Conception et exploitation du site Internet
Alternatives à WordPress inspirées des vulnérabilités PHP
Comparez s’il faut continuer avec WordPress ou passer à un site statique ou à un CMS géré. Nous expliquerons le WAF de Cloudflare, le formulaire de demande et des exemples de tarification pour un usage général et en entreprise avec des illustrations.
Après avoir expérimenté la réponse aux vulnérabilités de WordPress, certaines personnes peuvent se demander : « Pouvons-nous continuer à fonctionner avec le même système ? » Même si vous recherchez une nouvelle destination, il existe de nombreux termes techniques et il peut être difficile de comprendre ce qui va changer.
Cet article explique comment continuer à utiliser WordPress et comment passer à un système différent pour les personnes qui gèrent des blogs personnels, des sites de loisirs et des sites d'entreprise. Nous présenterons également des mesures de sécurité, des formulaires de contact et des directives de prix lors de l'utilisation de Cloudflare.
Quitter WordPress n’est pas la solution pour tous les sites. En triant les « fonctions nécessaires », « personne qui fera la mise à jour » et « personne responsable de la maintenance », vous pourrez trouver la méthode qui vous convient.
Cet article est une comparaison et une considération de conception basées sur des documents officiels. Il ne présente pas les résultats réels du travail de migration, de la reproduction des attaques ou de la réduction des coûts.
Le problème cette fois-ci vient de PHP, qui est le fondement de WordPress.
WordPress est un logiciel de publication et de gestion d'articles. L'un des mécanismes prenant en charge cette opération est PHP, qui s'exécute sur le serveur.
En octobre 2026, les vulnérabilités graves suivantes dans PHP ont été annoncées. Une vulnérabilité est une faiblesse d'un logiciel qui peut être exploitée lors d'une attaque.
- CVE-2026-109618 :Lorsque le traitement est interrompu en raison d'une mémoire insuffisante, le post-traitement gère les données internes incomplètes.
- CVE-2026-109619 : Un problème où les informations internes pointant vers la mémoire qui a été utilisée demeurent et les requêtes ultérieures font référence aux anciennes informations.
Les conditions peuvent permettre à des parties externes d'exécuter du code arbitraire sur votre serveur. Il s’agit d’un problème distinct de WordPress lui-même, donc en plus de mettre à jour WordPress et les plugins, vous devez également rechercher des correctifs du côté PHP.
Les versions dans lesquelles le correctif a été fourni pour la première fois sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Veuillez vérifier les instructions de votre société d'hébergement ou de votre fournisseur de système d'exploitation pour obtenir une assistance réelle. En plus du numéro de version, vous devez vérifier si le fournisseur a appliqué des correctifs.
Référence : IPA : vulnérabilités et contre-mesures PHP actuelles / officiel PHP : traitement du MOO problème ／ Responsable PHP : problème avec l'ancien état interne restant
Tout d’abord, vérifiez l’état de compatibilité du service que vous utilisez et appliquez les corrections nécessaires. Une enquête et une récupération sont également nécessaires si une violation est suspectée. Le simple fait de passer à un autre service ne signifie pas que l'infraction existante a été résolue.
Avant de chercher une alternative, organisez le style de rédaction de votre article et les fonctionnalités requises
Ce par quoi j'aimerais commencer ma comparaison, c'est la façon dont je mets à jour habituellement. Voulez-vous écrire depuis votre smartphone ou pouvez-vous modifier le fichier sur votre ordinateur ? Avez-vous besoin de commentaires, d'inscription d'adhésion et de fonctions de vente ? Vos options changeront en conséquence.
Option 1 : Continuer avec WordPress et revoir la maintenance
Si vous trouvez l’écran d’édition actuel et les fonctionnalités confortables à utiliser, vous avez la possibilité de continuer. Les plugins sont des composants qui ajoutent des fonctionnalités. Décidez qui sera en charge de la mise à jour de l'unité principale, des plugins, du thème et de PHP, ainsi que de la procédure de restauration à partir d'une sauvegarde.
Lorsque vous confiez la maintenance à une société de maintenance ou à un service géré, vérifiez l'étendue du travail, notamment s'ils seront en mesure de gérer les problèmes de plug-in et la récupération.
