Le premier problème est une vulnérabilité dans la fonction “Press-Minute”, elle a été découverte par Benjamin Flesch. Tandis que le second problème, découvert par Dawid Golunski, est une faille avec le formatage des noms de fichiers pouvant être exploité avec certaines configurations Apache. Merci à eux 2 pour la découverte et le report des cas…

La version française est d’or et déjà disponible, ainsi que l’archive ZIP contenant uniquement les fichiers modifiés est en version francisé. (Cela vous évitera le message de mise à jour…)

Bref, un gain de temps notables, et une raison supplémentaire de rester à jour dès que possible – surtout en ces temps troublés de virus et attaques DoS sur notre plate-forme très populaire…

Malheureusement, le temps passé dans un client FTP reste entier quand il s’agir d’installer WordPress : télécharger, décompresser, mettre en ligne, etc. Heureusement, il existe des projets qui reprennent le principe de la mise à jour automatique, et l’appliquent à l’installation…

WordPress QI

Je vais me la jouer un peu tout en me tirant une balle dans le pied, regardez bien… Le projet WordPress QI (pour Quick-Installer) a été créé par Dion Hulse, australien de son Etat et l’un des principaux participants au code de WordPress, suite à une suggestion que J’AI présentée (là je me la joue) il y a un an, après avoir vu des systèmes d’installation équivalents pour Dotclear et SPIP (et là je me suis tiré une balle dans le pied ), deux autres excellents logiciels open-source et francophones du surcroit.

L’idée est simple : plutôt que de télécharger un zip de 2 Mo, le décompresser et tout remettre en ligne, vous téléchargez simplement un fichier .php de quelques dizaine de kibi-octets, vous le placez sur votre compte FTP, et c’est ce script qui ensuite se chargera de récupérer le zip de WordPress le décompresser directement sur le serveur, et finalement installer le logiciel de A à Z.

Le projet de Dion est encore jeune (seules des version nocturnes sont disponibles pour le moment), mais il offre déjà des options intéressantes, comme par exemple la possibilité de ne pas pré-remplir la base de données avec un article et un commentaire d’exemple, ou de ne pas installer l’extension d’exemple “Hello Dolly”, par exemple. En dehors de cela, le WordPress installé est strictement le même.

Regardez la vidéo pour vous convaincre de la simplicité d’usage de ce projet.

N’hésitez pas à le télécharger et à le tester dans vos différentes configurations : le forum de WordPress QI attend toutes les participations, et son auteur sera heureux de voir que son script facilite la vie des gens !

La Distribution

Voici un projet open-source qui dépasse le simple cadre de l’installation simplifiée de WordPress, mais peut déjà rendre un fier service sur ce domaine. La Distribution est un projet du français François Hodierne (déjà créateur de BlogMarks.net), dont l’objectif est de simplifier “la distribution et la gestion du cycle de vie des applications web”. Dans les faits, à partir du moment où La Distribution est installé chez vous, vous pouvez installer n’importe quelle application reconnue par LD en un clic. Parmi ces applications se trouvent DokiWiki, Gallery, bbPress, MoonMoon, Laconica, SPIP, Habari, RoundCube… et bien sûr WordPress.

On peut se demander en quoi installer une application accélère l’installation d’une autre application… Il faut voir que La Distribution s’installe de la même manière que si vous installiez WordPress via WordPress QI : un fichier .php à mettre en ligne, quelques champs à remplir, c’est fait. Partant de là, en 3 clics (j’ai compté), vous pouvez installer autant d’instances de WordPress que nécessaire — sans compter autant de wiki, galerie, forums ou serveur de micro-blogging que vous pourriez vouloir… Faites le test (pass: demo/demo) !

La Distribution est également un projet jeune mené par un seul développeur (open-source, donc libre à vous de participer), mais il promet déjà beaucoup, et certains sages vont jusqu’à l’appeler “l’Ubuntu des applications Web“. Installez-le, testez-le, et faites remonter vos avis au développeur !

Et ensuite…?

Jonas Luthi, en lisant cet article, nous a signalé son propre projet : WP Express Install repose sur un script PHP faisant appel à des commandes Bash – donc ce n’est pas forcément accessible à tout le monde, mais qui pourrait en satisfaire d’autres. Attention, le script repose largement sur la fonction exec() de PHP, que la plupart des hébergeurs bloquent, donc, procédez avec précaution…

Vous connaissez d’autres outils gratuits permettant de simplifier l’installation de WordPress pour les utilisateurs lambda++ (donc pas SVN) ? Faites-le nous savoir dans les commentaires !

