Intégrité des fichiers WordPress, IndexNow, pages réservées : ce qu’apporte nexya 1.2.34

Intégrité des fichiers WordPress : le cœur comparé chaque jour aux originaux

La principale nouveauté de nexya 1.2.34 concerne l’intégrité des fichiers WordPress. Chaque jour, le module Sécurité compare les fichiers du cœur de WordPress présents sur votre serveur avec les originaux publiés par wordpress.org.

Trois cas sont relevés et listés : un fichier modifié, un fichier manquant, et un fichier PHP qui n’a rien à faire à cet endroit. Quand l’un d’eux apparaît, un e-mail vous prévient. Le contrôle tourne seul, une fois par jour, sans que vous ayez à le lancer.

Sur les forums, la question revient souvent sous la forme « mon scan de sécurité s’arrête en cours de route ». Ce contrôle-ci est plus limité qu’un scan qui parcourt tout le serveur : il porte sur un ensemble connu, les fichiers du cœur, et se compare à une référence publique, celle de wordpress.org.

La note de version ne dit pas si ce contrôle fait partie de la version gratuite ou de nexya Pro. Sur le reste, c’est clair : la version gratuite compare les extensions installées à la liste des failles connues, et nexya Pro ajoute un contrôle quotidien des vulnérabilités et une empreinte des fichiers avec retour en arrière.

• Un fichier du cœur modifié par rapport à l’original de wordpress.org
• Un fichier du cœur manquant
• Un fichier PHP qui n’appartient pas au cœur de WordPress
• Un e-mail dès qu’un de ces cas apparaît

Site piraté : ce que la liste signale, et ce qu’elle ne fait pas

Un fichier PHP inattendu dans les dossiers du cœur est un signe classique d’intrusion. Un fichier modifié peut l’être aussi. La liste vous indique où regarder, et l’e-mail vous évite de l’apprendre des semaines plus tard.

nexya ne nettoie pas les logiciels malveillants. Aucun bouton ne supprime le fichier suspect ni ne remet l’original à sa place. Si votre site a été piraté, il reste à remettre des fichiers sains, changer les mots de passe et trouver par où l’intrus est entré, vous-même ou avec un prestataire.

Le module Sécurité aide ensuite à ne pas revivre la même situation : en-têtes de sécurité, politique de contenu, limite des connexions ratées et vérification des extensions installées. Depuis la version 1.2.28, les échecs de connexion répétés entraînent des blocages de plus en plus longs, et le vrai propriétaire débloque son compte avec un lien reçu par e-mail. Depuis la version 1.2.31, un e-mail vous avertit quand une adresse est bloquée à la connexion, au maximum un par heure.

La vérification vous dit ce qui a changé. Elle ne remet rien en état à votre place.

IndexNow : Bing et Yandex prévenus dès qu’une page change

Le module SEO utilise maintenant IndexNow. Dès qu’une page est publiée, mise à jour ou retirée, nexya le signale à Bing, à Yandex et aux autres moteurs qui participent au protocole. Ils n’ont plus à attendre leur prochain passage pour l’apprendre.

Une question revient régulièrement : « Google n’indexe pas mon site ». La note de version cite Bing et Yandex, pas Google. Pour Google, IndexNow ne change donc rien. Le module SEO fournit le sitemap, le schema, les titres et descriptions proposés à partir du texte de la page, ainsi que le fichier llms.txt. Il ne peut pas forcer Google à indexer une page.

Par défaut, l’extension n’envoie rien à un tiers. Les fonctions qui passent par le réseau, et ce qu’elles envoient, figurent dans la liste des services externes de l’extension.

Réserver une page aux personnes connectées, à des rôles ou à des comptes

Le module Rôles peut désormais réserver une page aux personnes connectées, à certains rôles ou à certains comptes. Les autres visiteurs sont envoyés vers la page de connexion ou voient un message.

La page réservée disparaît aussi du sitemap, de la recherche et des listes d’articles. Une page privée ne doit pas apparaître ailleurs sur le site, et c’est là qu’elle apparaît le plus souvent quand on oublie de la cacher.

Pour vérifier le résultat, le module Rôles permet déjà de voir le site avec les droits d’un rôle sans quitter votre propre compte. Vous voyez ainsi ce qu’un abonné ou un client voit vraiment.

Cache et langue du navigateur : la page d’accueil de nouveau servie depuis le cache

Le cache de page fait partie de nexya Pro. Sur un site qui redirige la page d’accueil vers la langue du navigateur, cette page sortait du cache. Elle y revient avec la version 1.2.34.

Seule la première visite d’un navigateur qui demande une autre langue du site passe encore par WordPress. Les autres visites sont servies depuis le cache.

C’est une partie de la réponse à la question « mon site est lent ». Le cache sert les pages avant le chargement de WordPress et se vide quand une page change, y compris après un enregistrement dans Elementor. Il ne corrige pas un temps de réponse lent dû à l’hébergeur.

Le cookie nexya_lang : désactivable, et posé seulement quand il sert

Dans le module Translate, le cookie nexya_lang peut maintenant être désactivé. Quand il reste actif, il n’est posé que si le visiteur est effectivement redirigé vers une autre langue. Un visiteur qui reste sur la langue demandée n’en reçoit pas.

Si vous cherchez la cause d’une redirection inattendue vers /en/, vous pouvez désactiver ce cookie pour l’écarter de vos tests. Pour rappel, Translate place les langues dans des sous-dossiers comme /en/ et relie chaque page à ses traductions. Il ne propose pas un domaine par langue.

Livré juste avant : le spam des formulaires et le cache Cloudflare

Deux questions des forums avaient déjà reçu une réponse dans la version 1.2.31. Pour le spam des formulaires, nexya forms, un module de nexya Pro, limite le nombre d’envois par visiteur et tient une liste de mots, d’adresses et de domaines bloqués, réglée formulaire par formulaire. Le captcha invisible reste actif sur chaque formulaire.

Pour les visiteurs qui voient une ancienne version des pages, le cache de nexya Pro vide aussi celui de Cloudflare : soit entièrement, soit seulement les adresses de la page modifiée.

• nexya forms (Pro) : nombre d’envois par visiteur, mots, adresses et domaines bloqués
• Cache (Pro) : le cache Cloudflare se vide en même temps que celui de nexya
• Sécurité : un e-mail quand une adresse est bloquée à la connexion

Passer à la version 1.2.34 sans risque

La mise à jour se fait depuis l’écran des extensions, comme d’habitude. Depuis la version 1.2.28, le module Maintenance garde la version précédente de chaque extension et de chaque thème juste avant la mise à jour, et la remet en place en un clic si nécessaire. Avec nexya Pro, une mise à jour qui casse le site est annulée automatiquement, et l’administrateur reçoit un e-mail.

Après la mise à jour, consultez la liste des fichiers du cœur au premier contrôle. Sur un site sain, elle doit être vide. Si elle ne l’est pas, examinez chaque fichier avant de conclure : une modification du cœur faite à la main par un ancien prestataire y apparaîtra aussi.