
    ✅ En 1 clic : activez/désactivez l’indexation, le mode debug, l’exécution de wp-cron par le serveur !

    ✅ Mettez à jour automatiquement vos sites, thèmes et plugins et vérifiez les failles de sécurité en un coup d’œil (et soyez alertés par mail quand une nouvelle faille est détectée).
    🔒 Appliquez une dizaine d’améliorations de sécurité en quelques clics seulement.
    🔨 Votre site a planté suite l’installation d’un plugin ? Désactivez ce plugin en 2 clics avec le WP Toolkit !
    🔨 Clonez votre site simplement via l’assistant

    ℹ️ Si vous avez plusieurs sites, alors ceux-ci sont bien isolés au niveau du système, mais vous pouvez tous les afficher sur le même écran, pour gérer efficacement toutes vos installations !

    Les tâches complexes et fastidieuses sont ainsi rendues extrêmement simples. C’est une révolution qui vous permettra de gérer de nombreux sites très facilement.

    Des performances maximales pour vos sites WordPress

    La rapidité de votre site est critique pour l’expérience utilisateur et le référencement.
    Elle détermine aussi si vous allez gaspiller votre temps dans un back-office WordPress lent.

    En tant que gestionnaire de site, vous avez certes un rôle à jouer en choisissant des plugins bien optimisés. Mais cela ne fait pas tout : la mesure des performances avant/après passage chez LRob montre une amélioration d’un facteur 2 à 15 sur les les performances par rapport aux hébergeurs traditionnels !

    Voici les gains mesurés avant (à gauche) et après (à droite) migration vers LRob.

    Chargements entre 3 et 15x plus rapides chez LRob et stabilisation des temps de chargement
    Chargements 10x plus rapides chez LRob et stabilisation des temps de chargement

    Comment est-ce possible ? Les hébergeurs classiques se moquent-ils de nous ?

    Les hébergeurs classiques vous vendent souvent des « clusters » de serveurs vieux et saturés, qui rajoutent de la latence à chaque étape du traitement des pages et requêtes de votre site. Aussi, il n’y a pas souvent de solution de cache simple à utiliser et ultra performant directement sur le serveur.

    Le secret LRob : des serveurs simples, performants et bien gérés !

    • Une infrastructure simple et au top niveau : des serveurs dédiés physiques parfaitement SUR-dimensionnés pour que chacun bénéficie des performances maximales à chaque fois qu’il en a besoin. Avec des SSD NVME locaux, pour des accès ultra rapides à vos fichiers et aux bases de données MySQL, des CPU de pointe pour un traitement rapide et une marge de performances énorme, avec bien plus de RAM qu’il n’en faut.
    • Une gestion intelligente et unique : une lutte anti-robots pirates exclusive, permettant d’éviter toute saturation inutile des serveurs, tout en protégeant vos sites. Et une configuration optimisée de chaque élément logiciel du serveur web.
    • Un cache Redis en RAM serveur : fini les milliers de fichiers de cache stockés dans votre site, Redis vous permet de stocker votre cache du site directement en RAM serveur !

    La sécurité native pour vos sites WordPress

    La sécurité de votre site est primordiale. Pourtant, sécuriser un site WordPress est souvent un casse-tête que personne ne comprend vraiment. Les plugins de sécurité ne sont pas très efficaces, vous font perdre du temps et nuisent aux performances de vos sites.

    Un piratage de site web est toujours un drame. C’est pourquoi il faut mettre toutes les chances de votre côté. Et cela passe d’abord par une configuration native sécurisée du serveur qui héberge vos sites.

    Un hébergeur spécialisé WordPress améliore drastiquement la sécurité de votre site par rapport à n’importe quel plugin grâce à une configuration serveur rigoureuse.

    Voici tout ce qui est fourni « out of the box » par l’hébergeur WordPress spécialisé LRob :

    • Pare-feu applicatif personnalisable pour bloquer les tentatives de hack
    • Blocage automatique des robots pirates pour que leurs requêtes ne puissent atteindre vos sites
    • Améliorations de sécurité spécifiques à WordPress applicables en quelques clics seulement grâce au WordPress Toolkit.
    • Alertes en cas de faille de sécurité : si votre site comporte une vulnérabilité rendue publique, vous en êtes alertés directement par mail, vous permettant d’agir efficacement !
    • Certificats SSL Wildcard Let’s Encrypt inclus pour sécuriser les communications de votre site et services connexes comme les emails.
    • Sauvegarde quotidienne externalisée avec une rétention d’un an. Faite au plus haut niveau, c’est à dire directement par le serveur. Plus fiable qu’une sauvegarde effectuée par votre site, cette sauvegarde peut résister aux pires catastrophes ! Aussi, elle ne sort jamais chez un GAFAM et reste dans l’infrastructure privée LRob, assurant la confidentialité de vos données. Vous avez également la possibilité de configurer vos propres sauvegardes vers le FTP de votre choix.

    Gestion simplifiée avec Plesk

    Gérer votre hébergement WordPress n’a jamais été aussi simple qu’avec Plesk.

