Télécharger les sites web qui utilisent Wordfence

À propos de Wordfence

Une extension de sécurité dont on peut relever l’empreinte depuis l’extérieur a déjà, dans une modeste mesure, laissé échapper quelque chose. Wordfence s’exécute à l’intérieur de WordPress sous forme de code PHP côté serveur, filtre les requêtes avant que l’application ne les voie, analyse les fichiers à la recherche de motifs malveillants connus et renforce le formulaire de connexion. Si tout se fait discrètement, rien de cela n’a besoin d’être visible pour un visiteur. En pratique, les pages de blocage, les écrans de vérification, les chemins de ressources et les marqueurs de version laissent filtrer des informations, et ce sont les installations qui en laissent filtrer que nous pouvons compter.

Il en résulte un chiffre qu’il faut lire avec prudence. En octobre 2026, nous attribuons l’extension à 43 sites. Il ne s’agit pas d’une estimation du nombre d’installations WordPress qui l’utilisent, et il ne faudrait jamais le citer comme tel. Les extensions côté serveur sont systématiquement invisibles pour une détection externe, si bien que ce que le décompte mesure réellement, c’est le sous-ensemble des déploiements qui exposent un artefact identifiable. La base installée réelle est bien plus large que tout ce qu’une exploration peut voir.

Le biais de ce sous-ensemble est l’aspect intéressant, et non un défaut dont il faudrait s’excuser. Un site qui sert une page de blocage reconnaissable ou un chemin de ressource contenant une version est un site dont la configuration est restée proche des réglages par défaut, ce qui est corrélé avec les sites où il est le moins probable que quelqu’un se charge de les paramétrer. Pour un chercheur qui étudie la vitesse à laquelle les correctifs de sécurité atteignent réellement les sites web ordinaires, cette population n’est pas un mauvais échantillon. Les installations négligées sont précisément la population étudiée.

Les données de version servent le même type de travail. Nos relevés comptent 12 chaînes de version distinctes pour l’extension, dont 7.4.14, ce qui représente une dispersion importante pour un produit qui publie fréquemment des mises à jour et incite les administrateurs à les appliquer. Un outil de sécurité qui fait tourner du code ancien constitue un constat en soi, car la valeur protectrice d’un pare-feu dépend de l’actualité de ses règles, et une extension obsolète peut laisser un exploitant se croire protégé alors que la protection s’est érodée.

Un peu de contexte sur le produit éclaire l’ensemble. Commercialisée par Defiant Inc. depuis 2011 sous un modèle de licence Freemium, l’extension vise directement les sites WordPress gérés par leurs propriétaires, ceux qui n’ont pas d’équipe de sécurité derrière eux. Sa présence implique donc un propriétaire de site suffisamment inquiet d’une compromission pour agir, mais qui fait aussi tourner la plateforme qui reçoit le plus de trafic d’attaques automatisées sur le web.

Les usages d’une liste téléchargeable découlent de ce biais, ils n’existent pas malgré lui. Les hébergeurs vérifient lesquels de leurs clients se protègent et lesquels ne le font pas. Les fournisseurs de sécurité concurrents et les prestataires WordPress infogérés cherchent des comptes à démarcher. Les chercheurs mesurent le délai d’application des correctifs sur une population réelle plutôt qu’au moyen d’une enquête. Une requête sur un seul domaine répond à une question de support. Seul l’export permet de compter, de comparer plusieurs exports et d’avancer quoi que ce soit sur le comportement d’un écosystème d’extensions dans la durée.