WordPress est l'outil de gestion de contenus (CMS) le plus en vogue depuis des années, avec pas moins de 36% des sites web du monde réalisés via la plateforme (en ligne avec wordpress.com ou développé avec l'outil de wordpress.org). Il est donc évident que de nombreux articles, livres et vidéos évoquent WordPress en faisant ressortir toutes ses qualités. Parallèlement, la mode du blogging a entraîné la recrudescence d'articles listant les meilleures extensions (plugins) de WordPress, à la limite du "putaclic" dans certains cas, tout cela pour attirer le chaland.
Cet article a pour but de démontrer que derrière les articles des "Top plugins WordPress", il n'y a qu'une volonté d'attirer du visiteur, sans forcément gratter plus loin. Le problème n'est pas en soi de faire des listings d'extensions du CMS, mais plutôt de ne pas chercher à savoir si ces fameux plugins méritent vraiment leur place dans les classements tant vantés. En effet, il existe plus de 57000 plugins référencés dans le catalogue WordPress à l'heure d'écrire ces lignes (et on ne compte pas ceux qui ne sont pas dessus...), donc il semble relativement réducteur de réduire cela à des tops 10 ou 20 des meilleures extensions WordPress. Pire encore, il arrive que des plugins finalement pas si "propres" que cela se glissent dans ces classements, au-delà de leurs qualités intrinsèques bien entendu.
Nous pouvons donc faire ressortir deux problèmes majeurs de ces classements arbitraires :
- Peu de véritable recul est pris dans les classements, et il s'avère très fréquent que les "top 10 des meilleures extensions WordPress" ne soient que des redites d'autres classements, à une ou deux extensions près. Il conviendrait à minima de voir des classements vraiment différents, pas uniquement basés sur le nombre de téléchargements ou d'installation, ou pire, sur les notes qui ne veulent pas toujours dire grand chose (pour l'anecdote, j'ai pris un 1/5 sur un de mes extensions car j'avais oublié de traduire en anglais un "oui/non" au milieu de dizaines d'options, alors autant dire que les mauvaises notes peuvent vite tomber sans raison valable...).
- Des plugins WordPress peut-être plus méritants passent à la trappe, malgré toutes leurs qualités (en matière de sécurité, de propreté du développement, de fonctionnalités...).
Nous allons faire un tour d'horizons des points à surveiller lorsque vous choisissez une extension WordPress, tout en insistant sur des exemples concrets de plugins renommés qui ne sont pourtant pas toujours si propres que cela...
Pourquoi se méfier des meilleurs plugins WordPress annoncés ?
Dans les faits, trois raisons principales ressortent quand
- Problème de sécurité : de nombreux plugins sont attaqués et il s'avère que même les meilleurs d'entre eux en la matière ne se montrent pas toujours à la hauteur (ou en tout cas pas meilleur que des extensions équivalentes bien moins renommées). Ajoutons à cela que plus une extension est connue, plus elle s'expose à des attaques. En effet, les pirates préfèrent embêter des milliers de personnes plutôt que quelques centaines. Je nuance toutefois ce point car cela signifie aussi que les développeurs feront les efforts nécessaires pour limiter au maximum les failles de sécurité, là où un plugin moins réputé ne ferait peut-être pas autant d'effort.
- Problème de performances et gestion des fichiers : moult plugins freinent clairement les performances web voire injectent des fichiers ou des tables de bases de données (BDD) sans les nettoyer. Certaines extensions proposent des options de nettoyage mais il n'est pas rare de retrouver des fichiers ou des tables de BDD errant dans les WordPress plusieurs années après leur suppression... En outre, on ne compte plus les plugins WordPress qui usent et abusent de Javascript, sans forcément réfléchir aux conséquences que cela peut engendrer sur les performances des sites web. Un peu d'optimisation de ce côté là ne peut pas nuire... :-$
- Problème de fonctionnalités : l'objectif premier de l'installation d'une extension revient à ajouter des fonctionnalités dans WordPress, mais la mode est développer des plugins Premium, et de proposer une version Freemium (obligatoire pour être présent dans le répertoire WordPress...) qui ne contiennent quasiment rien d'utile pour les usagers. Heureusement, certains concepteurs jouent le jeu et proposent des versions gratuites de très bonne facture, avec des versions payantes étendues (je ne ferai pas le tour mais je pense notamment à des plugins comme SEOpress, Polylang ou Advanced Custom Field par exemple, qui ont des versions gratuites excellentes, et des versions pros fort intéressantes).