    Ce panneau de contrôle intuitif vous permet de gérer tous les aspects de vos hébergements en quelques clics dans un panneau extrêmement bien présenté ! Le bon vieux cPanel n’a qu’à bien se tenir, il fait bien pâle figure à à côté de l’excellente présentation et praticité de Plesk !

    Que vous souhaitiez créer des adresses email, gérer les accès FTP, configurer vos bases de données MySQL, ou modifier votre zone DNS : tout est à portée de main. Y-compris le WordPress Toolkit dont on reparle juste après.

    Vous pouvez même accéder aux logs web pour diagnostiquer et résoudre rapidement les problèmes de votre site.

    Une assistance et support passionné de WordPresss

    En choisissant un hébergeur spécialisé WordPress, vous bénéficiez également d’un support expert et passionné qui fera tout pour vous aider, sans lire un script débile ou rejeter la faute sur le client.

    Que ce soit pour des conseils de configuration, des problèmes d’accès ou des questions techniques, LRob sera toujours heureux de vous aider, de partager son savoir et son expérience pour vous faire atteindre vos objectifs.

    Cette assistance de qualité change totalement la donne pour vous accompagner au quotidien.

    Au fait : le monitoring de chacun des sites hébergés est fait en 24/7 toute l’année ! Concrètement, si votre site plante suite à une mise à jour, on vous prévient dès que possible, avant même que vous ne l’ayez remarqué ! Et on vous aide à comprendre le souci et à le remettre sur pieds !

    Des options exceptionnelles pour les revendeurs

    Vous avez plusieurs sites ? Gagnez encore plus de temps (et d’argent) !

    Avec le panel revendeur Plesk, centralisez et simplifiez votre gestion, et devenez hébergeur !

    Plus vous avez de sites, plus la solution devient économique. Par exemple, avec les tarifs LRob de 2024, si vous avez 8 sites, l’hébergement vous revient à 47.5€/an par site. Si vous avez 128 sites, cela vous revient à 15.5€/an par site.

    Devenez interlocuteur unique pour vos client, créez-leur un accès si besoin, et offrez un service plus fiable et plus efficace.

    Vous gagnez du temps, vous margez sur l’hébergement… Et vous offrez un meilleur service ! Avec un support d’expert pour vous accompagner au quotidien.

    Offrez-vous la tranquillité avec un hébergement WordPress spécialisé

    Opter pour un hébergement WordPress spécialisé, c’est choisir la sérénité et la performance pour votre site. Vous bénéficiez d’un service sécurisé, facile à gérer et optimisé pour WordPress et du meilleur support d’expert lorsque vous en avez le plus besoin.

    Les offres LRob, ce sont des performances supérieures à ce que vous pourriez rêver même sur serveur dédié de la NASA, avec une gestion parfaite incluse, à un coût ultra raisonnable !

    Alors n’attendez plus, faites confiance à un hébergeur expert WordPress comme LRob et offrez-vous la tranquillité d’esprit que vous méritez.


    Pour héberger un site WordPress : choisissez un hébergement WordPress !
    Pour héberger entre 5 et 128 sites WordPress : choisissez une offre Web Agency !
    Vous cherchez un webmaster ? Optez pour l’Hébergement avec Webmastering WordPress.

    Contactez-moi pour plus d’infos.

  • Cybersécurité – Pourquoi faire un audit de sécurité WordPress ?

    Cybersécurité – Pourquoi faire un audit de sécurité WordPress ?

    WordPress : Un CMS populaire mais vulnérable

    WordPress est sans conteste le CMS le plus utilisé au monde. Sa popularité en fait une cible privilégiée pour les pirates. Posséder un site WordPress implique donc une vigilance constante en matière de sécurité. Mais pourquoi est-il si important de faire auditer la sécurité sécurité d’un site WordPress ? Quels sont les risques encourus, et pourquoi cela revêt-il une importance particulière pour les entreprises dont le site web est central à leur activité ?

    Les risques de sécurité : une réalité inévitable

    Le cyberespace est truffé de dangers potentiels. Pour un site WordPress, les menaces peuvent se concrétiser de diverses manières :

    • Redirections frauduleuses : Votre site peut être détourné pour rediriger les visiteurs vers des sites malveillants.
    • Blacklistage : Votre site peut être marqué comme dangereux, entraînant une perte de confiance et de trafic.
    • Spam et vol de données : Les pirates peuvent utiliser votre site pour envoyer du spam en votre nom ou voler les adresses emails de vos utilisateurs et clients.

    Ces situations peuvent causer des dommages irréparables à votre entreprise, nuisant à votre réputation et impactant directement votre chiffre d’affaires. Imaginez le coût et la perte de crédibilité si vos clients recevaient des spams en votre nom, ou si leurs données personnelles étaient compromises.

    L’importance de l’audit pour les entreprises

    Pour les entreprises, en particulier celles dont le site web joue un rôle indispensable, la sécurité doit être une priorité absolue. Si votre site génère des revenus, collecte des données sensibles, ou sert de vitrine principale pour vos produits et services, un audit de sécurité WordPress devient indispensable. Un site piraté peut entraîner des pertes financières importantes, des litiges juridiques, et une dégradation de l’image de marque.

