Plugin supprimé du répertoire des plugins WordPress.org : qu’est-ce que cela signifie ?

Vous voulez installer sur un nouveau site un plugin qui a fait ses preuves, mais la recherche du tableau de bord ne le trouve plus. Sur WordPress.org, à la place du bouton de téléchargement, il ne reste qu’une brève mention : « This plugin has been closed ». Sur vos autres sites, pourtant, ce même plugin fonctionne tout à fait normalement. Que s’est-il passé ? Le plugin a été retiré du répertoire officiel des plugins. Ce n’est pas forcément grave. Mais cela peut aussi vouloir dire que votre site présente en ce moment une faille de sécurité que plus personne ne corrigera. Dans cet article, vous allez découvrir ce qui se cache derrière une telle fermeture, comment évaluer le risque et quelles mesures prendre dès maintenant.

Que signifie la suppression d’un plugin de WordPress.org ?

À strictement parler, WordPress.org ne supprime pas un plugin, il le ferme. La page du plugin affiche alors une phrase du type « This plugin has been closed as of June 24, 2024 and is not available for download. » Pour vous qui gérez le site, les conséquences sont très concrètes :

• Le plugin ne peut plus être téléchargé sur WordPress.org ni installé depuis le tableau de bord.
• Tant qu’il reste fermé, WordPress.org ne distribue aucune nouvelle version. Il n’y a donc plus de mises à jour, pas même de mises à jour de sécurité.
• Les copies déjà installées restent intactes. WordPress ne désactive rien et ne supprime rien, le plugin continue simplement de tourner.
• Le code source reste consultable publiquement dans le SVN Repository de WordPress.org.

Le troisième point est le plus sournois. Comme tout semble normal sur votre site, la plupart du temps, vous ne remarquez même pas la fermeture. WordPress n’affiche aucun avertissement à ce sujet dans le tableau de bord. Un ticket qui vise précisément à changer cela attend depuis 2014 dans le WordPress Trac. Il a été rejeté à un moment donné, puis rouvert en 2023. Savoir comment prévenir les utilisateurs sans semer une panique inutile n’a rien d’évident.

Ne confondez pas non plus un plugin retiré avec un plugin obsolète. Un plugin qui n’a reçu aucune mise à jour depuis des années figure souvent encore tout à fait normalement dans le répertoire. WordPress.org se contente alors de signaler qu’il n’a pas été testé avec les trois dernières versions majeures de WordPress. Un plugin fermé, en revanche, a été complètement retiré de la circulation.

Pourquoi des plugins sont-ils supprimés de WordPress.org ? Les cinq motifs officiels

C’est l’équipe Plugins de WordPress.org (Plugins Team) qui veille sur le répertoire des plugins. Elle ne ferme pas des plugins sur un coup de tête, mais pour l’un des cinq motifs consignés dans la documentation officielle pour les développeurs. Ce sont exactement ces motifs qui apparaissent ensuite sur la page du plugin :

• Security Issue (problème de sécurité) : le plugin contient une faille de sécurité confirmée. Sauf rares exceptions, il est alors fermé immédiatement. D’après le manuel de l’équipe, aucun délai du genre « Corrigez ça d’ici sept jours, sinon vous êtes dehors » n’est prévu.
• Guideline Violation (violation des règles) : le plugin ne respecte pas les règles du répertoire. Les cas typiques sont le suivi des visiteurs sans leur consentement, du code rendu volontairement illisible ou des liens vers le développeur qui apparaissent sur votre site sans que vous l’ayez demandé.
• Licensing/Trademark Violation (licence ou droit des marques) : le plugin contient du code incompatible avec la GPL, ou son nom s’approprie la marque de quelqu’un d’autre.
• Author Request (demande de l’auteur) : le développeur a fermé le plugin lui-même. Parfois, il manque tout simplement de temps, parfois le plugin n’existe plus qu’en version payante sur son propre site.
• Merged Into Core (intégré au cœur de WordPress) : la fonction fait désormais partie de WordPress lui-même. Cela concerne presque exclusivement ce qu’on appelle les Feature Plugins, qui servent à tester de nouvelles fonctions avant leur arrivée dans WordPress.

D’ailleurs, bien des problèmes de sécurité ne sont pas découverts par l’équipe Plugins elle-même. Ce sont souvent des chercheurs en sécurité qui lui signalent une faille, par exemple quand le développeur ne réagit pas à leurs alertes.

Pourquoi le motif de la fermeture n’apparaît-il qu’après 60 jours ?