Référence : Guide de sécurité officiel de WordPress
Option 2 : Utiliser un CMS géré ou un service de création de site
Le CMS est un système qui permet de créer et de gérer des articles depuis un navigateur. S'il s'agit d'un service géré, vous pourrez peut-être confier la maintenance des serveurs, etc. à l'opérateur. L'étendue de la responsabilité varie en fonction du service.
En plus de l'écran d'édition, de la facilité d'utilisation en japonais, des fonctions nécessaires et des tarifs, nous vérifierons si vous pouvez exporter des articles et des images et passer à un autre service. Nous ne classerons pas ici des services spécifiques en termes de sécurité.
Option 3 : en faire un site statique
Un site statique est une méthode de distribution de pages prédéfinies. Les sites publiant principalement du texte et des images sont candidats. En revanche, l’écran de comptabilisation doit être préparé séparément.
Il existe des moyens de modifier directement des fichiers de page appelés HTML, d'utiliser des outils qui génèrent des pages à partir de manuscrits et de les combiner avec un CMS pour l'édition. Plus vous compensez par la facilité de mise à jour, plus vous devez entretenir de mécanismes.
Cloudflare propose des services pour la distribution de pages et des mesures de sécurité, mais la simple sélection de Pages ou de Workers Static Assets ne fournit pas d'écran de publication comme WordPress. « Comment rédiger des articles » et « où distribuer les pages » sont considérés séparément.
| Ce sur quoi je veux me concentrer | Orientation à considérer |
|---|---|
| Vous souhaitez publier facilement sur votre smartphone ou votre navigateur ? | CMS facile à utiliser avec écran de continuation ou d'édition WordPress |
| Je souhaite que plusieurs personnes modifient et approuvent | CMS avec fonctions de gestion des autorisations et d'approbation |
| Principalement du texte et des images, et les fichiers peuvent également être modifiés. | HTML statique ou outil de génération de pages |
| Historique d’adhésion/paiement/achat requis | Pensez à inclure des services dédiés et un traitement dynamique |
Réduisez les attaques à l'avance avec le WAF de Cloudflare
Cloudflare dispose d'un WAF qui inspecte les communications suspectes avant le site. Il joue un rôle similaire à celui de la sécurité dans un bureau de réception et peut bloquer les communications qui ressemblent à des attaques connues et restreindre l'accès par source ou par nombre d'envois.
Free a des règles pour certaines menaces, et Pro et supérieur ont un plus large éventail de règles gérées. Les règles gérées sont des règles de jugement préparées et mises à jour par Cloudflare. Les contre-mesures DDoS sont des contre-mesures contre les attaques qui rendent un site inutilisable en raison d'un trafic important.
Les règles de protection pour cette vulnérabilité PHP ont également été rendues publiques. Cependant, il existe des conditions d'application en fonction des paramètres, et il s'agit d'une contre-mesure contre les attaques connues. Il n’est pas possible de conclure que si vous utilisez Cloudflare, vous n’avez pas besoin de mettre à jour PHP.
Référence : Comparaison des fonctionnalités WAF / Contre-mesures et conditions WAF pour cette vulnérabilité PHP
Si le serveur d'origine est situé séparément, des mesures sont également nécessaires pour empêcher le contournement du WAF en accédant directement à ce serveur. Même pour les sites statiques, tenez compte des problèmes tels que le détournement de comptes publics, les problèmes avec les services externes et les soumissions de formulaires non sollicitées.
Faites simplement une demande et laissez Cloudflare s'en occuper.
Cela ne signifie pas que vous ne pouvez pas vous renseigner sur un site statique. La page reste statique et vous pouvez ajouter un traitement uniquement à la partie qui accepte les demandes de renseignements.
Workers est un service qui exécute de petits programmes tels que la réception de formulaires sur Cloudflare. Turnstile est un mécanisme permettant de réduire les envois par des robots, et le Service de messagerie est responsable de l'envoi des e-mails de notification.