    Au-delà du CMS : L’importance d’auditer le serveur

    Il est important de comprendre que sécuriser uniquement le CMS WordPress n’est pas suffisant. Un site web repose sur une infrastructure complexe où chaque maillon de la chaîne compte. Le serveur hébergeant votre site joue un rôle clé dans sa sécurité globale.

    Le niveau de sécurité final est égal à celui du maillon le plus faible de la chaîne.

    Ainsi, un audit de sécurité complet doit inclure l’analyse de la sécurité du serveur:

    • Évaluation des configurations du serveur
    • Vérification des accès
    • Vérification des ports ouverts et des services actifs
    • Évaluation des versions logicielles et des failles de sécurité
    • Évaluation et préconisations de politiques de maintenance

    Protégez votre site, protégez votre entreprise

    Un audit de sécurité WordPress est bien plus qu’un simple examen du CMS. C’est une évaluation complète de l’ensemble de l’infrastructure qui soutient votre site web. En prenant des mesures proactives pour sécuriser votre site, vous protégez non seulement vos données, mais aussi la réputation et la viabilité de votre entreprise.

    Ne laissez pas les pirates prendre le dessus. Investissez dans un audit de sécurité WordPress et assurez-vous que votre site reste un atout précieux pour votre business, et non une vulnérabilité exploitée par des cybercriminels.

  • Pourquoi WordPress domine le web ?

    Pourquoi WordPress domine le web ?

    Quand un produit sort du lot au point d’exploser toute la concurrence comme WordPress, c’est souvent par une force de frappe marketing, parfois par chance. Mais WordPress est loin d’avoir volé sa place et voici pourquoi.

    Open-source

    La nature open-source de WordPress a joué en sa faveur. Le projet a séduit la communauté et comme le code est ouvert à tous, l’une des plus une vastes communautés de développeurs s’est formée et contribue à son amélioration continue. Cela permet non seulement des mises à jour régulières et des améliorations de fonctionnalités, mais créé également un riche écosystème de thèmes et plugins gratuits et payants. Les utilisateurs peuvent ainsi personnaliser leurs sites à l’infini, répondant à presque tous les besoins spécifiques en accord avec leur budget. On peut ainsi réussir à faire des sites exceptionnels sans acheter le moindre module payant, tout en ayant confiance en le code de WordPress car celui-ci est révisé par une large communauté.

    Facile d’utilisation

    WordPress offre une interface intuitive qui permet même aux débutants de créer et de gérer des sites web sans connaissances techniques approfondies. Si la maintenance sécurisée et l’utilisation poussée demandent une intervention professionnelle, la gestion de base de WordPress reste très accessible pour tous. Cela ouvre la porte à un large éventail d’utilisateurs, des blogueurs individuels aux petites entreprises, en passant par les grandes entreprises.

    Une communauté extraordinaire

    La communauté mondiale de WordPress est un atout majeur. Elle offre une source d’informations et un support infini aux utilisateurs à travers des forums, des groupes, des blogs éducatifs, des chaînes YouTube et des rencontres. Cette communauté dynamique favorise l’échange de connaissances et d’expériences, rendant l’apprentissage et la résolution de problèmes plus accessibles pour tous.

    Robuste et versatile

    La robustesse et la versatilité de WordPress le rendent adapté à une grande variété de projets web. Des blogs personnels aux sites d’e-commerce complexes, WordPress peut gérer divers types de sites, ce qui le rend attrayant pour un large spectre d’utilisateurs.


    La domination de WordPress sur le marché du web n’est pas le fruit du hasard. Elle est le résultat d’une combinaison de facilité d’utilisation, d’ouverture, de flexibilité, d’évolutivité et d’un soutien communautaire exceptionnel. WordPress se démarque également en vous laissant propriétaire de votre site internet qui peut alors être accueilli par tout hébergeur web.

    Ensemble, ces éléments ont créé une plateforme qui non seulement répond aux besoins actuels des utilisateurs web, mais évolue constamment pour anticiper et intégrer les tendances futures du monde numérique.

    Vous souhaitez un hébergement sécurité avec support d’expert WordPress ? C’est par ici !

  • Votre site WordPress est vulnérable

    Votre site WordPress est vulnérable

    Beaucoup se demandent comment WordPress peut être vulnérable aux attaques malgré sa popularité et son suivi. D’autres ignorent totalement le risque. Analyse.

    Qu’est-ce qu’une vulnérabilité ?

    WordPress est programmé avec le langage PHP.
    Le code PHP permet d’obtenir des sites « dynamiques ». C’est à dire que le contenu est généré à chaque page par un programme PHP. Un site dynamique permet aussi l’interaction avec les visiteurs. En termes techniques, il permet de recevoir et traiter des requêtes.

    Cette force est aussi une faiblesse en ce sens qu’elle peut laisser place à des interactions non désirées, permettant ainsi le piratage d’un site internet.
    On appelle cela une « faille de sécurité » ou « vulnérabilité ».

    Les vulnérabilités en PHP

    Les vulnérabilités dans le code PHP peuvent avoir diverses causes.
    En voici quelques exemples fréquents.

