Avec le changement d'administration vient un nouveau site Web et après que Joe Biden ait prêté serment mercredi 20 janvier, le tout nouveau site de la Maison Blanche Whitehouse.gov a fait ses débuts. L'administration précédente est passée de Drupal à WordPress en 2017, et les technologues travaillant avec l'administration Biden ont décidé de s'en tenir au même CMS.Conformément aux fonctionnalités multilingues et d'accessibilité mises en œuvre sur le site Web de l'équipe de transition Biden-Harris, whitehouse.gov a été lancé avec des boutons pour le contraste et la taille de la police, ainsi qu'un sélecteur de langue espagnole. Le site relancé comprend également une déclaration d'accessibilité avec un engagement de l'administration à travailler pour se conformer aux critères d'accessibilité du contenu Web (WCAG) version 2.1, niveau AA.
Une grande partie du contenu et de la conception du site Web de transition a été préservée. Le site de transition est maintenant redirigé vers whitehouse.gov, tandis que les liens vers les pages de l’ancienne administration aboutissent sur une page 404 avec un lien vers des sites Web présidentiels archivés.
Les observateurs avertis peuvent remarquer que la typographie a été mise à jour à partir du site de transition, inversant les polices Mercury et Decimal. Hoefler & Co, la société de conception de polices qui a créé ces polices pour la campagne 2020 de Biden, a tweeté sur le fait que « l'empattement Mercury ressemblait davantage à la voix de l'institution ». Le sans-serif Decimal fonctionne plus dans un rôle de support sur le site.
Certains professionnels du Web ont remarqué que le site affichait des scores assez décents sur Lighthouse, un outil open source et automatisé pour mesurer la qualité des pages Web. Il peut être exécuté sur n'importe quelle page Web, publique ou nécessitant une authentification. Google Lighthouse vérifie les performances, l'accessibilité et l'optimisation des moteurs de recherche des pages Web.
Sous le capot, les curieux ont remarqué dans le code une publicité pour le US Digital Service (USDS), le groupe de technologues qui gère de nombreux services numériques publics du gouvernement fédéral.
En plus du message de l'USDS, le code source du site comprend un lien vers le programme d'analyse du gouvernement américain sur analytics.usa.gov. Tim Lowden, qui gère l’initiative d’analyse Web agrégée du gouvernement fédéral, a déclaré que ces données étaient disponibles pour la première fois depuis la fin de 2017.
Le service d'analyse enregistre chaque mois plus de 2,5 milliards de pages vues sur les sites Web du gouvernement fédéral. Les données sont accessibles au public, mais elles ne suivent pas les individus et anonymisent les adresses IP des visiteurs. Le service d'analyse affiche des informations sur les appareils, les navigateurs, les systèmes d'exploitation et l'emplacement des visiteurs, répartis en villes et pays. Beaucoup de ceux qui visitent le site aujourd'hui viennent de pays autres que les États-Unis.
Une utilisation de WordPress qui explose
Fin décembre 2020, le baromètre W3Techs a indiqué que l'utilisation du CMS WordPress continuait de croître : le CMS était utilisé sur 39,5 % des sites web dans le monde à la date du 29 décembre 2020.
W3Techs explore les dix premiers millions de sites Web déterminés par le service de classification Alexa d'Amazon et cherche à déterminer les technologies qu'ils exploitent. Des rapports détaillés sont vendus sur ses découvertes. Mais W3Techs propose également des données publiques sur ses résultats. Ceux-ci sont généralement proposés sous la forme d'un diagramme qui vient montrer les pourcentages de sites Web utilisant divers systèmes de gestion de contenu.
Cette fois-ci, W3Techs a proposé des statistiques annuelles allant de 2011 à 2020.
Dès le départ, il est indiqué que le 29 décembre 2020, 38,4 % de sites n'utilisent pas de CMS. L'information est intéressante, car le 1er janvier de la même année, le pourcentage de sites n'utilisant pas de CMS était supérieur au pourcentage de sites utilisant WordPress (43,1 % et 35,4 % respectivement).
Shopify, qui était encore à la troisième place au début de 2020, s'est placée en seconde position avec 3,2 % de parts d'utilisation. Joomla est descendu à la troisième place avec 2,2 % de parts d'utilisation. Drupal, quant à lui, a conservé sa quatrième position avec 1,5 % de part d'utilisation.
La rançon de la gloire
WordPress a été la cible d'attaques en 2020.
Les hackers exploitent une faille critique affectant plus de 350 000 sites WordPress
En septembre, des pirates ont exploité activement une vulnérabilité qui leur permettait d'exécuter des commandes et des scripts malveillants sur des sites web utilisant File Manager (gestionnaire de fichiers), un plugin WordPress avec plus de 700 000 installations actives, ont déclaré des chercheurs. L’annonce des attaques est arrivée quelques heures après que la faille de sécurité ait été corrigée.
Les attaquants ont utilisé cet exploit pour télécharger des fichiers contenant des webshells cachés dans une image. De là, ils disposaient d'une interface pratique qui leur permettait d'exécuter des commandes dans plugins/wp-file-manager/lib/files/, le répertoire où se trouve le plugin de File Manager. Bien que cette restriction empêche les pirates d'exécuter des commandes sur des fichiers en dehors du répertoire, les pirates peuvent être en mesure d'infliger des dommages plus importants en téléchargeant des scripts qui peuvent effectuer des actions sur d'autres parties d'un site vulnérable.
NinTechNet, une entreprise de Bangkok spécialisée dans la sécurité des sites web, a été l'une des premières à signaler les attaques en ligne. Selon sa publication, un pirate informatique exploitait la vulnérabilité pour télécharger un script intitulé hardfork.php et l'utilisait ensuite pour injecter du code dans les scripts WordPress /wp-admin/admin-ajax.php et /wp-includes/user.php.
Dans un courriel, Jérôme Bruandet, PDG de NinTechNet, a écrit : « Il est un peu trop tôt pour en connaître l'impact, car lorsque nous avons pris connaissance de l'attaque, les pirates informatiques essayaient simplement d'ouvrir des sites web par des moyens détournés. Cependant, une chose intéressante que nous avons remarquée est que les attaquants injectaient du code pour protéger par mot de passe l'accès au fichier vulnérable (connector.minimal.php) afin que d'autres groupes de pirates ne puissent pas exploiter la vulnérabilité sur les sites déjà infectés. Toutes les commandes peuvent être exécutées dans le dossier /lib/files (créer des dossiers, supprimer des fichiers, etc.), mais le plus important est qu'ils peuvent également télécharger des scripts PHP dans ce dossier, puis les exécuter et faire ce qu'ils veulent sur le blog ».
« Pour l'instant, ils téléchargent "FilesMan", un autre gestionnaire de fichiers souvent utilisé par les pirates. Celui-ci est très obscurci. Dans les prochaines heures et les prochains jours, nous verrons exactement ce qu'ils feront, car s'ils ont protégé le fichier vulnérable par un mot de passe pour empêcher d'autres pirates d'exploiter la vulnérabilité, il est probable qu'ils s'attendent à revenir visiter les sites infectés », poursuit-il.
Wordfence, une autre entreprise de sécurité de sites web, a déclaré dans un billet de blog avoir bloqué plus de 450 000 tentatives d'exploitation en quelques jours. Le billet indique que les attaquants ont tenté notamment de pénétrer dans différents fichiers probablement dans le...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.
Envoyé par kmedghaith