Si vous avez une version pré-2.7, qu’attendez-vous ?

Après 4 versions curatives, qui corrigeaient des failles découvertes voire en cours d’utilisation massive, cette nouvelle version est plus préventive que curative : tandis que le développement de WordPress 2.9 suit son cours (plus d’informations dans un prochain post ici-même), les développeurs ont noté que certains correctifs de sécurité pourraient profiter à la branche 2.8.x, en attendant la 2.9.

Voici donc les correctifs que l’on retrouve dans la 2.8.5 (ainsi que, donc, la future 2.9) :

• Un correctif pour circonvenir à l’attaque en déni de service (DoS) via les rétroliens ;
• Retrait des zone de code où le code PHP dans les variables était évalué ;
• Inversement des fonctionnalités de mise en ligne de fichier : désormais, même les administrateurs ne pourront pas envoyer n’importe quel fichier — sauf réglage dans wp-config.php avec define(’ALLOW_UNFILTERED_UPLOADS’, true) ;
• Mise à la retraite de deux outils d’import de mots-clefs.

Mettez-vous à jour, soit par la fonctionnalité interne, soit en passant par fr.wordpress.org, la seule adresse officielle pour la VF de WordPress !

Taux de rebond, kesako ?

Le taux de rebond est la proportion (exprimée en pourcentage) de visites au cours desquelles l’internaute quitte votre site dès la page d’entrée. On parle alors de pourcentage de visites d’une seule page. Ce taux permet de déterminer la qualité d’une visite. Dans la plupart des cas, on souhaite avoir un taux de rebond faible, afin de croire que sa visite est plus “quali”… Mais est-ce vraiment le cas ?

Petit ou gros taux sur mon blog ?

Le cas d’un blog est particulier. Destiné à présenter du contenu éditorial de manière plus ou moins régulière, les visiteurs fidèles se contentent généralement de lire vos/votre dernier(s) billet(s). Par exemple, si un internaute est abonné au flux RSS, il accède (depuis son Netvibes, Google Reader ou autre) directement au contenu de votre page via le lien d’entrée.

Dans ce cas, notre lecteur fait une visite à une seule et unique page puisqu’il va sur l’article de votre blog, lit son contenu et quitte “généralement” le site. De ce fait, chaque internaute qui procédera de cette façon effectuera un rebond sur votre site. Pareil si votre page contient une vidéo. L’internaute regarde la vidéo puis quitte généralement le site. Ces deux exemples peuvent justifier un taux de rebond élevé. Ce n’est donc pas forcément mauvais et il n’y a pas de quoi s’alarmer (tout dépend une fois de plus de ce que vous présentez et des objectifs que vous souhaitez atteindre avec votre blog). Si votre but est d’avoir des lecteurs fidèles qui lisent le plus possible chacun de vos posts, un taux de rebond élevé ne sera pas forcément signe de contenu catastrophique.

Reste le cas où certaines pages de votre site peuvent avoir un taux de rebond de 100%. Si c’est le cas, cela signifie que tous vos visiteurs ont quitté la page dès qu’ils sont arrivés dessus… Plutôt embêtant, non ? Analysez les mots-clés que tapent les internautes pour arriver sur ces fameuses pages “pas populaires” et vérifiez si c’est cohérent…

Who’s to know?

D’aucun penserait que notre équipe, en tant que tête de gondole de la-dite communauté, aurait toutes ces réponses. Il n’en est rien. Nous n’avons jamais cherché à en savoir plus sur vous, tout simplement parce que chacun est libre de faire ce qui lui plaît avec WP, sans rendre de compte à personne.

Seulement, voilà, nous aimerions aussi faire bouger ce site en même temps qu’évolue la communauté, afin de mieux répondre à ses besoins. Nous avons quelques idées, évidemment, mais globalement nous manquons de données. La communauté francophone de WordPress.com est beaucoup plus facile à comptabiliser, mais nous n’avons pas accès à ces chiffres.

Donc, nous vous proposons un sondage, qui deviendra probablement annuel pour pouvoir faire régulièrement un état des lieux. Oh, il peut sembler un peu long, mais c’est pour des raisons très simples :

• Le formulaire affiche toutes les réponses, sans utiliser de menu déroulant (ce qui ferait gagner du temps de scroll) ;
• De nombreux points sont abordés, afin de mieux cerner le profil global des utilisateurs francophones.

