Mettre à jour une extension WordPress vulnérable en toute sécurité

Passer à la version corrigée

Pour chaque extension vulnérable, l'exécution affiche la version installée et la version qui corrige tous les problèmes trouvés pour elle. Cliquez sur « Update to <version> in WordPress » : WordPress → Relvato s'ouvre, et un administrateur y clique sur « Update and verify ». Pour une extension de wordpress.org, l'extension Relvato installe exactement cette version — la plus ancienne qui contient tous les correctifs, soit le plus petit changement qui referme la faille. Pour une extension qui n'y est pas, voir plus bas.

La carte suit ensuite la vérification : combien des moniteurs relancés sont terminés. Cela prend quelques minutes.

Si un moniteur casse

Si un moniteur qui réussissait avant la mise à jour échoue désormais, Relvato vous alerte et la carte propose « Undo in WordPress » : un clic dans WordPress → Relvato remet la version que vous aviez et bloque la version corrigée, pour qu'elle ne soit pas réinstallée — Annuler une mise à jour d'extension explique le blocage. La carte indique quel moniteur a échoué et renvoie vers son exécution, et la cloche de notifications vous prévient aussi.

Après un retour en arrière, la faille est de nouveau ouverte : la carte propose donc l'autre option, désactiver l'extension jusqu'à ce que l'auteur publie un correctif qui fonctionne sur votre site. Une version qui a déjà cassé votre site n'est plus jamais proposée.

Désactiver et vérifier

Pour une extension que Relvato ne peut pas mettre à jour — une extension sans version corrigée pour l'instant, ou une extension payante dont l'éditeur ne fournit pas le téléchargement —, la carte propose « Deactivate in WordPress », qu'un administrateur applique avec « Deactivate and verify ». L'extension Relvato la désactive, Relvato relance les mêmes moniteurs et, s'il s'avère que le site en a besoin, « Undo in WordPress » la réactive en un clic.

Relvato ne désactive jamais WooCommerce, ce qui fermerait la boutique, ni une extension dont dépendent d'autres extensions actives.

Les moniteurs qui n'ont pas pu s'exécuter

Un moniteur ignoré — bloqué par un pare-feu, par exemple — ne prouve rien dans un sens ni dans l'autre : il n'est donc pas pris en compte, et la carte le signale comme non vérifié. Si les moniteurs ne sont pas terminés au bout d'une heure, Relvato cesse d'attendre et laisse le changement en place. Enfin, Relvato vérifie un seul changement à la fois par site, pour qu'un moniteur en échec désigne toujours un seul changement.

Extensions payantes et d'éditeurs

Une extension qui n'est pas sur wordpress.org — une extension payante, ou téléchargée sur le site de son éditeur — ne peut passer qu'à la version que son éditeur propose à ce moment via WordPress : c'est donc cette version qui figure sur le bouton. L'extension Relvato compresse d'abord la version installée dans un ZIP, dans wp-content/relvato-backups, un dossier fermé au web, puis la met à jour avec l'outil de mise à jour de WordPress. Si un moniteur casse, « Undo in WordPress » restaure cette sauvegarde au lieu de réinstaller depuis wordpress.org.

Quand l'éditeur ne fournit pas le téléchargement — généralement parce que la licence de l'extension n'est pas active sur le site —, la carte l'indique au lieu de proposer la mise à jour. Activez la licence dans les réglages de l'extension, puis relancez l'analyse.

Extensions avec une mise à jour en attente

L'analyse liste aussi, sous « Updates available », chaque extension pour laquelle WordPress propose une mise à jour — même quand la version installée n'a aucune faille connue —, chacune avec « Update to <version> in WordPress ». Le fonctionnement est le même : les moniteurs qui réussissaient sont relancés et, si l'un d'eux casse, vous annulez la mise à jour en un clic dans WordPress.

Si WordPress a déjà tenté la mise à jour sans qu'elle prenne, la carte le signale. Soit le téléchargement a échoué, soit l'éditeur a renvoyé la version déjà installée — ce que WordPress enregistre comme une mise à jour terminée. Le second cas signifie généralement que la licence de l'extension n'est pas active sur le site.