La Fondation Linux a lancé une nouvelle initiative appelée Gestionnaire de packages équitables (FPM) – un effort collaboratif et open source visant à améliorer la sécurité, la stabilité et la gouvernance des écosystèmes de plugins CMS tels que WordPress, Joomla, Drupal et Typo3.
Qu'est-ce que le Fair Package Manager ?
Le Fair Package Manager (FPM) est un registre décentralisé et un cadre de gouvernance créé pour apporter une plus grande transparence et un meilleur contrôle sur la manière dont les plugins et les thèmes CMS sont gérés et distribués.
En termes simples, il aide les développeurs, les fournisseurs d'hébergement et les propriétaires de sites Web à mieux suivre, gouverner et faire confiance aux progiciels qu'ils utilisent pour alimenter leurs sites Web.
Pourquoi est-ce important
Les systèmes de gestion de contenu comme WordPressJoomla et Drupal ont permis à des millions de sites web d'évoluer facilement grâce à des extensions et thèmes tiers. Cependant, cette flexibilité comporte des risques importants, notamment en termes de sécurité. maintenance de logiciels et sécurité de la chaîne d'approvisionnement.
De nombreux plugins CMS populaires sont développés par des contributeurs individuels ou de petites équipes. Au fil du temps, certains deviennent inactifs, négligés ou, pire encore, vendus ou détournés par des acteurs malveillants. Une fois compromis, un plugin peut introduire du code malveillant dans des milliers, voire des millions de sites web via des mises à jour automatiques. Ces attaques passent souvent inaperçues jusqu'à ce que des dommages importants soient causés, notamment des violations de données, des injections de spam SEO ou des prises de contrôle complètes de sites.
Le Fair Package Manager répond à ces risques en introduisant un nouveau modèle de gouvernance. Il sépare la propriété des plugins de leur contrôle et de leur distribution, ce qui complique l'exploitation des projets abandonnés par les acteurs malveillants. Il renforce également la responsabilité grâce à l'utilisation d'identifiants vérifiables et de métadonnées transparentes, permettant ainsi aux développeurs et aux utilisateurs finaux de comprendre l'historique complet et l'état actuel de la gouvernance d'un plugin.
Pour les propriétaires de sites web, les développeurs et les hébergeurs, cela signifie moins de surprises et des écosystèmes de plugins plus sûrs. Il s'agit d'une démarche proactive pour remédier à la fragmentation actuelle de la gestion des plugins et pose les bases d'une meilleure collaboration entre les communautés CMS, les fournisseurs d'infrastructure et les utilisateurs finaux.
Qui est derrière le projet ?
FPM est développé sous la direction de la Linux Foundation et est soutenu par un groupe diversifié de parties prenantes du CMS :
- Dries Buytaert (Fondateur de Drupal)
- Matt Mullenweg (Co-fondateur de WordPress et PDG d'Automattic)
- Questions Open Source (Organisation de soutien de Joomla)
- Association Typo3
- Fournisseurs d'hébergement et DevOps comme Panthéon, Netlify, Plateforme.sh, Actions civiques et Amazee.io
La participation précoce des fondateurs de CMS et des fournisseurs d’infrastructures donne au projet de fortes chances d’être largement adopté.
Comment le projet aide les utilisateurs à héberger
Pour les propriétaires de sites et les hébergeurs, FPM pourrait devenir une couche de sécurité essentielle. Plutôt que de se fier aveuglément aux mises à jour des plugins ou de s'appuyer sur des référentiels obsolètes, vous bénéficierez d'un framework qui :
- Empêche les mises à jour malveillantes et les prises de contrôle des plugins.
- Améliore la visibilité sur qui maintient un plugin et comment il est gouverné.
- Favorise des écosystèmes de plugins sains avec une responsabilité partagée.
Cela pourrait avoir un impact particulièrement fort sur WordPress les utilisateurs, dont beaucoup dépendent des plugins gratuits du référentiel officiel mais n'ont aucun contrôle sur la manière ou le moment où ces plugins sont transférés ou mis à jour.
Regard vers l'avenir
Le Fair Package Manager ne se limite pas à WordPressIl est conçu pour prendre en charge plusieurs plates-formes CMS et pourrait éventuellement évoluer vers une norme communautaire pour la sécurité des plugins sur le Web.
Avec le soutien précoce des communautés de développeurs et d'hébergement, FPM pourrait offrir une solution attendue depuis longtemps à l'un des risques les plus persistants de l'open source : les cycles de vie non réglementés des plugins.
Pour en savoir plus ou vous impliquer, Visitez le Page d'annonce de la Fondation Linux.