    1. Entrées non validées : Lorsque le code PHP accepte des données d’utilisateurs, telles qu’un formulaire ou une requête, sans validation appropriée, il peut être vulnérable aux attaques d’injection de code malveillant.
    2. Permissions excessives : L’attribution de permissions excessives aux fichiers et aux utilisateurs peut permettre des attaques de manipulation non autorisée.
    3. Mauvaise gestion des erreurs : La révélation d’informations sensibles dans les messages d’erreur peut donner aux attaquants des indices pour exploiter davantage le système.

    En outre, il peut y avoir des vulnérabilités dans PHP. L’exécuteur PHP lui-même, contient parfois des failles de sécurité s’il n’est pas tenu à jour. (voir image)

    D’autres failles non liées directement à PHP telles que les failles XSS sont également courantes. Celles-ci permettent d’exécuter du code malveillant.

    Nous allons voir comment cela s’articule concrètement pour WordPress.

    Source: Versions de PHP supportées

    Les vulnérabilités des sites WordPress

    Failles de sécurité dans WordPress

    WordPress est un système de gestion de contenu robuste, mais il comporte près d’un million de lignes de code PHP (924.096 lignes présentement).
    WordPress, ce sont aussi 59.772 plugins et 11.378 thèmes disponibles rien que sur wordpress.org. Des millions de lignes de code en plus disponibles à l’installation sur votre site.
    Cette richesse de code crée un terrain fertile pour les failles de sécurité. Plus vous multipliez le code, plus vous multipliez le risque. Ainsi, chaque jour, des vulnérabilités sont découvertes. Elles peuvent se trouver dans le cœur de WordPress mais aussi des thèmes et plugins installés.

    Détection, correction, révélation des failles

    Si un intervenant détecte une faille (un développeur particulier, un « white hat », un organisme spécialisé dans la sécurité), il averti les développeurs du script comportant la faille.

    Si les développeurs sont réactifs, ils corrigent la faillent et publient le correctif.

    Puis, typiquement 30 à 90 jours après sa découverte, la faille de sécurité est révélée publiquement. Afin d’une part de donner crédits de la découverte au lanceur d’alerte, et d’autre part d’avertir les usagers du script du risque encouru en cas de non mise à jour.

    Faille actuelle non corrigée

    WordPress comporte actuellement une faille non corrigée depuis la version 6.1.1 (donc depuis plusieurs mois). Celle-ci permet d’utiliser un site web pour exécuter des requêtes vers d’autres cibles. Elle est mitigable en bloquant l’accès à xmlrpc.php et en désactivant les pingbacks WordPress (sécurisation effectuée sur tous les sites que j’ai en gestion avant même la détection de cette faille).

    Quand est-ce que WordPress est vulnérable et que faire ?

    Failles révélées

    Lorsqu’une faille est révélée, toutes les installations possédant le script vulnérable sont par essence atteints de cette vulnérabilité. Les pirates risquent d’exploiter la faille si c’est votre cas.

    On trouve alors deux cas de vulnérabilités :

    • Votre site comporte un script (WordPress, plugin, thème) ayant une faille connue et n’étant pas corrigée par les développeurs. Le développement de ce script est peut-être abandonné. Il convient alors de désactiver ce script ou de le remplacer par un script non vulnérable et mieux suivi par ses développeurs.
    • Votre site n’est pas à jour. Vous n’avez pas corrigé la faille de sécurité. Il faut donc effectuer les mises à jour le plus régulièrement possible et vous assurer de ne pas avoir de script obsolète (ce qui vous mettrait potentiellement dans le cas précédent à terme).

    Failles « zero-day »

    Parfois, les pirates vont trouver une faille avant qu’elle soit révélée puis corrigée. Ils vont l’exploiter directement. On appelle cela une faille « zero-day ».

    Plus un script est populaire, plus les pirates vont chercher des failles zero-day dans celui-ci. Cela est rare, mais arrive.
    Voici une autre raison de concevoir des sites simples : Plus vous multipliez les plugins populaires, plus vous multipliez la vulnérabilité de votre site WordPress. Non seulement aux failles zero-day, mais également aux failles en général.

    Pour se protéger des failles 0-day, il faut que le serveur hébergeant votre site soit sécurisé. Pour cela, il peut notamment bloquer les requêtes suspectes des pirates à l’aide d’un pare-feu applicatif. Puis bloquer les IP attaquantes avec par exemple fail2ban. Cela n’est généralement pas le cas sur les offres d’hébergement mutualisées. A l’exception d’HaiSoft chez qui j’ai poussé ces sécurités, ce qui a d’ailleurs grandement divisé le nombre de piratages. Mais cela peut créer des faux positifs : Des requêtes bloquées alors qu’elles sont légitimes, en particulier avec les builders WordPress (Elementor, Divi, WP-Bakery et autres). Le support technique demandé est alors supérieur, raison pour laquelle la plupart des prestataires n’implémentent pas ce type de sécurités. La sécurité est toujours plus complexe que l’absence de sécurité.

    Malgré toutes les sécurités possibles en place, il faut garder à l’esprit que certaines requêtes pirate peuvent passer outre les filets. Le risque zéro n’existe pas et quiconque prétend le contraire est un ignorant ou un menteur.

    Alors comme la sécurité parfaite n’existe pas, partez du principe que votre site peut être piraté demain. Si cela arrive, que faites-vous ? Vous avez intérêt à avoir une sauvegarde à jour, facilement restorable et qui ne soit pas stockée dans votre site.

