Vous reconnaissez généralement que des extensions WordPress sont obsolètes ou qu’un certificat SSL a expiré à quelques signes : des notifications de mise à jour en attente dans l’espace d’administration, des extensions qui ne sont plus développées activement et des messages d’avertissement du navigateur lors de l’ouverture du site web. Avec un peu de routine, ces deux problèmes se remarquent tôt, et c’est justement pour cela qu’il vaut la peine de faire contrôler votre site web régulièrement.
Pourquoi les extensions obsolètes sont un risque
Les extensions (plugins) ajoutent des fonctions supplémentaires à un site WordPress, par exemple un formulaire de contact, une boutique en ligne ou une galerie d’images. Chaque extension est un logiciel à part entière, avec ses propres erreurs. Lorsque des failles de sécurité sont découvertes, les développeurs publient en général une mise à jour. Mais la faille devient alors aussi publiquement connue, et des programmes automatisés parcourent Internet à la recherche de sites web qui n’ont pas encore installé la mise à jour.
Les extensions qui ne sont plus du tout développées sont particulièrement délicates. Elles ne reçoivent plus de mises à jour, même lorsque de nouvelles failles sont connues. Et même des extensions désactivées mais toujours installées peuvent, selon le cas, rester vulnérables.
Comment savoir si vos extensions WordPress sont obsolètes
Quelques signes simples vous aident, vous ou votre agence, à évaluer la situation :
- Notifications de mise à jour dans le tableau de bord : WordPress indique dans l’espace d’administration lorsque de nouvelles versions sont disponibles pour les extensions, les thèmes ou WordPress lui-même. Si ces notifications restent affichées pendant des semaines, c’est un signal.
- Dernière mise à jour : dans le répertoire des extensions, vous voyez quand une extension a été mise à jour pour la dernière fois. Si cela remonte à très longtemps, il vaut la peine de chercher une alternative.
- Extensions inutilisées : tout ce qui n’est plus utilisé ne devrait pas seulement être désactivé, mais supprimé.
- Numéros de version visibles : certaines indications de version figurent dans le code source du site web et sont donc aussi visibles de l’extérieur.
Important avant chaque mise à jour : une sauvegarde récente des données devrait exister. Les mises à jour se déroulent généralement sans problème, mais pas toujours.
Certificats SSL expirés : un petit détail, mais très visible
Un certificat SSL est une sorte de carte d’identité numérique de votre site web, qui permet la connexion chiffrée (HTTPS). Les certificats ne sont valables que pour une durée limitée, souvent quelques mois seulement, et doivent ensuite être renouvelés. Le plus souvent, cela se fait automatiquement. Mais l’automatisme peut tomber en panne sans que personne ne s’en aperçoive, par exemple après un changement de serveur, une modification du domaine ou une nouvelle configuration.
Si le certificat SSL a expiré, les navigateurs affichent une page d’avertissement très visible au lieu de votre site web. Beaucoup de visiteurs abandonnent à ce stade, et ceux qui restent se demandent si tout va bien dans votre entreprise. Le risque est donc moins une attaque qu’une perte de confiance immédiatement visible.
Comment reconnaître un problème de certificat
- Le navigateur affiche un avertissement de sécurité à l’ouverture du site.
- Le symbole du cadenas dans la barre d’adresse est absent ou barré.
- Le site web fonctionne avec « www », mais pas sans – ou inversement.
- Des sous-pages comme une boutique en ligne ou un portail client à une adresse distincte ont leur propre certificat, qui expire indépendamment du site principal.
Faire contrôler son site web régulièrement plutôt que compter sur le hasard
Les logiciels obsolètes et les certificats qui expirent ne sont pas un problème ponctuel : ils réapparaissent sans cesse. Un contrôle unique montre l’état d’aujourd’hui, un contrôle régulier remarque aussi les changements de demain. Clarifiez en outre qui est responsable des mises à jour chez vous : votre agence, un prestataire informatique ou quelqu’un en interne ? Le mieux est que ce soit fixé par écrit, par exemple dans un contrat de maintenance.
Vous trouverez d’autres points que tout site d’entreprise devrait respecter dans le guide Contrôle de site web : 10 points pour tout site d’entreprise. Si vous souhaitez aussi garder un œil sur les textes juridiques, le guide consacré aux manquements présumés dans les mentions légales et la politique de confidentialité vous aidera.
Être informé à temps avec PlugTheBug
PlugTheBug contrôle régulièrement votre site web depuis l’extérieur, notamment pour détecter des indices visibles de l’extérieur de logiciels obsolètes et des certificats expirés ou sur le point d’expirer. Rien n’est attaqué ni modifié, et aucun identifiant n’est nécessaire. Chaque constat est mesuré une seconde fois avant l’envoi, afin que seul ce qui compte vraiment vous parvienne. Si vous souhaitez de l’aide pour la correction, un accompagnement est proposé à 129 € de l’heure, facturé par tranches de 15 minutes.
Vous souhaitez savoir où en est votre site web ? Demandez un contrôle de votre site web ou consultez tranquillement les offres de PlugTheBug.