L'envoi d'un e-mail est gratuit si vous souhaitez simplement notifier une adresse d'administrateur vérifiée. Pour répondre automatiquement aux demandeurs, utilisez l'envoi d'e-mails et les travailleurs payés, qui peuvent être envoyés à n'importe quel destinataire. L'envoi d'e-mails est en version bêta au moment de la confirmation des informations.
Le Email Routing est un service qui transfère les e-mails adressés à votre propre domaine vers votre boîte de réception existante. Il ne fournit pas de boîte de réception en soi pour lire les e-mails. De plus, notifier l'administrateur à partir d'un formulaire et transférer des e-mails vers votre propre domaine sont des fonctions distinctes.
Afin d'éviter de perdre des demandes, nous concevons également des conseils en cas d'échec de transmission, le traitement des retransmissions et la confirmation de réception. Il est également important de ne pas demander trop d’informations confidentielles dans un formulaire et de décider où les sauvegarder, qui peut les consulter et combien de temps elles seront conservées. Si vous disposez d'un service de messagerie existant, assurez-vous de ne pas modifier accidentellement les paramètres DNS qui déterminent les destinataires.
Le tourniquet nécessite JavaScript dans votre navigateur. Nous vous proposerons des méthodes de contact alternatives afin que vous puissiez nous contacter même si la demande n'est pas valide ou si la transmission échoue. Le texte du site et la table des matières peuvent être séparés du formulaire et configurés pour être lisibles en HTML standard.
Référence : Comment valider Turnstile / Présentation du service de messagerie / Configurer le transfert d'e-mails
Combien cela coûte-t-il pour un usage général/professionnel ?
Ce qui suit est un exemple de configuration supposant un site statique avec un domaine et un petit formulaire de demande. N'inclut pas les services supplémentaires tels que l'écran de publication CMS, les fonctions d'adhésion/paiement, le stockage des pièces jointes, le suivi/renvoi. Si vous souhaitez conserver WordPress, vous devrez payer le serveur séparément.
Les montants sont en dollars américains au 25 octobre 2026. Les taxes, les taux de change, l'acquisition et le renouvellement de domaines uniques, de boîtes de réception ainsi que les coûts de main-d'œuvre pour la production et la maintenance ne sont pas inclus. Considérez-le comme « frais mensuels minimum + montant au-delà de l'utilisation incluse ».
Utilisation générale : si vous souhaitez uniquement avertir l'administrateur, commencez par le niveau gratuit.
Pour les blogs personnels, les sites de loisirs, etc., ce serait bien de pouvoir voir les demandes dans votre propre boîte de réception. Il n'y aura pas de réponse automatique et le résultat de la transmission sera affiché à l'écran.
| Objectif | Quoi utiliser | Frais mensuels estimés |
|---|---|---|
| Livraison des pages | Pages／Workers Static Assets | $0 |
| Mesures de sécurité à l'entrée | Forfait gratuit pour site Web | $0 |
| Mesures anti-bots | Turnstile Free | $0 |
| Réception des demandes | Workers Free | 0 $ (dans le niveau gratuit) |
| Notification de l'administrateur | Envoyer à la destination confirmée | $0 |
| Total approximatif | 0 $ (niveau gratuit/limité) | |
Le fait que l’offre gratuite soit suffisante dépend non seulement du nombre d’accès, mais également du temps de traitement et de mise en œuvre. Même si l'e-mail de notification à l'administrateur est gratuit, il existe d'autres restrictions sur l'exécution du programme de réception.
Utilisation en entreprise : ajoutez une réponse automatique et un WAF payant
Il s'agit d'un exemple de renvoi d'un e-mail de réception au demandeur et d'utilisation de règles WAF plus larges. Cela ne veut pas dire que vous avez nécessairement besoin de ce plan simplement parce que vous êtes une entreprise. Choisissez en fonction du rôle du site et de l'impact de la panne.
