WPVulnerability for WordPress

J'ai déjà été brûlé par des plugins obsolètes et des mises à jour oubliées, j'en avais donc assez de deviner ce qui pourrait être exposé. Lorsque j'ai découvert WPVulnerability pour WordPress, j'ai eu l'impression que quelqu'un m'avait enfin tendu une lampe de poche pour analyser les coins sombres de mon site. Pas de superflu, juste des alertes directes sur les vulnérabilités des fichiers principaux, des thèmes et même des versions PHP ou Apache. Il fonctionne silencieusement en arrière-plan et me signale lorsque quelque chose ne va pas, comme lorsque mon ancienne version de WooCommerce avait un exploit connu.

Les bonnes choses

Ce qui a vraiment cliqué, c'est la rapidité avec laquelle il a détecté un plugin obsolète que j'avais complètement oublié. Il est apparu dans le tableau de bord avec un drapeau rouge et un lien vers les détails du CVE. Ce genre de clarté ? Énorme. J’ai aussi apprécié le fait qu’il ne collecte aucune donnée : pas de suivi, pas de téléchargement, rien. Analyse simplement votre site localement et rend compte. Et si vous utilisez CLI, cela fonctionne avec les commandes WP-CLI, ce qui facilite l'automatisation des vérifications. La partie API REST est une niche, mais pratique si vous créez des scripts de surveillance personnalisés.

Le moins bon

Ce n'est certainement pas pour les débutants. Si vous n’êtes pas à l’aise pour lire les rapports de vulnérabilité ou pour comprendre ce que signifie un risque de « traversée de répertoire », cela peut vous sembler insurmontable. Il n’y a pas de correctif intégré, juste des avertissements. Vous devez mettre à jour ou corriger manuellement les choses. De plus, aucun nom officiel du développeur ni aucune information de licence n’est répertorié, ce qui fait sourciller. Ce n’est pas un dealbreaker, mais cela vaut la peine d’être noté si vous êtes paranoïaque à propos des plugins sommaires. Et comme il n’y a ni téléchargements ni évaluations dans le répertoire des plugins, il est difficile d’évaluer l’utilisation réelle. Pourtant, cela nécessite peu de ressources et ne ralentit pas du tout mon site.

Conclusion

Si vous exploitez un site WordPress et souhaitez un moyen gratuit et axé sur la confidentialité d'auditer votre sécurité sans encombrement, WPVulnerability pour WordPress est solide. Cela ne résoudra rien pour vous, mais cela vous dira exactement ce qui nécessite votre attention. Pour les développeurs ou les administrateurs qui souhaitent garder une longueur d’avance sur les menaces, cela vaut la peine d’être téléchargé. Ne vous attendez pas à ce qu’on vous tienne la main. Et oui, c'est gratuit, alors pourquoi ne pas l'essayer ?