La Linux Foundation ha introdotto una nuova iniziativa chiamata Responsabile dei pacchetti equi (FPM) – uno sforzo collaborativo e open source volto a migliorare la sicurezza, la stabilità e la governance degli ecosistemi di plugin CMS come WordPress, Joomla, Drupal e Typo3.
Che cos'è il Fair Package Manager?
Fair Package Manager (FPM) è un registro decentralizzato e un framework di governance creato per garantire maggiore trasparenza e controllo sul modo in cui i plugin e i temi CMS vengono gestiti e distribuiti.
In parole povere, aiuta gli sviluppatori, i provider di hosting e i proprietari di siti web a monitorare, gestire e fidarsi meglio dei pacchetti software che utilizzano per gestire i loro siti web.
Perché è importante
Sistemi di gestione dei contenuti come WordPress, Joomla e Drupal hanno potenziato milioni di siti web semplificando l'estensione delle funzionalità tramite plugin e temi di terze parti. Tuttavia, questa flessibilità comporta seri rischi, soprattutto quando si tratta di manutenzione del software and sicurezza della catena di approvvigionamento.
Molti plugin CMS popolari sono sviluppati da singoli collaboratori o piccoli team. Col tempo, alcuni di questi plugin diventano inattivi, trascurati o, peggio ancora, venduti o dirottati da malintenzionati. Una volta compromessi, i plugin possono introdurre codice dannoso in migliaia o addirittura milioni di siti web tramite aggiornamenti automatici. Questi attacchi spesso passano inosservati finché non si verificano danni significativi, come violazioni dei dati, spam injection SEO o interi siti web rubati.
Fair Package Manager affronta questi rischi introducendo un nuovo modello di governance. Separa la proprietà del plugin dal suo controllo e dalla sua distribuzione, rendendo più difficile per gli autori di attacchi hacker sfruttare progetti abbandonati. Aggiunge inoltre livelli di responsabilità utilizzando credenziali verificabili e metadati trasparenti, aiutando sia gli sviluppatori che gli utenti finali a comprendere la cronologia completa di un plugin e il suo attuale stato di governance.
Per proprietari di siti web, sviluppatori e provider di hosting, questo significa meno sorprese e un ecosistema di plugin più sicuro. È un passo proattivo verso la correzione dell'attuale gestione frammentata dei plugin e getta le basi per una migliore collaborazione tra le community di CMS, i provider di infrastrutture e gli utenti finali.
Chi c'è dietro il progetto?
FPM è sviluppato sotto la supervisione della Linux Foundation e supportato da un gruppo eterogeneo di stakeholder del CMS:
- Asciuga Buytaert (Fondatore di Drupal)
- Matt Mullenweg (Cofondatore di WordPress e CEO di Automattic)
- Questioni Open Source (Organizzazione di supporto di Joomla)
- Associazione Typo3
- Fornitori di hosting e DevOps come Pantheon, Netlify, Piattaforma.sh, Azioni Civichee Amazee.io
La tempestiva partecipazione dei fondatori del CMS e dei fornitori dell'infrastruttura offre al progetto forti possibilità di adozione su larga scala.
Come il progetto aiuta gli utenti di hosting
Per i proprietari di siti e i clienti di hosting, FPM potrebbe diventare un livello di sicurezza fondamentale. Invece di fidarsi ciecamente degli aggiornamenti dei plugin o di affidarsi a repository obsoleti, trarrai vantaggio da un framework che:
- Previene gli aggiornamenti non autorizzati e acquisizioni di plugin.
- Migliora la visibilità su chi gestisce un plugin e come viene gestito.
- Promuove ecosistemi di plugin sani con responsabilità condivisa.
Ciò potrebbe avere un impatto particolarmente forte su WordPress utenti, molti dei quali dipendono dai plugin gratuiti del repository ufficiale ma non hanno alcun controllo su come o quando tali plugin vengono trasferiti o aggiornati.
Uno sguardo al futuro
Il Fair Package Manager non si limita a WordPressÈ progettato per supportare più piattaforme CMS e potrebbe in futuro evolversi in uno standard promosso dalla comunità per la sicurezza dei plugin sul web.
Grazie al tempestivo supporto delle community di sviluppatori e hosting, FPM potrebbe offrire una soluzione attesa da tempo a uno dei rischi più persistenti dell'open source: i cicli di vita dei plugin non regolamentati.
Per saperne di più o partecipare, Visitare il Pagina dell'annuncio della Linux Foundation.