    Conclusion

    Les piratages n’arrivent pas qu’au autres. Très régulièrement, des possesseurs de sites WordPress viennent à ma rencontre avec un site web piraté à réparer.

    Tout système informatique est potentiellement vulnérable, y-compris votre site WordPress. L’enjeu est de minimiser les risques de piratage en appliquant toutes les mesures préventives. Cela passe d’abord par un serveur à jour et sécurisé, capable de bloquer les attaques. Puis, cela passe par un suivi régulier de votre site WordPress et une mise à jour la plus fréquente possible, une vérification permanente des failles de sécurité connues et une action rapide en cas de problème. Dans tous les cas, une sauvegarde externalisée, automatisée et indépendante de votre site doit être effectuée quotidiennement. C’est précisément l’ensemble des services que vous retrouverez dans mes offres de Webmastering WordPress.

    Si votre site est important pour votre entreprise, n’attendez pas d’être piratés, prenez les devants et faites vérifier votre site grâce à un audit de sécurité WordPress ou passez directement sur mon offre de Webmastering.

  • Comment vérifier si mon site WordPress a été piraté ? Les signes révélateurs à connaître

    Comment vérifier si mon site WordPress a été piraté ? Les signes révélateurs à connaître

    Il est parfois difficile de faire la différence entre un dysfonctionnement et un piratage. Pourtant, des signes évocateurs d’intrusion sur votre site existent. Aujourd’hui, voyons les 8 signes les plus courants pour repérer un piratage de votre site WordPress.

    ❌ Attention : en cas de doute, il est préférable de ne pas vous connecter à l’administration du site. En effet, si votre site est piraté, cela peut permettre au pirate de récupérer votre mot de passe. De plus, le pirate peut enclencher certaines actions automatiquement lorsque vous agissez sur le site piraté, ce qui empirerait la situation.

    ✅ Si vous pensez que votre site est piraté, il faut suspendre votre hébergement en attendant de traiter votre site au niveau des fichiers et de la base de données directement.
    La réparation d’un site WordPress demande de respecter un protocole scrupuleux comme celui que je propose dans mon service de réparation et sécurisation de sites WordPress piratés. En cas de doute, contactez-moi et bénéficiez d’une évaluation gratuite et de mesures de sécurité immédiates.

    1. Publicités et redirections non autorisées

    Des publicités indésirables ou des redirections vers des sites tiers apparaissent sur votre site.

    Cause et explication

    Le pirate a pu s’introduire dans les fichiers du site et/ou la base de données pour insérer ces pubs et redirections. Son but est de voler votre traffic pour générer des revenus.

    2. Impossible de vous connecter en tant qu’administrateur

    Votre mot de passe administrateur ne fonctionne plus ou semble changer de manière inattendue après chaque réinitialisation.

    Cause et explication

    Le pirate a introduit un backdoor (du code caché dans votre site) lui permettant de changer l’ensemble des mots de passe à souhait.

    3. Vous recevez des notifications de mails rejetés

    Vous recevez des notifications de courriels rejetés (aussi appelés bounce ou « mailer-daemon ») que vous n’avez pas envoyés vous-même.

    Cause et explication

    Le pirate utilise votre site pour envoyer des emails ou a pu compromettre votre mot de passe de messagerie. Dans certains cas, ils utilisent simplement un formulaire de contact mal configuré et mal sécurisé en tant que plateforme pour envoyer des emails vers les destinataires de leurs choix, ce qui doit également être traité afin d’éviter votre blacklisting.

    4. Alerte de sécurité Google Safe Browsing ou antivirus

    A la visite de votre site, votre navigateur vous affiche une alerte de type « Site dangereux ou malveillant », soit via Google Safe Browsing, soit via votre antivirus. L’URL bloquée affichée appartient à votre site ou à un site tiers.

    Cause et explication

    Votre site contient des URLs de phishing, des programmes malveillants, ou redirige vers des sites malveillants. Google tient une base de données de ces sites malveillants que tous les navigateurs web utilisent, ce qui permet de protéger les visiteurs de la sorte.

    5. Contenu indésirable et langues étrangères

    Vous observez des articles ou pages supplémentaires ou modifiés dans votre site. Souvent en langue étrangère. Et souvent avec des liens suspects vers d’autres sites.

    Cause et explication

    Le pirate contrôle votre site. Soit via un compte administrateur ajouté, soit via un backdoor lui permettant d’injecter du code dans la base de données. Cela lui permet notamment d’insérer tout le contenu qu’il souhaite.

    Ne pas confondre avec des commentaires « spam ». Ce souci doit être traité mais n’indique pas nécessairement la compromission de votre site.

    6. Utilisateurs inconnus

    Vous observez la présence d’un ou plusieurs utilisateurs administrateurs inconnus dans la liste d’utilisateurs WordPress. Parfois, vous observez que les détails de vos compte administrateur existants ont changé.
    NB : Comme il faut éviter de se connecter à l’administration du site, cela peut aussi se voir dans la table wp_users de la base de données (via phpMyAdmin par exemple).

