Les récents malheurs de WordPressSemant la panique parmi les communautés en ligne qui dépendent de la plateforme. à l'heure actuelle,Plus de 40 % des sites Web en ligne le sontUtilisez WordPress. Aujourd'hui, un consortium de contributeurs WordPress de haut niveau et la Linux Foundation lancent un réseau commun de distribution de mises à jour et de plugins visant à éliminer ce qu'ils appellent une vulnérabilité critique de « sécurité de la chaîne d'approvisionnement » au cœur du système de site Web le plus utilisé au monde.
Le projet de gestionnaire de packages FAIR, qui sera annoncé lors d'une conférence en Suisse plus tard dans la journée, permettra aux sociétés d'hébergement de sites Web et aux grandes organisations d'exécuter leurs propres mises à jour principales, plugins, thèmes et images de serveur de traduction WordPress. Cette décision remplacera le recours à WordPress.org - un domaine contrôlé par le PDG d'Automattic, Matt Mullenweg.
Les partisans affirment que le nouveau système améliorera la sécurité, réduira les coûts et ouvrira de nouvelles opportunités commerciales pour les logiciels d'hébergement Web sur lesquels comptent des millions de personnes.
Le projet a été lancé plus tôt cette année en réponse à la décision controversée de Mullenweg. En septembre, il a coupé l’accès au populaire fournisseur d’hébergement WordPress WP Engine, l’accusant d’avoir détourné des centaines de millions de dollars de la plate-forme open source sans en rendre suffisamment. Il a également accusé l’entreprise de violer les droits de marque de WordPress et de semer la confusion. En conséquence, environ 150 employés ont quitté Automattic après que Mullenweg ait proposé des rachats aux employés qui n'étaient pas d'accord avec sa gestion de l'entreprise.
"En octobre, lorsque Automattic a repris certaines fonctionnalités du produit WP Engine au sein de l'écosystème, nous avons reçu des appels des conseillers juridiques en chef de certains de nos clients, tous de grandes entreprises, nous disant qu'il s'agissait d'un problème de sécurité de la chaîne d'approvisionnement", a déclaré Karim Marucchi, PDG de l'agence d'entreprise Crowd Favorite et l'un des sponsors du projet.
À peu près au même moment, Joost de Valk, fondateur de Yoast SEO, a tenté de communiquer avec Mullenweg. Même si de Valk reconnaît que WordPress a besoin d’une part plus équitable des contributions, il n’est pas d’accord avec l’approche de Mullenweg. "Nous n'avons pratiquement eu aucun contact après cela parce que je n'étais pas d'accord avec lui", a déclaré de Valk.
L’un des principaux problèmes est que chaque site Web WordPress s’appuie sur WordPress.org pour les mises à jour et l’expansion. "Lorsque nous avons commencé à travailler sur ce problème, nous avons réalisé qu'il y avait beaucoup de choses dans l'ensemble de l'écosystème que nous ne pouvions pas contrôler", a déclaré de Valcke. "Une chose que tout le monde a remarquée est que WordPress.org ne fait pas réellement partie de la Fondation WordPress, mais appartient à Matt, et il l'utilise de plusieurs manières comme son propre site Web privé."
Mary Hubbard, directrice exécutive de WordPress, note que les utilisateurs ont toujours eu le contrôle sur la manière dont leur site est mis à jour et sur la provenance des mises à jour – une flexibilité qui existe depuis les débuts de WordPress. « La beauté de WordPress et de l’open source est que les utilisateurs ont un contrôle total sur la façon de l’exécuter et de modifier son fonctionnement. »
Le système FAIR propose une alternative entièrement compatible avec WordPress mais fonctionnant indépendamment de WordPress.org. "C'est toujours entièrement WordPress", a déclaré de Valk, "juste une distribution différente". FAIR n'est pas un fork de WordPress, mais fournit plutôt des composants serveur que tout le monde peut exécuter. Selon Marucchi, plus de 100 contributeurs provenant de plus de 10 organisations ont été impliqués dans la construction de FAIR au cours des six derniers mois. Le groupe a demandé à la Linux Foundation d'assurer une surveillance neutre.
