Un plugin manipule des requêtes, des capacités, des données et parfois des fichiers. L'IA peut parcourir rapidement le code et préparer une liste de contrôles, mais elle ne remplace ni l'exécution ni les standards WordPress.
Préparer l'audit
Travaillez sur une copie, identifiez les versions minimales de PHP et WordPress, puis lancez les tests existants. Fournissez à l'agent les règles officielles et limitez son premier passage à la lecture.
Checklist de sécurité
Capacités et nonces
Chaque action privilégiée doit vérifier la capacité de l'utilisateur. Un nonce protège contre la falsification de requête, mais ne constitue pas une autorisation.
Entrées et sorties
Validez les données selon leur forme attendue, assainissez-les avant stockage et échappez-les au moment de l'affichage. Vérifiez HTML, attributs, URL, JSON et SQL séparément.
Base de données
Recherchez les requêtes concaténées, utilisez $wpdb->prepare() et contrôlez les noms de table ou clauses qui ne peuvent pas être paramétrés directement.
Téléversements et chemins
Contrôlez type, taille, nom, droits et emplacement. Refusez les traversées de répertoire et ne rendez jamais un fichier exécutable dans uploads.
Qualité et compatibilité
Inventoriez les hooks, tâches planifiées, options autoloadées, appels distants et scripts chargés. Vérifiez la désinstallation, les traductions, les licences et la déclaration des dépendances.
Testez l'activation, la désactivation, la mise à jour et le multisite si le plugin le supporte. Un audit statique ne révèle pas les doubles hooks ni les migrations lentes.
Comment utiliser l'IA correctement
Demandez un tableau fichier / ligne / risque / preuve / correction / test. Rejetez les conclusions sans référence au code. Faites appliquer les correctifs par petites séries, avec un test ciblé pour chaque vulnérabilité.
Le guide WordPress et IA pour développeurs présente les usages généraux ; cette méthode se concentre sur l'audit reproductible.
Vérifier les performances
Recherchez les requêtes répétées, les options volumineuses chargées automatiquement, les appels HTTP dans le rendu et les tâches planifiées trop fréquentes. Mesurez une page avec et sans le plugin : temps serveur, requêtes SQL, mémoire et taille des assets.
Un agent peut signaler une boucle suspecte, mais seul un profilage confirme son coût réel. Conservez les mesures avant et après correction.
Contrôler les mises à jour
Une mise à jour doit préserver les données, gérer les migrations de schéma et rester compatible avec une interruption. Vérifiez que la version de base de données est distincte de la version du plugin et que les migrations sont idempotentes.
Format de rapport conseillé
Classez les constats en critique, important et amélioration. Pour chaque point, ajoutez la preuve, le scénario d'exploitation ou d'échec, la correction minimale et le test de non-régression. Les remarques purement stylistiques ne doivent pas masquer un défaut de capacité ou d'échappement.
Checklist finale
- Capacités vérifiées avant chaque action sensible.
- Nonces présents sur les actions avec effet de bord.
- Entrées validées et assainies ; sorties échappées au bon contexte.
- Requêtes SQL préparées.
- Téléversements et chemins bornés.
- Désinstallation respectueuse des données.
- Tests sur les versions PHP et WordPress annoncées.
- Aucun secret ni dépendance non autorisée dans l'archive.
quel controle devrait etre obligatoire avant d'installer ou de mettre a jour un plugin WordPress analyse avec l'IA ?
Publié dans la discussion