    Cause et explication

    Le pirate contrôle votre site. Soit via un compte administrateur ajouté ou compromis, soit (et c’est le cas le plus courant) via un backdoor lui permettant d’injecter du code dans la base de données. Cela lui permet notamment de contrôler les utilisateurs du site.

    Ne pas confondre avec des utilisateurs indésirables pouvant s’inscrire sur votre site. Ce souci doit être traité mais n’indique pas nécessairement la compromission de votre site.

    7. Pages de phishing

    Vous remarquez via un outil de statistiques ou lors de l’exploration des fichiers de votre site que des URLs ou fichiers (souvent .html) ressemblent à des pages de sites connus.

    Cause et explication

    Cela s’appelle du phishing. Le pirate a pris le contrôle de votre site et peut inscrire les fichiers de son choix dans celui-ci ou écrire dans la base de données. Le phishing permet au pirate des visiteurs auxquels il a précédemment envoyé de faux mails vers votre site, ce afin de de l’utiliser comme passerelle et de récupérer des informations personnelles de ses victimes.

    8. Fichiers intrus

    Pour cela il faut explorer les fichiers du site via FTP ou via votre panel hébergeur. Vous remarquez ne serait-ce que un fichier ou dossier intrus dans vos fichiers WordPress. Parfois des fichiers en « .zip » et parfois dans les dossiers sous-jacents. En cas de doute comparez avec l’archive sur wordpress.org.

    Cause et explication

    Le pirate a pu envoyer des fichiers indésirables dans votre site et en possède désormais le contrôle total. Il peut lire les fichiers existants et en ajouter de nouveaux. Il aura généralement pris soin de cacher des fichiers « backdoor » partout dans les fichiers afin d’essayer de garder un accès au site même si vous en nettoyez le contenu.

    Pour aller plus loin

    Idéalement, vous devez héberger votre site sur un serveur sécurisé tel que je le propose dans mes offres d’hébergement et webmastering. Ainsi les pirates sont automatiquement bloqués, réduisant drastiquement tout risque de piratage. Aussi, les fichiers malveillants sont régulièrement scannés au niveau du serveur ce qui est le moyen le plus fiable de procéder.

    Si aucune mesure de sécurité particulière n’existe sur le serveur hébergeant votre site, vous pouvez dans un premier temps utiliser le plugin WordFence qui, bien que lourd et ralentissant votre site, permettra au moins de scanner votre site à la recherche de malwares et de vous protéger de certaines attaques basiques.

    Si vous repérez l’un de ces signes de piratage, ne tardez pas à me contacter pour une assistance immédiate.

    Une vigilance constante est essentielle pour maintenir votre site WordPress sécurisé. J’offre cela via mes services de webmastering.

    Dans les prochains articles, nous aborderons d’autres sujets liés à la sécurité de votre site WordPress. Restez à l’écoute.

  • Attaques de sites WordPress : Pourquoi et comment opèrent les pirates ?

    Attaques de sites WordPress : Pourquoi et comment opèrent les pirates ?

    Mettons-nous dans la peau des pirates attaquant des sites WordPress.
    Comprenons comment ils pensent et opèrent, pour mieux nous protéger.

    Le but des pirates

    Les pirates sont généralement motivés par l’argent. Si leurs attaques sont souvent bêtes et méchantes, il ne faut cependant pas les sous-estimer car certains se montrent malins.

    Pour générer des revenus, les pirates sont prêts à tout. Ils détournent les visiteurs des sites piratés via des liens sponsorisés ou redirections, ou ajoutent des publicités intempestives dont ils récoltent les revenus. Ils ajoutent aussi parfois des liens ou vers d’autres de leurs sites infectés de sorte à tenter de les référencer sur Google.

    Souvent sans limite, ils vont également jusqu’à héberger du phishing sur votre site. C’est à dire des copies de sites institutionnels. Cela leur permet de renvoyer des victimes à qui ils ont précédemment envoyé de faux mails pointant vers ces liens, et ainsi de récupérer leurs informations personnelles de connexion à ces comptes réels. Parfois, il peut s’agir de comptes bancaires ou de santé.

    Dans les piratages ciblés, la motivation est idéologique ou politique.

    Plus marginalement, on observe aussi des concours de piratages, ayant lieu parfois sur des événements type « hackathon », où le but est alors seulement d’inscrire sa signature, parfois par contre, en défaçant totalement le site. Je n’ai cependant pas observé ce type de hack depuis quelques années, donc il semble que cette pratique se perde pour le moment.

    Pourquoi attaquer des sites WordPress ?

    WordPress est très largement utilisé, avec 43% des sites web dans le monde. Cela en fait une cible de choix pour les pirates informatiques. Attaquer WordPress leur permet donc de maximiser leurs résultats lors de leurs attaques. C’est exactement le même principe qu’avec Windows qui est le système d’exploitation le plus populaire donc le plus attaqué.

    Aussi, WordPress est très riche en termes de code et de fonctionnalité mais aussi de documentation. Si bien que de nombreuses failles sont régulièrement rendues publiques. Il est important de noter que les failles concernent aussi et surtout les nombreux plugins et thèmes de WordPress.

    Mode opératoire des pirates

    Il est relativement facile d’identifier des sites WordPress en masse sur internet. Les pirates se créent donc des listes de sites WordPress.