Dans les faits, nous vous demandons au mieux 10 minutes de votre temps, au pire 20 minutes (pour ceux qui doivent réfléchir à chaque question, ou qui mettent une plâtrée de texte pour les questions ouvertes ).

–> LE SONDAGE <–

Rapide mode d’emploi

Ce sondage ne sort pas de l’ordinaire, mais pour éviter les incompréhensions, rappelons que :

• seules les questions sans étoile rouge sont facultatives, celles avec étoile rouge sont obligatoires ;
• certaines questions vous permettent de donner plusieurs réponses, donc cochez toutes les cases qui correspondent à votre cas dans le contexte présenté ;
• en toute bonne logique, vous pouvez ne pas donner de réponse à une question facultative

Sharing is caring!

Pour avoir des statistiques utiles et représentatives, nous avons besoin d’autant de participants que possible : vous, vos amis/clients à qui vous avez installé un blog WP, ceux qui passent pas WP.com ou n’importe quel autre site à base de WP (comme unblog.fr, par exemple), les membres du forums WPFR, etc. N’hésitez pas à propager le lien autant que possible, twittez-le, RT-le (oui oui, RT est devenu un verbe ), Facebookez-le, parlez-en autour de vous, faites un article sur le sujet, etc. Tenez, voici même le mini-lien officiel pour l’occasion : http://tr.im/wpfr2009

Plus il y aura de réponses, plus les résultats seront intéressants. Et vu que nous comptons bien les publier et commenter en intégralité sur le présent blog, les plus curieux d’entre vos se doivent de propager la nouvelle dans tous les comtés de France, de Navarre, de la Belle Province, et partout où une personne francophone blogue avec WordPress.

Sauf formidable participation, nous comptons laisser tourner ce sondage pendant tout le mois d’octobre, donc si vous n’avez pas le temps maintenant de répondre à toutes les questions (10 à 20 minutes, au pire !), gardez l’adresse au chaud jusqu’à un moment de procrastination où vous pourrez perdre du temps utilement

Merci à tous pour votre participation et pour la propagation du sondage dans les parties les plus méconnues de la communauté !

Les anciennes versions de WordPress ( inférieur à la 2.8.4 ) sont susceptibles d’être contaminées par un vers (de type worm). Henri du blog 2803, décrit son fonctionnement : “il simule l’enregistrement d’un nouvel utilisateur, utilise une faille de sécurité connue, puis se cache avec l’aide d’un javascript et enfin intègre du spam et du code malicieux au sein de vos articles.”

Si votre blog est à jour, en version 2.8.4, vous n’avez rien à craindre, cette version est immunisée… Pour les autres, vous devez absolument mettre à jour votre installation.

Pour mettre à jour.

La méthode est toujours la même :

1. Sauvegarder les fichiers via votre client FTP
2. Sauvegarder votre base de données via phpMyAdmin
3. Désactiver toutes les extensions
4. Mettre à jour WordPress (via FTP ou mise à jour automatique)
5. Réactiver les extensions.

Comment savoir si son blog est contaminé ?

3 choses à vérifier…

Les permaliens :

example.com/category/post-title/%&(%7B$%7Beval(base64_decode($_SERVER%5BHTTP_REFERER%5D))%7D%7D|.+)&%/.

Si vos permaliens contiennent le mot “eval” ou “base64_decode”, vous êtes contaminé.

Les utilisateurs :

Vérifier la liste de vos utilisateurs, si vous êtes le seul administrateur, vous devriez n’avoir qu’un seul compte. Si les inscriptions sont ouvertes, vérifier qu’il n’y a pas un compte nommé “Administrator”

Essayer également la requête SQL proposée par Dougal sur son blog. ( dougal.gunters.org )

Pour tester votre base d’articles, exécuter la requête suivante sur votre installation :

SELECT * FROM wp_posts WHERE post_content LIKE '%<iframe%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%<noscript%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%display:%'

Si cette requête SQL renvoie des résultats, vous devez nettoyer chacun des articles contaminés…

Quelques ressources

• Les 10 étapes pour protéger votre console d’administration, par Smashing Magazine
• Comment nettoyer complètement une installation WordPress contaminée
• Un résumé de la situation et des solutions existantes par Lorelle

Le codex traite également du sujet avec la page “Comment nettoyer mon installation après un hacking“.

Bon tout cela n’est pas gratuit… il faut Photoshop, puisque que Divine se présente techniquement comme un plugin pour Photoshop CS3/CS4.

Pour le moment, le projet est disponible en version béta et il dispose d’une “free version”, ce qui veut dire qu’une version pro devrait également être de la partie !

