Un composant de votre site doit être mis à jour

Nous surveillons les applications qui font tourner les sites que nous hébergeons. Lorsqu'un plugin, un thème ou l'application elle-même est signalé comme présentant une faille de sécurité publiquement connue, et que la version installée sur votre site fait partie des versions concernées, nous vous prévenons.

Ce n'est pas la même chose qu'un code malveillant

Rien n'a été déposé sur votre site. Personne n'est entré, aucun fichier n'a été ajouté ni modifié, et votre site fonctionne normalement.

Ce que nous vous signalons, c'est qu'une porte est connue pour être ouverte. Une faille a été publiée pour une version du logiciel que vous utilisez, ses auteurs ont généralement déjà publié une version corrigée, et tant que vous ne l'installez pas la faille peut être utilisée contre votre site.

Si nous constatons un jour que quelque chose a été déposé sur votre site, vous recevez un message différent qui le dit clairement et vous demande de changer vos mots de passe et de supprimer des fichiers. Ce message-ci ne le fait pas.

Pourquoi cela compte quand même

Les failles publiées sont la cause la plus fréquente de piratage d'un site. L'avis est public : des outils automatisés cherchent les versions concernées en quelques jours, et ils ne choisissent pas leurs cibles, ils balayent tout. La plupart des sites compromis que nous voyons utilisaient un composant pour lequel un correctif existait déjà.

Que faire, dans l'ordre

1. Mettez à jour le composant indiqué. Connectez-vous à l'administration de votre site, trouvez-le dans la liste des extensions ou des thèmes, et installez la dernière version. C'est généralement tout ce qu'il y a à faire.
2. Profitez-en pour tout mettre à jour. Chaque extension, chaque thème et l'application elle-même — y compris ceux que vous n'utilisez pas. Une extension désactivée reste exploitable, car ses fichiers sont toujours sur le serveur.
3. Supprimez ce que vous n'utilisez plus. Une extension abandonnée que personne ne met à jour est une porte ouverte permanente. La désactiver ne suffit pas : supprimez-la.
4. Activez les mises à jour automatiques des extensions et des thèmes, pour que la prochaine faille soit fermée avant même que vous n'en entendiez parler.
5. Faites une sauvegarde avant une grosse mise à jour, et si une mise à jour casse le site, restaurez-la et ouvrez un ticket — ne remettez pas l'ancienne version en la laissant en place.

Et s'il n'y a pas encore de correctif ?

Il arrive qu'une faille soit publiée avant qu'un correctif n'existe. Dans ce cas, supprimez ou désactivez le composant en attendant si vous pouvez vous en passer, et ouvrez un ticket si ce n'est pas possible — il existe souvent d'autres moyens de fermer la faille entre-temps.

Nous pouvons le faire pour vous

Si vous préférez ne pas toucher à l'administration de votre site, ouvrez un ticket depuis la section Support de votre tableau de bord et dites-le nous. Mettre à jour les composants d'un site que nous hébergeons fait partie de ce que nous faisons volontiers.