Cette traduction n’a pas encore été relue par la rédaction. La version allemande fait foi. Deutsche Fassung →

Software-Stand

Pourquoi une bibliothèque sans entretien du fabricant est-elle un risque pour votre site Web?

Une bibliothèque sans entretien du fabricant ne reçoit plus de corrections de sécurité — si une faille devient plus tard connue, elle reste ouverte de manière permanente. Ces bibliothèques sont des composants de code finis que de nombreux sites Web intègrent pour les menus, les galeries d'images ou les formulaires. Le domaine de contrôle Statut des logiciels les reconnaît dans le code source de votre page et compare la version trouvée aux fins d'entretien que les fabricants eux-mêmes ont publiées.

Les composants finis soutiennent votre site Web

Rarement un site Web est entièrement réécrit. Les agences se tournent vers des composants éprouvés : jQuery aide avec les éléments d'interface, Bootstrap fournit la grille de page, AngularJS et Vue contrôlent des formulaires entiers. Ces composants s'appellent des bibliothèques. Ils se trouvent comme des fichiers de script dans votre page et s'exécutent dans le navigateur de chaque visiteur. Le fabricant d'une bibliothèque l'entretient pendant des années : il corrige les bugs et ferme les failles de sécurité. À un moment donné, il termine l'entretien d'une série de versions et renvoie à la série suivante. À partir de la fin de cet entretien, aucune correction n'apparaît pour la série ancienne — peu importe ce qui est trouvé. La bibliothèque continue à fonctionner, mais personne ne la répare plus.

Les fins d'entretien publiées sont des faits vérifiables

Le domaine de contrôle s'appuie uniquement sur les dates que les fabricants eux-mêmes ont annoncées. Exemples du catalogue de contrôle : les séries jQuery 1 et 2 ne reçoivent plus d'entretien depuis 2016. AngularJS ne reçoit plus officiellement d'entretien depuis début 2022. Bootstrap 3 est sans entretien depuis mi-2019, Bootstrap 4 a été supprimé début 2023. Vue 2 a atteint la fin de son entretien fin 2023. Si l'examen trouve l'une de ces séries sur votre page, c'est le constat le plus grave de ce domaine de contrôle : il coûte 40 sur 100 points, et le label partiel est hors de portée. Cette pondération suit le risque — l'absence d'entretien du fabricant pèse plus lourd que n'importe quel numéro de version simplement visible.

L'examen évalue l'entretien du fabricant, pas la vulnérabilité

La séparation est intentionnelle : le constat établit que le fabricant a abandonné la bibliothèque — un fait vérifiable. En revanche, il ne prétend jamais que votre site Web est vulnérable ; cela ne peut pas être déterminé sérieusement de l'extérieur. L'examen lit également seulement ce que votre page elle-même fournit : les références de script avec le numéro de version visible. Les bibliothèques qui ont été regroupées dans un package lors de la création de la page restent invisibles de l'extérieur. Par conséquent : une découverte vide signifie « rien détectable », jamais « tout à jour ». Cette prudence fait partie de l'ordonnance d'examen — le domaine de contrôle ne déclare que ce qu'il peut montrer avec une référence dans le code source.

Demandez à votre agence quelles bibliothèques frontales sont utilisées sur votre site Web — la liste devrait être courte et complète.
Demandez à chaque bibliothèque si le fabricant la maintient toujours.
Planifiez le passage à la série de successeurs maintenue quand une bibliothèque arrive en fin de vie — c'est généralement une petite refonte, pas un clic.
Convinez d'une date fixe dans l'année où votre agence examinera le statut logiciel de votre site Web et l'enregistrera par écrit.
Conservez les rapports de contrôle — de cette façon, vous verrez au fil des ans si l'état d'entretien s'améliore ou s'aggrave.

Deutsche Fassung dieser Seite

FAQ

Que signifie la fin de l'entretien pour un logiciel ?

Le fabricant déclare publiquement qu'il n'entretiendra plus une série de versions de son logiciel. À partir de cette date, aucune correction de bug et aucune correction de sécurité n'apparaît. Le logiciel continue à fonctionner, mais chaque faille qui devient plus tard connue reste ouverte. La solution habituelle est de passer à la série de suivi entretenue que le fabricant nomme lors de la fin de l'entretien.

Mon site Web n'est-il pas sûr si une bibliothèque a atteint la fin de son cycle de vie?

Le constat ne le dit pas explicitement. Il établit un fait : le fabricant ne maintient plus la bibliothèque, les lacunes découvertes ultérieurement resteront donc sans correction. Le fait que votre site Web spécifique soit vulnérable dépend de nombreuses circonstances et ne peut pas être déterminé de l'extérieur. Le constat est une tâche clairement définie, pas un diagnostic d'effraction.

Puis-je continuer à utiliser une bibliothèque sans entretien du fabricant?

Sur le plan technique, elle continue de fonctionner et souvent personne ne remarque rien pendant des années. Le risque s'accroît malgré tout : aucune correction de sécurité n'est publiée pour les logiciels qui ne sont plus maintenus, les lacunes découvertes resteront ouvertes. Passer à une série maintenue est la seule solution durable. Plus ce passage est reporté, plus la refonte est généralement importante.

Une bibliothèque sans entretien du fabricant ne reçoit plus de corrections de sécurité. Ce que signifie la fin du cycle de vie et comment lancer le passage.

Non, et ce n'est pas ce qu'elle prétend. Seul ce qui est visible dans le numéro de version est détectable. Les bibliothèques qui ont été regroupées dans un paquet commun lors de la construction du site Web sont invisibles de l'extérieur. Un constat vide signifie donc « rien de détectable » — ce n'est pas une preuve que tous les composants sont à jour.