    Ils vont ensuite croiser ces listes avec les failles de sécurité connues de WordPress.

    Il leur faut alors écrire ou trouver dans des communautés pirates des « exploits », c’est à dire des requêtes ou codes à utiliser pour exploiter ces failles.

    Une fois leurs « exploits » trouvés, ils programment des robots qui tentent automatiquement de les utiliser sur l’ensemble de ces sites. Ces robots sont souvent mis en place sur des serveurs et ordinateurs personnels précédemment infectés. On appelle l’ensemble de ces robots un « botnet ».

    Pour attaquer plus efficacement, certains pirates un peu plus doués vont au préalable lister les plugins et thèmes installés sur chaque site ainsi que leurs versions. En connaissant la version des scripts, quiconque peut connaître les failles de sécurité présentes dans chaque version. Cela fait d’ailleurs partie des actions menées lors d’un audit de sécurité WordPress. Les pirates se servent de cette méthode pour trouver et exploiter bien plus efficacement les failles présentes dans chaque site.

    Certains pirates encore plus doués planifient leurs attaques à l’avance, ciblant parfois de nombreux sites d’un hébergeur en particulier, de sorte à tenter d’en saturer le support utilisateur et à faire perdurer leur hack le plus longtemps possible.

    C’est ainsi que l’on observe des vagues de piratages. A noter que certaines vagues de piratages ont aussi parfois lieu car une nouvelle faille a été découverte par les pirates avant d’avoir été corrigée par les développeurs. On appelle cela une « vulnérabilité zero-day ».

    Attaques ciblées

    Votre site n’a pas besoin d’être spécifiquement ciblé pour être piraté. Car comme on l’a vu, les pirates attaquent des milliers de sites WordPress par jour de manière automatisée. C’est ainsi que des touts petits sites avec seulement quelques dizaines de visiteurs par jour, des sites de petites associations ou communes peuvent être piratés.

    Néanmoins si votre site possède une quelconque faille de sécurité, une attaque ciblée, opérée et dirigée directement par un pirate, aboutira très rapidement au piratage complet de votre site.

    Les attaques ciblées sont relativement rares (moins de 3% des cas de hack selon mon expérience). Les cibles de choix dans ce cas sont principalement politiques, médiatiques, ou idéologiques. Autrement dit, les attaques ciblées visent plutôt les sites institutionnels ou à contenus chargées idéologiquement. Si tel est votre cas, n’attendez pas qu’il soit trop tard et offrez-vous un Audit de sécurité WordPress.


    Pour aller plus loin

    Vérifier si mon site est vulnérable

    Il est possible de tester la vulnérabilité de votre site internet via mon audit de sécurité WordPress.

    A noter que ce service est inclus dans mon offre de Webmastering Critical. La mise à jour des scripts WordPress est quotidienne, je reçois un mail en cas de faille, et je monitore les scripts obsolètes. Je parviens aussi sur mes hébergements à détecter l’activité des robots pirates et à les bloquer automatiquement par centaines chaque jour. Les attaques manuelles sont également bloquées ; c’est ainsi qu’un grand groupe de sécurité m’a demandé lors d’un audit sur un site que j’héberge de les débloquer afin qu’ils puissent continuer leurs tests, car toutes leurs IP avaient été bloquées automatiquement par mes sécurités.

  • « Builders » WordPress : La face cachée

    « Builders » WordPress : La face cachée

    Depuis des années, les constructeurs de pages pour WordPress, appelés « builders » sont à la mode. Il s’agit d’éditeurs visuels ayant vocation à faciliter la mise en page des sites.

    Elementor, Divi, WPBakery : Agences web, webmasters, chacun utilise son « builder » à tout-va. Révolution de WordPress, ou monumentale erreur, qu’en dit « l’expert WordPress » ?

    La promesse des « Builders » WordPress

    Les builders sont populaires car ils promettent de créer des pages riches et complexes sans toucher à la moindre ligne de code, grâce à des éditeurs visuels. Et sur ce point ils délivrent globalement leur promesse.

    Mais alors Jamy, quels éléments viendraient remettre en question le bien-fondé de l’utilisation des builders dans le monde si parfait qu’est le nôtre ?

    Les « Builders » WordPress vous emprisonnent

    Les builders sont généralement payants, en abonnement annuel. Ayant payé votre builder, vous ne comptez donc pas faire marche arrière et ferez tout pour le faire fonctionner.

    Mais un jour, la fatalité arrivera : vous aurez un souci vraiment bloquant avec votre builder et vous souhaiterez revenir en natif (sans builder). Ou choisir un autre builder.

    Et là, c’est le drame.

    Aucun standard, aucune interopérabilité entre les différents builders. Et surtout, aucun affichage si le plugin est désactivé.

    Sans son builder, votre site est HS, vous devez le refaire totalement.

    Alors, avez-vous vraiment gagné du temps et de l’argent en utilisant un builder pour façonner votre site ?

    Les « Builders » vont à contre-courant de WordPress

    Les builders modifient le fonctionnement natif du CMS WordPress.

