Télécharger les sites web qui utilisent WP-Statistics

À propos de WP-Statistics

Le choix d’un outil d’analyse trahit une intention. Un site qui envoie les données de ses visiteurs à un service hébergé a pris une décision sur la confidentialité, les achats et l’endroit où se trouvent ses journaux, et un site qui continue de compter dans sa propre base de données en a pris une autre. WP-Statistics appartient au second groupe : c’est une extension de la catégorie Analytics qui s’exécute au sein de WordPress et stocke ce qu’elle collecte sur le serveur du site lui-même.

Disponible depuis 2010 sous licence GPL v2, l’extension est écrite en PHP, comme la plateforme qu’elle étend. Garder les données des visiteurs en local est toute la raison d’être de sa conception, et son attrait se résume facilement : aucun script tiers dans la page, aucun accord de traitement des données à signer, aucune dépendance envers un fournisseur extérieur qui devrait continuer à proposer une offre gratuite. Pour les exploitants situés dans des juridictions où le consentement à l’analyse d’audience externe est contesté, un compteur auto-hébergé est le chemin le plus court vers une solution défendable face à un régulateur.

C’est dans les données de version qu’une base installée comme celle-ci devient révélatrice. Nous relevons 44 versions distinctes en circulation, et la valeur que nous rencontrons le plus souvent est 12.6.13. Une dispersion aussi large pour une extension qui publie fréquemment de nouvelles versions dit quelque chose de simple sur la maintenance : une grande partie de ces installations sont des sites que personne n’administre activement. Les builds d’extension périmés comptent autant pour les chercheurs en sécurité qui recensent la surface d’attaque que pour quiconque vend de l’hébergement, de la maintenance ou des mises à jour gérées, car un compteur obsolète va généralement de pair avec un site où tout le reste l’est aussi.

En octobre 2026, WP-Statistics apparaît sur 5 905 sites. Une requête domaine par domaine indique si un site donné l’utilise. La liste téléchargeable répond aux questions qui n’existent qu’à l’échelle agrégée : combien de sites utilisent un compteur auto-hébergé plutôt qu’un service hébergé, lesquels d’entre eux n’ont rien d’autre dans la catégorie Analytics, comment la répartition des versions a évolué depuis le dernier export, et quelle stack de gestion de contenu se trouve en dessous. Les fournisseurs d’outils de protection de la vie privée s’en servent pour dimensionner un marché d’exploitants qui ont déjà montré que le sujet leur importe. Les équipes de sécurité s’en servent pour trouver les hôtes qui tournent sur des builds obsolètes. Les hébergeurs s’en servent pour savoir ce que leurs propres clients installent, sans rien demander à personne.

La détection suppose que l’extension laisse quelque chose de visible dans la page ou dans un chemin de requête, et une extension conçue pour éviter de charger des scripts externes est par nature plus discrète qu’un outil construit autour d’une balise hébergée. Certaines installations nous échappent, en particulier lorsqu’une couche de cache sert du HTML entièrement statique ou lorsqu’un administrateur a renommé le répertoire de l’extension ou en a restreint l’accès. Les chaînes de version ne proviennent que des installations qui les exposent, si bien que la répartition des versions décrit une partie des sites du total plutôt que leur ensemble.