Les 6 questions à se poser avant d’installer un plugin WordPress

WordPress a connu une croissance rapide au cours des dernières années et devient le CMS (Content Management System) largement installé sur le Web. Bien sûr, il en existe bien d'autres et de très performants mais il faut reconnaître que WP est le leader en la matière. En effet, la plupart des personnes souhaitant se lancer dans le blog, vont préférer choisir WordPress pour ses fonctionnalités étendues et pour ses innombrables plugins (plus de 20.000 plugins sur le site officiel). À titre personnel, je n'ai pas choisi WordPress pour le vaste choix de ses plugins mais parce que, à mes yeux il était le CMS le plus abouti (j'ai testé en serveur local SPIP, Drupal, Joomla, Concrete5), et il était surtout celui que j'ai pu installer sans trop de problèmes chez Free.

Ces extensions peuvent vous faire économiser du temps, accélérer votre site web, améliorer le référencement, permettre aux concepteurs et développeurs Web la possibilité de construire des sites Web sophistiqués, plus rapide et (éventuellement) mieux, et plus encore... Mais il n'est pas question que les plugins deviennent une composante importante de l'écosystème WordPress.

Installer des plugins n'est pas anodin. Si on les utilise de manière excessive, ils peuvent devenir dangereux voire nuisibles pour le blog lui-même, pour la souplesse d'utilisation et de consultation. Le site devient alors lent, très lent, et dans certains cas vulnérable aux malveillances.

Voici quelques considérations à retenir avant d'installer des plugins WordPress.

Installer trop de plugins ralentit le fonctionnement du CMS

Certaines bibliothèques JavaScript (par exemple jQuery, Mootools, etc) sont parfois lancées, dupliquées sans même vérifier si elles sont effectivement sollicitées. Donc, un plugin doit faire bon usage de wp_enqueue_script afin de charger les bibliothèques JavaScript et de s'assurer qu'il n'y a pas de demandes redondantes.

Les requêtes HTTP inutiles. Par exemple, vous pourriez seulement avoir besoin d'un formulaire de contact sur une ou deux pages sur votre site, mais le code JavaScript associé et les fichiers CSS du plugin que vous utilisez ont été liés dans wp_head et sont appelés par toutes les pages Web. Pour éviter cela, ces fichiers doivent être ajoutés sous condition que la fonction du greffon est nécessaire.

Vulnérabilité du blog et sécurité

Les plugins mal développés engendre de potentielles vulnérabilités et sources de piratage.

Les failles de sécurité augmentent avec le nombre de plugins installé et ces failles de sécurité augmentent avec le temps si les plugins ne sont pas mis à jour régulièrement.

Les bibliothèques vulnérables. À la fin de 2011, une faille de sécurité a été trouvée dans TimThumb, une bibliothèque PHP utilisée dans de nombreux plugins WordPress et les thèmes, résultant dans de nombreux sites WordPress touchées.

Des plugins peu scrupuleux de la santé de WP : vider convenablement le cache et valider correctement les données, ce qui peut se traduire par des injections de données mal maîtrisées dans MySQL ou par des vulnérabilités cross-site scripting (XSS). Pour les développeurs de WordPress, un tutoriel Wptuts traite des ces problèmes de traitement sain des données / validation.

Les risques à long terme

S'appuyer aveuglément sur un plugin pour WordPress sur une longue période de temps peut vous exposer à des risques.

La rareté des mises à jour.

Le développement de plugins peut être interrompu : la majorité des plugins sont libres et open source. Au fil du temps, l'intérêt du développeur pour le plugin peut s'estomper et retomber, en particulier pour les plugins les moins populaires.

Le plugin devient obsolète car il est remplacé lors des mises à jour de base de WordPress, le plugin sera souvent mis au point pour palier à un besoin qui n'est actuellement pas couverts dans WordPress.

Nous venons d'identifier les problèmes potentiels liés à l'utilisation de plugins WordPress, il nous reste donc à bien évaluer les besoins d'utiliser tel ou tel plugin. Voici quelques questions suggérées par cette infographie (en anglais) avant de s'engager avec un plugin.

Pour les non-anglophones, ceci va vous guider de manière plus détaillée en 6 points :

Ai-je besoin de ce plugin ?

Lorsque vous êtes à la recherche d'un plugin WordPress, la première chose à déterminer est de savoir si ou non il y a vraiment nécessité à installer et utiliser le plugin. Est-ce que ce plugin est incontournable pour votre site ?

Découvrir si vous avez vraiment besoin du plugin devient particulièrement important lorsque vous consultez la liste des meilleurs plugins dans le répertoire plugin WordPress, car vous pourriez être tenté d'installer un plugin tout simplement parce que de nombreux autres sites semblent l'utiliser aussi.

Puis-je faire ce dont j'ai besoin, sans ce plugin ?

J'en parlais dans un précédent billet mais à l'époque pour d'autres raisons : WordPress avec un minimum de plugins, est-ce possible ?

Pour aller plus loin, cliquer sur "installer le plugin" est simple et rend le travaille sous WordPress plus attractif et pour les non-développeurs, l'aide d'un plugin, même pour de simples fonctions s'avère être nécessaire. Toutefois, sans être développeur chevronné et avec quelques connaissances en PHP, MySQL il est possible d'éditer simplement functions.php, header.php, etc afin d'obtenir la fonction souhaitée sans extension.