N'hésitez donc pas à gratter dans des extensions moins réputées qui proposent parfois tout ce qu'il vous faut sans payer, et sans surcharger le code ou la base de données avec des fonctionnalités inutiles ou contre-productives (notamment en matière de performance). N'oubliez pas non plus que si vous faites un site multilingue, il est courant de tomber sur des extensions non traduites qu'il faudra vous-même adapter dans les langues qui vous intéressent (après tout, les développeurs ne sont pas forcément des interprètes ^^).
Comment savoir si une extension WordPress est vraiment au top ?
Tout l'enjeu d'une analyse approfondie est de savoir déterminer quelles extensions WordPress méritent vraiment d'être classées dans les top des meilleurs plugins. Pour ce faire, vous pouvez déjà vous référer à d'autres spécialistes ou articles qui mettraient en exergue les failles de ces outils, que ce soit en termes de sécurité, de performance ou de fonctionnalités (généralement, la version gratuite est attaquée, rarement la version Premium plus complète). Dans un second temps, il suffit d'observer quelques points :
- Que se passe-t-il dans la base de données si vous supprimez l'extension ? Si des tables de bases de données persistent, le plugin ne fait pas son travail correctement et laisser trop de traces, avec les risques que cela peut comporter (failles, performances, poids de la BDD...). Vous pouvez bien sûr nettoyer cela à la main, ou vérifier si une option désactivée par défaut permet de supprimer les traces en cas de désactivation/suppression de l'extension.
- Que se passe-t-il sur le serveur si vous supprimez l'extension ? Si des fichiers subsistent (souvent dans les répertoires "wp-content" ou "wp-content/uploads"), alors vous avez un élément de réponse. Un simple nettoyage manuel via Filezilla ou WinSCP (pour ce citer qu'eux...) peut suffire.
- Vérifiez les performances du site web avant et après : utilisez des outils comme Pagespeed Insights, web.dev, GTMetrix ou encore les outils de développements des navigateurs (onglet "réseau" notamment) pour vérifier avant et après l'installation d'une extension si les performances sont nettement amoindries. L'idée ici est de le faire quand l'extension
- Analysez les méfaits du plugin installé : nombre de plugins ne respectent pas les normes d'accessibilité ou le B.A.BA du code ou du SEO. Par exemple, il est ahurissant de constater le nombre d'extensions de galeries photos, de diaporamas ou de portfolios qui ne respectent même pas les principes du W3C et de l'accessibilité en n'ajoutant aucun attribut "alt" pour les images. Ce n'est qu'un exemple simple, mais fondamental à bien des égards, et seule une observation visuelle permet de s'en assurer.
L'exemple de Wordfence Security et de All-in-One WP Migration
Avant toutes choses, loin de moi l'idée de critiquer Wordfence Security et All-in-One WP Migration, ou les développeurs qui travaillent sur ces projets. D'une part, ce que je vais avancer par la suite n'engage que moi, et d'autre part, cela n'enlève en rien toutes les qualités de ces extensions (que je recommande parfois moi-même pour leurs fonctionnalités intéressantes). L'objectif est juste de donner deux exemples simples d'extensions renommées que beaucoup de blogueurs n'ont jamais dû vraiment étudier dans le détail avant de produire des "top plugins" à outrance pour WordPress...
Une base de donnée lourde, non optimisé et salie...
