Quelques semaines seulement après son lancement, l’initiative « Protect the Shire » revoit déjà sa copie. Le délai d’attente imposé avant le déploiement automatique des nouvelles versions d’extensions et de thèmes passe de 24 heures à 6 heures.
Rappel : à quoi sert ce délai
Soutenue par Matt Mullenweg, l’initiative « Protect the Shire » introduisait un temps de latence entre la publication d’une mise à jour sur le répertoire officiel et sa diffusion automatique sur les sites.
L’idée : profiter de cette fenêtre pour laisser des outils d’analyse assistés par IA passer le code au crible et détecter d’éventuels problèmes avant que la mise à jour ne se propage à grande échelle. En jeu, la sécurité des quelque 80 000 extensions et thèmes du répertoire officiel.
Ce qui change
C’est le développeur Ajay D’Souza qui a mis le doigt dessus le premier sur X, avec un laconique « On dirait bien que les 24 heures sont devenues 6 ».
L’information a ensuite été confirmée par le média spécialisé The Repository, qui cite Konstantin Obenland, directeur de l’ingénierie logicielle chez Automattic, sur Slack.
Plus intéressant encore : The Repository précise que des travaux sont en cours pour supprimer totalement ce délai lorsque l’outil d’examen par IA, baptisé Gandalf, ne détecte aucun problème sur une mise à jour.
Notre avis
Ce revirement rapide en dit long. Le délai de 24 heures avait été mal accueilli par une partie des développeurs, pour une raison simple : quand vous publiez un correctif de sécurité sur votre propre extension, attendre une journée entière avant qu’il n’atteigne vos utilisateurs, c’est une journée pendant laquelle la faille reste exploitable.
Passer à 6 heures atténue le problème sans le résoudre. La vraie réponse, c’est celle qui se profile : un délai variable, quasi nul quand l’analyse automatique ne relève rien, plus long quand quelque chose cloche. C’est la seule façon de gagner en sécurité sans pénaliser les développeurs consciencieux.
Reste une question de fond, rarement posée : confier le filtrage de 80 000 extensions à un outil d’IA suppose de faire confiance à son taux de faux négatifs. Personne ne l’a communiqué pour l’instant.
Côté utilisateur, rien à faire : ce réglage se joue entièrement du côté de WordPress.org. Vos mises à jour arriveront simplement un peu plus vite qu’il y a un mois.