Un exemple tout bête : il existe de très nombreux plugins "Google +" ou "Facebook like". J'en ai testé au moins une dizaine plus ou moins lourds, efficaces ou respectueux de l'environnement PHP/SQL de WordPress, alors qu'il ne suffit que d'insérer deux petites lignes de code à l'endroit où l'on souhaite afficher son lien social préféré (généralement dans single.php).

Est-ce plugin est meilleur qu'un autre ?

L'idée est d'obtenir une liste complète des options avant d'installer un plugin particulier. Il faut commencer par chercher dans le répertoire du plugin et mettre sur pied une liste rapide. Faire des recherches sur chacun et confronter les avis des utilisateurs pour chaque ligne plugin. Ok c'est long parfois mais tellement instructif.

Voici ce qu'il faut garder à l'esprit lors de recherche de plugins :

Quand ces informations ont-elle été publiées ? Dans le monde de WordPress, les choses peuvent changer rapidement, il faut donc s'assurer que le plugin est toujours d'actualité.
Ne pas mettre de côté les plugins premium (version payante), il y a parfois des options supplémentaires non négligeables intégrées au plugin. De plus, ils donnent accès, dans la majorité des cas, à un support technique fiable.
Passer régulièrement en revue la liste des plugins "concurrent au vôtre" (au moins une à deux fois par an), comme je le disais les choses évoluent rapidement.

Quel auteur du plugin a le plus de crédibilité ?

Déterminer la crédibilité peut être difficile. Un nouveau développeur sur la scène WordPress peut être le meilleur choix, mais il ne dispose pas forcément de la publicité liée à la réputation d'un ancien développeur. Pour cela, il est bon de jeter un œil sur l'activité du plugin.

Vous pouvez rapidement voir combien de billets sont résolus dans la colonne Sujet et quand la dernière fois qu'un billet a obtenu une réponse dans la colonne de la fraîcheur (Freshness). En ce qui concerne les plugins premium, il faut regarder leurs forums de support officiels (si possible) et de vérifier combien de questions sont traitées et combien de temps s'est écoulé entre la période de temps de réponses.

Essayez de comprendre pourquoi le développeur a créé le plugin. Qu'est-ce qui les a motivés pour faire le travail initial? Qu'est-ce qui les motivent à poursuivre les travaux sur le plugin? Le développement d'un plugin passe-temps est très souvent voué à disparaître rapidement. Un développeur passionné (ou groupe de développeurs) suivront le plugin bien plus longtemps.

Déterminer, du mieux que vous pouvez, le niveau du développeur et de son expérience. Ce n'est pas chose facile, pourtant on peut se poser quelques questions : Est-ce leur premier (ou unique) plug-in? Pourquoi d'autres développeurs ne s'intéressent pas à ce plugin? Quel genre de travail font-ils pour vivre (vivent-ils du développement d'un ou plusieurs plugins)? Ont-ils apporté des contributions à WordPress de base ?

Quel plugin possède le meilleur onglet "mise à jour" et onglet du "développeur"?

Vérifier la fréquence des mises à jours grâce à l'historique (Changelog) et consulter les notes .
Évaluer les types de modifications apportées au plugin (Developpers). Une longue liste de corrections de bugs est un bon point. Cela ne veut pas dire que le plugin est mauvais, cela suggère plutôt que le développeur est réactif et qu'il corrige des erreurs remontées par les utilisateurs et par lui-même.

Quel plugin est-il le plus utilisé ou recommandé ?

Combien de téléchargements a t-il eu ? Qui le recommande et pourquoi? Qu'est-ce qui se dit sur le plugin? Comme vous poser ces questions, garder à l'esprit que la popularité d'un plugin ne fait pas automatiquement le meilleur choix. il faut parfois aller vers un plugin moins populaire (pour l'instant) mais qui possède en arrière plan un solide développeur.

Pour conclure

Les plugins tiennent une place importante dans WordPress. Cependant, il est tout de même recommandé d'utiliser des extensions en petit nombre, de chercher des moyens "maison" qui remplacent souvent des plugins hasardeux ou lourds. Ne pas hésiter non plus à partager sur le forum WordPress ses commentaires ou ses opinions, la communauté de développeurs et d'utilisateurs s'en servent beaucoup.

Par ailleurs, la notion de plugin et sécurité a été largement mentionnée dans ce billet, aussi il est bon d'être sensibilisé sur la source des téléchargements de thèmes et plugins WordPress. Il existe des centaines de site "spécialisés" dans les extensions WP au sens large du terme. Parmi ces sites, il en existe beaucoup (trop) qui vont proposer des extensions (gratuites ou payantes) vérolées. Il faut toujours faire attention à ce que l'on télécharge car un anodin thème ou plugin peut contenir des codes malveillants (chiffrés ou non), allant d'une ouverture de popup publicitaire à la mise en danger de l'intégrité de votre blog et/ou de votre ordinateur si vous l'hébergez vous-même. On peut donc lire sur de nombreux blogs et forum de toujours vérifier la source des téléchargements ainsi que le contenu des extensions (souvent le footer.php pour les thèmes) et de ne télécharger que sur le site officiel wordpress.org.

Les clés du plug-in sont entre vos mains, bon blog à tous 🙂

Sources : un bon nombre de blogs d'utilisateurs WordPress, Six Revisions (une bonne partie de ce billet est traduit de la version anglaise de ce blog).

Pour aller plus loin : thèmes gratuits ou payants nettoyés sur wp-themes-pro

Installation d'extensions sans plugins :