Votre site repose sur un framework obsolète : risques, coûts et solutions

Votre site ou votre application web ne part pas de zéro. Il repose sur une base technique commune appelée framework, un socle de code éprouvé sur lequel nous avons construit l'ensemble de vos fonctionnalités sur mesure.

Les frameworks les plus utilisés dans les projets web professionnels sont :

• Symfony — pour les applications métiers sur mesure et les sites institutionnels complexes.
• Drupal — pour les sites institutionnels à fort volume de contenu, notamment les sites de collectivités
• WordPress — pour les sites vitrines et les blogs

Ces frameworks évoluent en permanence. Chaque nouvelle version corrige des failles, améliore les performances et s'adapte aux évolutions du web. Quand une version n'est plus maintenue par ses créateurs, elle cesse de recevoir toute mise à jour — y compris les correctifs de sécurité critiques.

Chaque framework suit un cycle de vie précis. Voici l'exemple de Symfony, que nous utilisons depuis 2006 sur l'ensemble de nos projets d'applications métiers :

Tant qu'une version est maintenue, son équipe publie régulièrement des correctifs de sécurité (patches) dès qu'une vulnérabilité est découverte. Quand elle passe en fin de vie, ces correctifs s'arrêtent définitivement. La faille reste ouverte, connue publiquement et exploitable.

Le même principe s'applique à Drupal, WordPress, et à PHP lui-même. Une application développée il y a 5 ans sans mise à jour depuis tourne très probablement sur des composants en fin de vie.

Les vulnérabilités des anciennes versions sont répertoriées publiquement dans des bases de données comme le CVE (Common Vulnerabilities and Exposures). Des robots automatisés scannent le web en permanence pour identifier les sites exposés — et tenter de les exploiter.

Les conséquences possibles :

• prise de contrôle partielle ou totale de votre site
• vol ou compromission de données personnelles — avec obligation de notification à la CNIL (voir notre page sur le RGPD)
• injection de contenus malveillants à l'insu de votre organisation
• mise en liste noire par Google, rendant votre site inaccessible à vos visiteurs

Pour une collectivité ou un organisme public, un incident de sécurité a aussi des conséquences réglementaires directes.

Un framework obsolète entraîne une réaction en chaîne sur tous les composants de votre application. PHP, les bases de données, les librairies tierces — tout doit fonctionner ensemble dans des versions cohérentes. Au fil du temps, les incompatibilités s'accumulent et bloquent toute évolution : plus moyen d'ajouter une fonctionnalité, d'intégrer un outil tiers, ou de faire évoluer votre site sans risquer de tout casser.

C'est le point le plus sous-estimé. Plus une migration est repoussée, plus elle coûte cher. Passer de Symfony 4.4 à Symfony 6.4 aujourd'hui est significativement plus long qu'une mise à jour progressive effectuée il y a deux ans. À l'extrême, certaines applications nécessitent une réécriture partielle — un investissement bien supérieur à une maintenance régulière.

Nous le constatons régulièrement sur les projets que nous reprenons après d'autres prestataires : la dette technique accumulée représente souvent 2 à 3 fois le coût qu'aurait eu une maintenance préventive.

Les signaux à surveiller :

• votre site a plus de 3 ans et n'a fait l'objet d'aucune mise à jour technique
• votre hébergeur signale des incompatibilités PHP
• votre prestataire précédent n'est plus disponible pour faire évoluer le projet
• certaines fonctionnalités ne marchent plus correctement sur les navigateurs récents

Si vous avez reçu ce point dans votre bilan ISICS, nous avons vérifié la version exacte de votre application et constaté qu'elle n'est plus maintenue activement.

Nous intervenons régulièrement sur des migrations de frameworks et des mises à jour de socles techniques, aussi bien sur des projets que nous avons développés que sur des applications reprises d'autres prestataires.

Mon site fonctionne très bien, est-ce vraiment urgent ?
Un site qui affiche correctement ses pages peut parfaitement être compromis en arrière-plan — collecte de données, envoi de spam, utilisation de votre serveur à votre insu. Le fait qu'il soit "visible" ne dit rien de son état de sécurité réel.

La migration va-t-elle casser mon site ?
Une migration bien préparée, avec audit préalable et environnement de recette, ne doit générer aucune régression visible pour vos utilisateurs. C'est précisément pour ça que nous travaillons avec méthode plutôt qu'en appliquant une mise à jour à la volée.

Mon site a été développé par un autre prestataire, vous pouvez quand même intervenir ?
Oui. Nous reprenons régulièrement des projets développés par d'autres agences ou développeurs. Un audit technique préalable nous permet d'évaluer l'état du code et l'effort nécessaire, quelle que soit la techno utilisée.

Quel est le coût d'une migration ?
Il est impossible de répondre honnêtement sans audit. Une migration Symfony 5.4 → 6.4 sur une application de taille moyenne représente typiquement 2 à 3 jours. Une migration depuis Symfony 3.x peut nécessiter une semaine ou plus. L'audit préalable vous donne une réponse précise.

Ne laissez pas la dette technique s'accumuler davantage. Contactez-nous pour un audit technique — nous évaluons l'état de votre application et vous soumettons un plan d'action concret et chiffré, sans engagement.

Nous contacter Voir nos réalisations