Comment Be API a accéléré sa réponse aux vulnérabilités de WordPress en remplaçant son outil interne par l'API d'WP Umbrella

Be API est une agence WordPress comptant 38 collaborateurs qui, depuis 2009, développe et gère des sites à forte responsabilité pour de grandes entreprises, des institutions et des médias. Son plus grand casse-tête en matière de maintenance n’était pas lié aux mises à jour ni à la disponibilité du site, mais au fait de savoir rapidement quels sites étaient exposés lorsqu’une vulnérabilité de plugin était rendue publique. Voici comment l’agence a cessé de gérer son propre outil de détection et a intégré à la place WP Umbrella à son processus de sécurité.

Carte d'entreprise

Entreprise : Be API
Site web : beapi.fr
Lieu : France, télétravail à 100 %
Année de création : 2009
Équipe : 38 personnes

Clients : grandes entreprises, institutions et médias, avec lesquels nous travaillons en collaboration directe avec leurs services informatiques. Parmi nos références figurent France Télévisions, BNP Paribas Cardif, Kiloutou et l'Université PSL.
Sites en maintenance : moins de 100, principalement des plateformes à enjeux élevés
Stack : Composer (Bedrock), CI/CD avec Buddy.works, WP-CLI
Utilise WP Umbrella pour : la détection des vulnérabilités et l'inventaire des sites via l'API publique, la surveillance de la disponibilité
A remplacé / a succédé à : un outil interne de suivi des vulnérabilités

«WP Umbrella est devenu un élément essentiel et fiable de notre chaîne RUN : il détecte, il alerte, et nos outils se chargent du reste. »
Amaury Balmer, PDG de Be API

En bref

Lorsqu'une faille de sécurité est rendue publique, les sites concernés sont automatiquement identifiés et l'équipe se met immédiatement au travail pour y remédier.
L'agence ne gère plus son propre outil de suivi des vulnérabilités. C'est un prestataire spécialisé qui se charge de cette partie de la chaîne.
WP Umbrella fonctionne au sein du processus existant de Be API : installé via Composer, mis à jour via l'environnement de CI de l'agence, la plateforme le détecte et envoie des alertes.

La question essentielle était la suivante : quels sont les sites concernés, et à quelle vitesse sont-ils corrigés ?

Be API gère des projets WordPress complexes pour des clients dont les services informatiques participent activement aux décisions : conception, développement, hébergement et maintenance, ce que l'agence appelle « RUN ». Chaque site qu'elle livre passe en phase de maintenance, de sorte que son parc de sites s'agrandit au rythme de ses projets. Moins d'une centaine de sites, mais presque tous constituent des plateformes à fort enjeu destinées à de grands comptes.

La maintenance est un travail d'équipe. Les chefs de projet RUN sont responsables de la relation client et des demandes reçues, l'équipe DevOps gère l'infrastructure, la surveillance et la sécurité, tandis que les développeurs se chargent des corrections et des mises à jour.

Avant WP Umbrella, l'agence s'appuyait sur ses propres outils. Les sites sont gérés avec Composer sur Bedrock et déployés via CI/CD avec Buddy.works, en complément de WP-CLI et de scripts développés en interne. Côté sécurité, l'équipe avait développé un outil interne permettant de recouper les vulnérabilités publiées par Patchstack avec sa propre base de code. La surveillance était répartie entre plusieurs systèmes : contrôles de disponibilité, Sentry, journaux de serveur. Quelques clients disposaient de sauvegardes via un plugin dédié.

La douleur n'était pas répartie de manière uniforme. Un problème prédominait.

« Lorsqu’une faille de sécurité est révélée concernant un plugin, la seule question qui compte est la suivante : quels sites sont exposés, et dans quel délai ces failles sont-elles corrigées ? Notre outil interne répondait à la première partie de la question, mais il fallait le maintenir et en garantir la fiabilité, et ce temps n’était pas consacré à la correction des failles. »
Amaury Balmer, PDG de Be API

L'agence refuse de chiffrer le temps nécessaire. Le problème ne résidait pas dans la charge de travail moyenne, mais dans les pics d'activité. Chaque vague de vulnérabilités obligeait l'équipe à délaisser ses autres tâches pour évaluer l'exposition de la flotte et hiérarchiser les correctifs.