D’un point de vue HTML il ne faudra pas s’attendre à des merveilles, le code généré produit un mélange infect de tableaux HTML et de blocs DIV…

Actuellement tout cela est un peu limité, mais si le projet se développe bien et que le code HTML gagne en qualité alors on pourra imaginer utiliser ce produit pour raccourci la durée de création de thème. Sachant que le thème produit ne peut être que basique et nécessitera probablement une seconde étape de travail

Le pack français est dispo, comme d’habitude dans la page téléchargement de la section WordPress Mu.

Mise à jour : Pour le coup, je regrette de ne pas avoir été en retard, Donncha, le mainteneur de WordPress Mu a oublié une ligne lors de l’application du correctif de WordPress 2.8.4. Du coup il a sorti une version 2.8.4a 30 minutes après la version 2.8.4

Celle-ci remplace la version 2.8.4 qui est dispo sur le SVN…

Après une version 2.8.2 et 2.8.3 corrigeant des problèmes de sécurité dans la console d’administration, l’équipe de développeur a découvert une vulnérabilité assez gênante… (et non une faille)

En effet en jouant avec les paramètres de la page de connexion, il est possible pour un hackeur de forcer l’envoi de l’email de la fonctionnalité “mot de passe oublié ?”, et d’en générer un nouveau de ce fait.

Cela ne veut pas dire que le hackeur obtient le mot de passe, en fait le mot de passe est uniquement envoyé à l’adresse e-mail du compte visé. Bien entendu, le compte “admin” est le plus touché par ce problème… car c’est le compte par défaut!

Ici nous avons affaire à un bug gênant, mais pas réellement dangereux en soi…

Le problème a été corrigé et testé dans la nuit, n’attendez pas pour mettre à jour votre version de WordPress. J’ajouterai une recommandation concernant la sécurité de votre blog, créer vous un deuxième compte administrateur et supprimer le compte “admin” par défaut… C’est celui-là qui est généralement utilisé par les hackeurs

La version française est d’ores et déjà disponible !

Pour ma part, j’ai eu un grand coup de flip hier, car j’ai reçu des nouveaux mots de passe pour plusieurs de mes blogs, mais aussi des blogs assez connus de la blogosphère française que j’administre ponctuellement… Pour le coup j’ai changé tous mes mots de passe d’emails, de blogs, et j’ai aussi supprimé tous mes comptes “admin”.

Quel soulagement cette vulnérabilité !

Commençons avec de l’actu ancienne, WordPress 2.8.3 est sorti la semaine dernière, elle finit de corriger la faille de sécurité trouvée dans WordPress 2.8.1… De ce fait, la mise à jour vers cette version est chaudement recommandée !

Pour info, la version française était disponible en mise à jour automatique et sur l’espace téléchargement (fr.wordpress.org) seulement 90 minutes après la version US, remercions Xavier qui m’a averti quasiment en temps réel tout en étant en vacances !

Pour l’occasion, j’ai mis en place une nouvelle routine pour améliorer la traduction, principalement pour corriger les erreurs de typos et les fautes d’orthographe, résultat… plus de 100 fautes corrigées sur les 2000 et quelques chaines que contient la traduction ! Si vous en trouvez encore, un e-mail : traduction AT wordpress-fr.net !

Sortie de WordPress MU 2.8.3

Alors oui je sais… ou sont les VF de la version 2.8, 2.8.1 et 2.8.2 de WordPress Mu ? Et bien il y en a pas !

Faute de temps pour gérer les traductions de WordPress et WordPress Mu, j’ai pris un peu de retard sur WordPress Mu et ce fut finalement une bonne chose car 3 versions mineures sont sorties en peu de temps, ainsi je me suis évité le triple de travail !

En fait, il faut savoir que nous disposons d’un mécanisme très sympa pour les traductions de WordPress depuis une petite année… malheureusement, rien n’est en place pour les traductions de Mu, bbPress par exemple. De ce fait, il y a un peu plus de travail à chaque version, chose qui peut expliquer les délais plus longs !

Revenons à WordPress Mu 2.8.3, celui-ci est synchronisé avec la version de WordPress portant le même numéro de version, autrement dit même fonctionnalités, même corrections de sécurités, le multi-blogs en plus pour WPmu

La traduction française de WPmu profite des mêmes corrections que WordPress et même un peu plus

Pour le téléchargement, il suffit de vous rendre sur la page de téléchargement de WordPress ou WordPress Mu selon ce qui vous intéresse !