Le nom est évocateur : WP Plugin Graveyard, le cimetière des extensions WordPress. Cet outil gratuit recense les extensions encore actives sur le répertoire officiel qui présentent des vulnérabilités connues et n’ont pas reçu de mise à jour récente.
La liste est mise à jour chaque mois.
Pourquoi c’est utile
Une extension abandonnée n’affiche aucun signal d’alerte dans votre tableau de bord. Elle continue de fonctionner, elle ne propose simplement plus de mise à jour. C’est précisément ce silence qui la rend dangereuse : vous n’avez aucune raison de vous en méfier tant que rien ne casse.
Le croisement proposé ici (extension encore installée + faille connue + absence de mise à jour) correspond exactement au profil de risque le plus courant sur les sites piratés.
Notre avis
À mettre dans vos favoris et à consulter une fois par trimestre, liste de vos extensions sous les yeux. L’exercice prend dix minutes et vaut largement le temps investi.
Si vous trouvez l’une de vos extensions dans ce cimetière, ne la désactivez pas : désinstallez-la. Une extension désactivée reste présente sur le serveur et ses fichiers restent accessibles. Cherchez ensuite une alternative maintenue, ou vérifiez si la fonctionnalité n’est pas désormais couverte par le Cœur de WordPress. Sur des sites un peu anciens, c’est souvent le cas.
Un rappel pour finir : le meilleur indicateur de santé d’une extension n’est pas son nombre d’installations, c’est la date de sa dernière mise à jour et la réactivité de son support. Une extension à 500 000 installations laissée à l’abandon depuis deux ans est plus risquée qu’une extension confidentielle mise à jour le mois dernier.