    Fonctionnement des builders

    Un builder va occasionner des centaines de balises qui doivent être interprétées et converties dynamiquement en code HTML (le langage d’affichage final envoyé aux visiteurs) par le serveur avant d’être envoyés au visiteur.

    Certains builders vont également générer des scripts (js) et feuilles de style (css) à la volée en fonction des pages.

    Fonctionnement natif de WordPress

    Auparavant, pour modifier l’apparence de WordPress à partir d’un thème donné, il fallait soit avoir choisi un thème très personnalisable, soit mettre les mains dans le code du site. Dans les deux cas, le contenu des pages restait natif et un changement de thème ne cassait donc pas l’intégralité du site.

    Désormais, WordPress pousse Gutenberg, son système de blocs. Il permet nativement, sans aucune modification de WordPress, d’éditer visuellement tout le contenu de votre site : Pages, articles, mais également l’affichage global grâce au « full site editing ». Comme un builder en fait… ? Oui, sauf que le code généré est du HTML et n’a donc aucun coût en performances ou en temps de chargement.

    L’impact sur les performances… Et l’écologie.

    Lenteurs extrêmes

    Durant mon expérience d’infogérant web-hosting, j’ai été sollicité par de nombreux clients WordPress se plaignant de lenteurs sur leur site. Les serveurs n’étaient pas saturés, mais leurs sites avaient un point commun récurrent : Ils utilisaient des builders WordPress.

    Lors des tests avec/sans builder, j’ai observé un ralentissement de l’ordre de 10 à 40 avec leur builder activé. C’est à dire qu’un site mettant 0.3s à charger nativement passe à plus de 3s, voir plus de 10s dans les cas les plus extrêmes.

    Mais le ralentissement a également lieu au niveau des visiteurs. Les nombreux et lourds scripts (js) et feuilles de style (css) générés par les builders prennent du temps à télécharger, puis doivent être interprétés. Ce faisant, ils prennent encore du temps.

    Le temps, c’est de l’énergie

    Les temps de chargements, ce sont des ressources de calcul et donc d’énergie consommées au niveau du serveur et de votre périphérique d’accès (smartphone, PC). Plus ça occupe les CPU (processeurs), plus de l’énergie est gaspillée.

    Si la situation s’améliore avec des rustines d’optimisation du côté des builders, ou des plugins de mise en cache (qui évitent certaines consommation serveur), les performances ne sont généralement toujours pas au rendez-vous par rapport à un site natif.

    Impact sur le succès du site

    On le sait, la rétention des visiteurs sur un site dépend notamment de sa vitesse. Aussi, on a de bonnes raisons de penser que les moteurs de recherche favorisent les sites les mieux optimisés.

    Impact écologique indéniable

    WordPress propulse plus de 43% des sites web dans le monde. Nombre de ces sites comportent des builders, générant une surconsommation de ressources serveur de l’ordre de x10 (voir jusqu’à x40). Les builders ont donc une emprunte carbone considérable qu’il serait intéressant de mesurer objectivement. Je ne serais pas étonné que cela augmente la consommation d’énergie d’internet de 10% ou plus.

    Fiabilité et sécurité

    Une bonne partie des pannes observée sur les sites lors des mises à jour est due aux builder. Vous avez intérêt à avoir un bon backup. Tout ça, c’est de la maintenance additionnelle, perdue pour le webmaster et/ou pour le client.

    De plus, les builders étant populaires, des failles de sécurité sont régulièrement découvertes. Donc si vous mettez à jour, vous risquez de casser le site, et si vous ne mettez pas à jour, vous risquez un hack. Vous choisissez quoi ?

    Builders à outrance

    Certains ont le réflexe systématique du builder. Même sur un site extrêmement simple. Mais est-ce vraiment nécessaire ?

    Dans de nombreux cas, utiliser un builder revient à tuer une mouche au lance-flamme.

    La règle n°1 de l’optimisation : n’utiliser que ce qui est nécessaire. Un peu de minimalisme ne fait de mal à personne.

    A-t-on besoin de réfléchir 2000 ans à décaler une image d’un ou deux pixels ? Cela ne fait plaisir qu’aux web designers. Les utilisateurs et propriétaires des sites n’en ont rien à faire.
    Dans le monde réel, ce n’est pas ce qui importe pour le succès d’un site, c’est d’abord son contenu.

    Ce qu’il faut, c’est avoir un site simple à maintenir, fiable, sécurisé, et rapide à afficher pour les visiteurs, et surtout, contenant les informations utiles recherchées par vos visiteurs, pour un bon référencement SEO (sur les moteurs de recherche Google et autres), et avec une emprunte carbone la plus faible possible.

    Les alternatives

    De nombreux thèmes natifs, souvent gratuits, sont capables d’offrir une expérience visuelle claire et plaisante et permettent déjà un excellent niveau de personnalisation.

    De plus, avec Gutenberg, WordPress offre désormais la fonction « Full Site Editing » permettant, avec les thèmes compatibles, d’agencer chaque partie du site comme on le souhaite.

    Cela devrait dans un futur proche marquer le début de la fin des builders.

    Personnellement, j’ai toujours refusé d’aller à l’encontre du fonctionnement natif de WordPress, et j’ai adopté Gutenberg dès sa sortie malgré les bugs et limitations.

fr_FR