Le principal défaut de Wordfence Security est sa lourdeur dans la base de données. Donc, comme je l'ai dis précédemment, cela n'a rien à voir avec ces qualités en matière de sécurité. En effet, dès l'installation, Wordfence ajoute une grosse douzaines de tables dans la base de données d'un site, et ces dernières sont conservées même après la désactivation ou la suppression (depuis quelques mois, une option permet de supprimer quelques tables lors de la désactivation, mais il en reste encore en base...).
J'ai installé un WordPress tout neuf, et Wordfence Security, la base de données passe alors de 500 Ko à 640 Ko juste après l'activation de l'extension (en soi, rien de choquant ici). J'ai réalisé un simple scan de sécurité, qui a porté la base de données à 2 Mo (déjà, ça commence à peser davantage, pour un seul scan simple...). Comme la majorité des utilisateurs qui souhaiteraient le faire, j'ai supprimé Wordfence Security via WordPress en désactivant puis supprimant le plugin. La base de données est restée inchangée à 2 Mo...
Etape 1 : installation de WordPress nu
Etape 2 : installation et activation de WordPress : 140 Ko supplémentaire (environ 640 Ko au total)
Etape 3 : scan avec Wordfence puis suppression du plugin. Toujours 2 Mo dans la base...
Pour les plus malins ou connaisseurs, vous pourrez cocher l'option de "nettoyage" de la BDD de Wordfence, encore incomplète. Dans mon test, la base est retombée à 640 Ko avec deux tables non supprimées, qui vont donc errer éternellement si aucune suppression manuelle n'est appliquée (dans la très large majorité des cas donc...).
Cela peut sembler un défaut minime pour certain(e)s d'entre vous, mais si vous multipliez ce type de problématiques avec de nombreux plugins, cela peut vite monter à des centaines de kilo-octets inutiles, et des performances amoindries. Le cas le plus fréquent est l'installation de thèmes Premium qui recommandent (voire forcent) l'installation de certaines extensions. Quand le ménage est fait lors de la conception du site web, il n'est pas rare de voir de nombreuses tables de BDD ou des fichiers traînés comme des âmes en peine inutilement... :-$
Des fichiers qui trainent sans explication...
All-in-one WP Migration, comme d'autres plugins, déposent des fichiers sur le FTP par défaut. Or, lors de la suppression de l'extension, tout traîne dans les fichiers de WordPress sur le serveur, et peut parfois entraîner des failles de sécurité (pour l'anecdote, il m'est arrivé une fois qu'un fichier piraté ait été intégré dans le dossier "ai1wm-backups" laissé sur le serveur malgré la suppression de l'extension...) ou même une surcharge inutile.
Le cas de All-in-one WP Migration est loin d'être unique, j'ai juste pris cette dernière car je l'utilise fréquemment (plutôt que Duplicator que je trouve moins pratique) et parce que je connais bien l'extension. Vous pouvez donc répliquer ce problème de fichiers errants sur de nombreuses autres extensions WordPress. Il s'agit d'un cas simple à traiter ici, mais je trouve fort dommageable que les développeurs ne proposent pas une option par défaut (active) pour supprimer toutes les traces d'une extension en cas de suppression (et à la limite, on décoche l'option si on souhaite tout conserver...).
Conclusion
Ne soyez pas naïfs face aux centaines de classements des meilleures extensions WordPress qui pullulent sur la Toile. Fouillez et trouvez des plugins intéressants et correspondant vraiment à vos besoins. N'hésitez pas à donner la chance à des extensions moins réputées qui méritent pourtant le détour, et ne vous arrêtez pas sur le nombre d'installations, de téléchargements, d'avis, etc. Par exemple, des extensions comme SEOpress ou Rank Math font des choses excellentes en SEO, et souvent de meilleures manières que Yoast SEO (qui a pourtant des qualités importantes). Les meilleurs plugins WordPress sont en fait ceux qui font bien le boulot pour chacun de vos sites web, alors exhortez-vous des classements souvent subjectifs, et faites-vous votre propre opinion ! ;-)