Plugin GPL WordPress : licence, risques et sources fiables

5 vérifications avant d'installer un plugin GPL tiers

1. 1

   Étape 1

   Identifier la licence, l'auteur et le distributeur

   Lisez l'en-tête du plugin, le fichier de licence et les mentions des bibliothèques incluses. Vérifiez qui a construit le ZIP et qui répondra d'une modification. Une mention GPL sans auteur ni historique ne suffit pas.

2. 2

   Étape 2

   Comparer la version avec le changelog officiel

   Comparez le numéro de version, la date, les prérequis PHP et WordPress avec la page de l'auteur. Recherchez aussi les avis de sécurité et les fermetures éventuelles du plugin. Un décalage n'est pas une preuve d'infection, mais il doit être expliqué.

3. 3

   Étape 3

   Comparer les fichiers quand une référence existe

   Utilisez un diff entre la redistribution et une archive obtenue directement auprès de l'auteur. Examinez les fichiers ajoutés, les appels réseau, les comptes créés et les tâches planifiées. Des fonctions comme eval() ou base64_decode() méritent une revue, mais leur présence seule ne prouve pas un malware.

4. 4

   Étape 4

   Scanner puis tester sur une préproduction isolée

   Analysez l'archive avec plusieurs moteurs si votre politique l'autorise, puis installez-la sur une copie sans données personnelles réelles. Contrôlez les erreurs, les requêtes sortantes, les nouveaux administrateurs, les tâches cron et les modifications de fichiers. Un scan négatif n'est pas une garantie.

5. 5

   Étape 5

   Attribuer les mises à jour et le retour arrière

   Décidez qui surveille les versions, sous quel délai une alerte est traitée et comment revenir à la version précédente. WordPress permet de configurer les mises à jour automatiques, mais un canal tiers peut ne pas les fournir. Sauvegardez et testez avant chaque déploiement sensible.