| Objectif | Quoi utiliser | Paiement mensuel estimé |
|---|---|---|
| Livraison des pages | Pages／Workers Static Assets | $0 |
| WAF payant, etc. | Forfait Site Web Pro | $25 |
| Mesures anti-bots | Turnstile Free | $0 |
| Réception/Réponse automatique | Workers Paid＋Email Sending | Minimum 5$ |
| Notification de l'administrateur | Envoyer à la destination confirmée | $0 |
| Total approximatif | Minimum 30 $/mois + utilisation excédentaire | |
Workers Paid comprend une allocation mensuelle d'envoi d'e-mails de 3 000 e-mails avec un prix de base de 5 $/mois minimum. Le dépassement est de 0,35 $ pour 1 000 e-mails. Les envois aux administrateurs confirmés ne sont pas inclus dans ce cadre. Étant donné que les renvois et d'autres fins utilisent également le quota d'envoi, il n'y a aucune garantie que nous serons en mesure de recevoir 3 000 demandes.
Comparatif incluant le paiement annuel et Business
| Exemple de configuration | Frais mensuels de base | Conversion mensuelle pour un forfait de site Web payé annuellement |
|---|---|---|
| Usage général : Gratuit + Travailleurs Gratuits | 0 $ (dans le niveau gratuit) | 0 $ (dans le niveau gratuit) |
| Ajouter une réponse automatique : Gratuit + Travailleurs payés | Minimum 5$ | Minimum 5$ |
| Exemple d'utilisation en entreprise : Pro+Workers Paid | Minimum 30$ | Valeur minimale de 25$ |
| Si les exigences sont strictes : Entreprise + Travailleurs rémunérés | Minimum 255 $ | Valeur minimale de 205$ |
Les paiements annuels pour Pro sont de 240 $/an et les paiements annuels pour Business sont de 2 400 $/an. Un minimum de 5 $/mois pour les travailleurs et l'utilisation excédentaire seront facturés séparément. Il ne s’agit pas d’un contrat dans lequel vous payez chaque mois le montant mensuel équivalent indiqué dans le tableau.
Les entreprises disposent d'un SLA (accord contractuel concernant la disponibilité) pour les forfaits de sites Web, mais celui-ci ne garantit pas l'intégralité du système, y compris le traitement des formulaires et l'envoi des e-mails. Si un fonctionnement continu est important, évaluez la détection des pannes, la récupération après panne et la gestion des fonctionnalités bêta.
Workers Paid est un plan pour l'exécution de programmes, etc. Pro/Business est un plan pour des sites Web tels que WAF. Même si vous vous abonnez à Workers Paid, le WAF payant n’est pas automatiquement attaché.
Les demandes de fichiers statiques sont gratuites et illimitées, mais il existe des restrictions sur le nombre de fichiers, la capacité, etc. WAF est supposé être défini sur un itinéraire applicable tel que le propre domaine de la cible, et des précautions doivent être prises lors de l'accès à partir d'une autre URL publique.
Avant de migrer, vérifiez s’il y aura des problèmes avant de considérer le prix.
Si la mise à jour à chaque fois devient un fardeau après la migration, il sera difficile de continuer à utiliser le site. Nous pensons que c'est une bonne idée d'essayer d'abord de publier un petit nombre d'articles.
- Mise à jour :La personne responsable peut-elle rédiger l'article, ajouter des images et le publier ?
- Page existante : l'URL précédente peut-elle être conservée ? Si je souhaite la modifier, puis-je être guidé/redirigé depuis l'ancienne URL ?
- Fonctions jointes :Comment transférer les commentaires, la recherche, les catégories, les flux RSS, les formulaires, etc.
- Récupération : si vous publiez un contenu incorrect, pouvez-vous revenir à l'état précédent ?
- Exporter : les articles et les images peuvent-ils être sauvegardés et déplacés ailleurs à l'avenir ?
- Gestion : le compte peut-il être géré par plusieurs personnes ? Puis-je configurer une authentification multifacteur ?
Il existe également un moyen de continuer à utiliser WordPress et de mettre en place un système de maintenance. Vous pouvez confier cette tâche à un service géré ou rendre le côté publication statique. Je souhaite sélectionner la configuration qui convient à mon site en vérifiant les fonctions nécessaires et l'étendue des mises à jour et de la maintenance continues.
L'illustration est un schéma explicatif créé pour cet article. Les prix et conditions de mise à disposition sont susceptibles de changer.