Extensions bloquées et kits d’hameçonnage

Un petit nombre d’extensions ne sont pas autorisées sur notre hébergement : les fausses extensions qui dissimulent le compte administrateur d’un pirate, les extensions qui injectent des publicités ou des redirections dans vos pages, les installateurs de mineurs de cryptomonnaies, ainsi que les extensions dont les mises à jour sont connues pour mettre les sites hors ligne. Les fichiers constituant un kit de hameçonnage (fausses pages de connexion bancaires, de messagerie ou de livraison transmettant à un tiers ce que saisissent les visiteurs) ou une porte dérobée sont également refusés.

Lorsque vous en installez ou mettez en ligne une

L’installation d’une extension bloquée depuis votre tableau de bord, la mise en ligne de son fichier zip, ou la mise en ligne d’un zip de thème ou d’extension contenant un kit de hameçonnage est immédiatement refusée, avec un message précisant le nom du fichier. Rien n’atteint votre site. Choisissez une autre extension — presque chaque extension bloquée est une copie frauduleuse d’une extension authentique, recherchez donc l’originale de son auteur.

Lorsqu’elle arrive par un autre moyen

Les extensions ajoutées directement au sein de WordPress, les fichiers téléversés par SFTP ou par le gestionnaire de fichiers, ainsi que les restaurations sont vérifiés par nos serveurs en quelques minutes, et chaque site fait l’objet d’un contrôle complet quotidien. Si nous détectons un élément :

• vous recevez un e-mail indiquant le nom du site, et
• les paramètres de sécurité du site indiquent précisément ce que nous avons trouvé et son emplacement, sous Extensions bloquées et kits de hameçonnage.

Selon sa nature, nous vous demandons de le supprimer ou nous le déplaçons nous-mêmes hors du dossier public de votre site. Rien n’est jamais supprimé : une extension ou un dossier déplacé est conservé dans un dossier de quarantaine protégé au sein de votre compte d’hébergement, d’où personne ne peut l’ouvrir depuis le Web.

Que faire ensuite

1. Supprimez l’extension ou les fichiers listés, si nous ne les avons pas déjà déplacés.
2. Si vous ne les avez pas ajoutés vous-même, partez du principe que le site ou l’un de ses comptes a été piraté :

changez vos mots de passe WordPress, d’hébergement et FTP, supprimez les comptes WordPress que vous ne reconnaissez pas, et mettez à jour chaque extension et thème.

3. Cliquez sur Analyser maintenant sur la carte de sécurité pour vérifier le reste du site.

Si vous pensez que nous nous sommes trompés

Cliquez sur Nous demander de vérifier à côté de l’élément, ou répondez à notre e-mail. Notre équipe examine le fichier avec vous et, s’il est sans danger, le remet exactement là où il se trouvait.

Mises à jour d’extensions qui ne peuvent pas mettre votre site hors ligne

Lorsque nous mettons à jour des extensions pour vous (l’action groupée Mettre à jour les extensions), nous les mettons à jour une par une et vérifions le site avant et après chacune d’elles : la page d’accueil doit toujours se charger, sans erreur WordPress, et le journal des erreurs du site ne doit pas afficher de nouvelle erreur PHP. Si une mise à jour casse le site, nous réinstallons immédiatement la version précédente, bloquons cette version pour votre site, et vous envoyons un e-mail. Si la même version casse deux sites sur notre hébergement, nous la bloquons pour tous les sites afin que personne d’autre ne la reçoive.

Les mises à jour bloquées sont répertoriées sous Mises à jour des extensions sur la même carte. Un blocage est levé automatiquement lorsque l’auteur de l’extension publie une version plus récente. Vous pouvez également lever vous-même un blocage sur votre site (Lever le blocage), par exemple après avoir résolu le conflit, et la prochaine mise à jour de l’extension l’appliquera à nouveau.