Juste après la fermeture, la page du plugin n’indique que la date. WordPress.org n’ajoute le motif que 60 jours plus tard, et même alors uniquement sous la forme d’une catégorie générale tirée de la liste plus haut. Ce qui s’est passé exactement, seuls les développeurs qui ont les droits d’écriture sur le plugin et l’équipe de sécurité le savent. Les détails ne sont rendus publics qu’à titre exceptionnel.

Cela peut sembler opaque au premier abord, mais c’est assez logique. Si la page affichait « Security Issue » dès le jour de la fermeture, les attaquants sauraient immédiatement où chercher, alors que des milliers de sites utilisent encore le plugin sans protection. Ce délai laisse au développeur une chance de corriger la faille avant qu’elle ne s’ébruite.

Lisez aussi la phrase qui figure sous l’avertissement. « This closure is temporary, pending a full review » signifie que la fermeture est provisoire et que le plugin fait en ce moment l’objet d’un examen approfondi. « This closure is permanent » indique que la fermeture est censée être définitive. Pour KingComposer, un page builder autrefois très répandu, la page affiche par exemple « Reason: Security Issue » depuis février 2022.

Un plugin supprimé de WordPress.org est-il dangereux ?

Pour être honnête, tout dépend. Une fermeture ne prouve pas à elle seule qu’il existe une faille de sécurité. Si le développeur a simplement abandonné son plugin, celui-ci peut encore tourner des années sans le moindre souci.

Vous devriez pourtant considérer chaque plugin retiré comme un signal d’alerte sérieux :

• Au début, vous ignorez le motif. Pendant les 60 premiers jours, la fermeture peut cacher une faille critique tout comme un simple vice de forme. De l’extérieur, impossible de faire la différence.
• Les mises à jour de sécurité n’arrivent plus. Si une faille est révélée, elle reste ouverte. C’est précisément pour cela que les plugins fermés intéressent les attaquants : ils savent que de nombreux sites continueront à les utiliser longtemps.
• La compatibilité s’effrite. À chaque nouvelle version de WordPress et de PHP, le risque augmente que le plugin provoque des erreurs ou, dans le pire des cas, mette votre site hors service.

Juin 2024 a montré à quelle vitesse une fermeture peut tourner au vrai problème. Des attaquants avaient utilisé des mots de passe issus d’anciennes fuites de données pour s’introduire dans des comptes de développeurs sur WordPress.org et avaient caché une porte dérobée dans plusieurs plugins, comme l’a rapporté Wordfence à l’époque. Parmi les plugins touchés figuraient notamment Social Warfare et Blaze Widget. Social Warfare a rapidement reçu une version nettoyée. Blaze Widget, en revanche, est fermé définitivement depuis le 24 juin 2024, motif : Security Issue. Ceux qui avaient installé la version piégée n’en ont rien vu dans leur tableau de bord.

Plugin fermé ou supprimé de WordPress.org : que faire maintenant ?

Inutile de paniquer. Mais ne repoussez pas le sujet pour autant. Voici comment procéder au mieux :

1. Lisez l’avertissement sur la page du plugin. Vous la trouverez à l’adresse wordpress.org/plugins/ suivie du slug du plugin. Le slug est le nom de son dossier dans wp-content/plugins. Regardez la date, la mention temporary ou permanent et, une fois les 60 jours écoulés, le motif.
2. Vérifiez si une faille de sécurité est connue. Cherchez le plugin dans l’une des grandes bases de données de vulnérabilités, comme Wordfence Intelligence, Patchstack ou WPScan. Si une faille y est répertoriée pour la version que vous avez installée, la situation est claire : désactivez le plugin immédiatement. Si votre site en dépend, il vous faudra rapidement une solution provisoire (nous y reviendrons plus bas).
3. Regardez si le développeur poursuit le projet. Certains plugins ne font que déménager, par exemple sur GitHub ou dans la boutique du développeur, ou bien ne sont plus disponibles que contre paiement. Un coup d’œil à son site suffit généralement à y voir clair. Les mises à jour n’arrivent alors plus automatiquement via WordPress.org, mais par le canal que le développeur a choisi.
4. Demandez-vous honnêtement si vous avez encore besoin du plugin. Les sites un peu anciens, en particulier, contiennent souvent des plugins installés un jour pour un seul besoin, puis oubliés. Si vous ne savez plus à quoi il sert, désactivez-le dans un environnement de test et regardez si quelque chose manque.
5. Cherchez une alternative bien maintenue. Ce qui compte : la date de la dernière mise à jour, le nombre d’installations actives, la dernière version de WordPress avec laquelle le plugin a été testé et le fait que quelqu’un réponde réellement sur le forum de support. Un plugin avec une large base d’utilisateurs et une équipe active est généralement un choix plus sûr qu’une solution de niche sur laquelle une seule personne travaille pendant son temps libre.
6. Remplacez le plugin proprement. Faites d’abord une sauvegarde, testez le changement dans un environnement de test et reprenez les réglages et les contenus. Pensez aussi aux Shortcodes, qui, sinon, s’afficheront en texte brut sur vos pages une fois le plugin supprimé. Pour finir, supprimez complètement l’ancien plugin. Une simple désactivation ne suffit pas : avec certaines failles, les attaquants n’ont besoin de rien d’autre que de fichiers toujours présents sur le serveur et accessibles directement.