Hubbard a souligné que certains grands hébergeurs (tels que Newfold/Bluehost) ont implémenté une mise en miroir personnalisée dans le passé et a souligné que le système de mise à jour de WordPress a toujours permis aux utilisateurs de modifier la source de mise à jour. "Il est important que les utilisateurs, quel que soit leur fournisseur d'hébergement, sachent d'où proviennent les mises à jour et aient la possibilité de les modifier", a-t-elle déclaré.
Mike Dolan, vice-président senior des programmes juridiques et stratégiques à la Linux Foundation, a déclaré : « WordPress est une infrastructure essentielle pour les communications et pour les organisations qui en dépendent pour gérer des sites Web, la gestion de contenu, des blogs et des médias. Pour maintenir un système comme celui-ci, vous avez besoin d'un backend fiable.
Pour éviter la centralisation, la Linux Foundation a créé un comité directeur technique coprésidé par Carrie Dils, Mika Epstein et Ryan McCue, dirigeants de longue date de WordPress. McCue, l'architecte de l'API REST WordPress, appelle FAIR « une plate-forme qui alimentera la croissance de WordPress pour les décennies à venir », notant que la communauté a été « divisée » et doit être réunie.
Dolan est d'accord. "Ce que je trouve le plus intéressant, c'est le côté naturel", a-t-il déclaré. "C'est un produit de la communauté. Les gens qui ont consacré leur vie à la communauté WordPress nous font appel pour la construire et veulent travailler ensemble."
Jory Burson, vice-président des normes à la Linux Foundation et participant au projet, espère que cette décision « réintroduira et revigorera la communauté ». Le moral de la communauté est actuellement bas, a-t-elle ajouté. "Je pense que cela va vraiment enthousiasmer les gens et, espérons-le, aider certains à faire une pause dans cette négativité et ce drame. Nous voulons mettre en lumière l'avenir très positif que WordPress a encore."
Bien que FAIR soit né du mécontentement suscité par le contrôle d'Automattic sur WordPress.org, ses partisans insistent sur le fait qu'il ne s'agit pas d'un fork concurrent. "Lorsque nous sommes montés sur scène vendredi, ce qui est sorti de notre bouche était : 'Nous allons rendre ce code disponible à Automattic, WP Engine, GoDaddy, Newfold — tout le monde.'", a déclaré Marucci.
Si le réseau est largement adopté, les développeurs pourraient publier des plugins gratuits et premium dans le même package de signature, ce qui est actuellement interdit par la base de code officielle de WordPress. "Cela ouvre la porte à l'innovation", a déclaré de Valk, "facilitant la création d'une entreprise autour des plugins et offrant une expérience utilisateur exceptionnelle."
Pourtant, Hubbard a souligné que la fragmentation de l’infrastructure principale de WordPress pourrait créer plus de problèmes qu’elle n’en résoudrait, comme perturber le processus de mise à jour, augmenter la charge du serveur et briser la télémétrie du plugin utilisée pour assurer la compatibilité. "Si ce travail aboutit à des améliorations, telles que des mises à jour de signatures ou un meilleur système de secours, nous y sommes ouverts", a-t-elle déclaré. "Mais nous devons aborder cet effort avec la même prudence à long terme que nous l'avons fait auparavant."
La base de code FAIR est en ligne sur GitHub et accepte les contributions. La participation d'Automattic est incertaine ; Quoi qu’il en soit, l’équipe du projet prévoit d’aller de l’avant. "Nous avons affaire à une communauté qui a été confrontée à des problèmes de confiance dans le passé et qui recherche la stabilité", a déclaré Dolan. "Ils recherchent la neutralité. Ils ont des choses qu'ils veulent accomplir."