Et si vous ne pouvez pas remplacer le plugin tout de suite ? Protégez-le au moins. Un Web Application Firewall, par exemple celui de Wordfence, de Patchstack ou de votre hébergeur, peut bloquer les attaques connues contre le plugin jusqu’à ce que la transition soit terminée. Les agences qui ont leurs propres développeurs disposent d’une autre option : les plugins de WordPress.org sont publiés sous la GPL ou sous une licence compatible. Vous avez donc le droit de reprendre le code et de le maintenir vous-même. Les mises à jour de sécurité relèvent toutefois alors entièrement de votre responsabilité.

Pour en savoir plus sur l’entretien régulier de vos plugins, consultez notre guide Comment maintenir les extensions WordPress à jour et sécurisées.

Comment savoir si un plugin installé a été fermé ?

À la main, c’est fastidieux. Il faudrait ouvrir la page correspondante sur WordPress.org pour chaque plugin. Avec cinq plugins, ça passe encore, avec 30 plugins répartis sur plusieurs sites clients, beaucoup moins.

La Plugin API de WordPress.org va plus vite. Pour un plugin fermé, elle renvoie, au lieu des données habituelles, un message d’erreur avec la valeur closed :

curl -sg "https://api.wordpress.org/plugins/info/1.2/?action=plugin_information&request[slug]=SLUG"

Remplacez SLUG par le nom du dossier du plugin. Si la réponse contient "closed":true, le plugin est fermé. Vous y trouverez aussi la date de fermeture et, dès qu’il est publié, le motif. L’option -g évite que curl prenne les crochets de l’adresse pour des caractères génériques.

Si vous utilisez Wordfence : son scan compare lui aussi vos plugins avec WordPress.org et signale les plugins retirés comme un problème critique. Il n’efface rien pour autant, la décision vous appartient.

Pour vous éviter une frayeur inutile : un plugin introuvable sur WordPress.org n’a pas forcément été retiré. Les plugins premium comme WP Rocket ou Gravity Forms n’y ont jamais figuré. Ils reçoivent leurs mises à jour directement de leur éditeur.

Comment InspectWP détecte les plugins supprimés sur votre site

InspectWP se charge de cette vérification à votre place. Le rapport identifie les plugins de votre site grâce aux traces qu’ils laissent dans le code source et compare chacun d’eux avec WordPress.org. Si un plugin est fermé, l’information apparaît directement sur sa fiche, et la vérification des plugins retirés passe au rouge. Si WordPress.org rouvre le plugin plus tard, l’alerte disparaît au rapport suivant. Les plugins qui n’ont reçu aucune mise à jour depuis plus d’un an sont signalés séparément comme obsolètes. Les plugins premium qui n’ont jamais figuré dans le répertoire ne sont pas considérés comme retirés.

Avec les plans Premium et Agency, vous voyez en plus les versions installées et les failles de sécurité connues de vos plugins. Grâce à l’InspectWP WordPress Connector, InspectWP recense par ailleurs tous les plugins installés, y compris ceux qui ne laissent aucune trace sur le frontend. Dans le PDF d’audit destiné à vos clients, un plugin retiré apparaît comme un point urgent, accompagné d’une recommandation claire. Comme un plugin encore maintenu aujourd’hui peut être fermé le mois prochain, les rapports automatiques sont tout indiqués : InspectWP vérifie alors régulièrement vos projets et vous prévient si vous le souhaitez. Un rapport gratuit vous montre en peu de temps si un plugin retiré tourne actuellement sur votre site.