Développer ou acheter : la décision de cesser d'assurer la maintenance d'un outil interne

C'est la menace elle-même qui a été le déclencheur. Le nombre de failles de sécurité rendues publiques au sein de l'écosystème WordPress, et notamment au niveau des plugins, a considérablement augmenté ces dernières années. Be API avait besoin d'une réponse plus rapide et plus fiable, sans pour autant transformer la surveillance de la sécurité en une activité secondaire.

L'agence n'a pas procédé à une comparaison classique des plateformes de gestion. Le véritable choix se jouait entre WP Umbrella et la prochaine version de son propre outil.

« Techniquement, c'était faisable. Mais la gestion d'un outil de gestion des stocks et de suivi ne relève pas de notre cœur de métier, et son coût à long terme ne se justifiait pas par rapport à celui d'un outil spécialisé. »
Amaury Balmer, PDG de Be API

Quatre raisons ont fait pencher la balance en faveur d’ WP Umbrella:

Détection des vulnérabilités qui compare automatiquement l'inventaire du parc informatique à une base de données de vulnérabilités.
Une API ouverte, qui a permis à l'équipe d'intégrer WP Umbrella dans son bot de surveillance de la sécurité, connecté à Redmine et à Buddy.works.
Un modèle simple et un prix abordable.
Un fournisseur français, proche de ses clients et offrant une assistance réactive.

Les réserves étaient tout aussi concrètes, et toute agence travaillant avec des entreprises les reconnaîtra : l'ajout d'un plugin tiers à des sites sensibles, le fait de donner à un service SaaS une visibilité sur les sites des clients, et la compatibilité avec les installations gérées par Composer.

Be API a mis en place cette solution en trois étapes. Des discussions directes avec l’équipe d’ WP Umbrella . Un cadre d’utilisation défini par les processus propres à l’agence : le plugin est installé via Composer, les mises à jour passent toujours par l’environnement de CI de l’agence, et le rôle d’ WP Umbrellaest de surveiller et d’alerter. Et enfin, une phase de validation avec les services informatiques des clients concernés.

D'abord un avion, puis toute la flotte

Le déploiement s'est déroulé selon le même protocole. Une phase pilote menée sur quelques sites a permis de valider l'intégration technique et le cadre de sécurité. L'agence a ensuite généralisé l'WP Umbrella e à l'ensemble de sa flotte de maintenance.

Deux tâches, effectuées via l'API

L'API Be utilise WP Umbrella à deux fins. D'une part, la détection des vulnérabilités et l'inventaire du parc informatique, deux fonctionnalités exploitées via l'API par le bot de surveillance de la sécurité de l'agence. D'autre part, la surveillance de la disponibilité.

L'agence n'utilise pas de mises à jour en masse. Sur les sites gérés par Composer, les mises à jour passent par le pipeline CI/CD, et c'est là qu'elles restent. WP Umbrella les détecte et envoie des alertes. Les outils propres à l'agence se chargent du reste.

Lorsqu'on leur a demandé si une fonctionnalité les avait surpris, leur réponse en dit long sur une équipe qui considère l'WP Umbrella comme une infrastructure de production :

« Ce n’est pas une surprise, et c’est plutôt une bonne nouvelle : il fonctionne comme prévu, de manière fiable. Pour un composant de production, c’est le critère qui compte. »
Amaury Balmer, PDG de Be API

🖼 CAPTURE D'ÉCRAN : la page de documentation de l'API publique. Aucune réponse brute de l'API : les identifiants de compte et de site ne sont pas affichés. (image de remplacement, à remplacer par l'image)

Le gain est mesuré en temps de retard, et non en heures

Be API ne présente pas le résultat en termes d'heures économisées.

« Nous ne raisonnons pas en termes d’heures gagnées. Le véritable avantage réside dans le gain de temps : lorsqu’une vulnérabilité est rendue publique, l’identification des sites exposés se fait automatiquement et l’équipe se met immédiatement au travail pour y remédier. »
Amaury Balmer, PDG de Be API

Le deuxième avantage est d'ordre structurel. Plutôt que de faire évoluer son outil interne, l'agence s'appuie désormais sur un composant géré par un fournisseur spécialisé.

Deux choses n’ont pas changé, et Be API est très claire sur ces deux points. Les clients ne voient aucune différence : « WP Umbrella » est un système interne, transparent à leurs yeux, et son impact est indirect, puisqu’il porte sur la fiabilité du suivi et de la surveillance de la sécurité de l’agence. De plus, l’entreprise n’a vendu aucun contrat de maintenance supplémentaire, ce qui n’a jamais été son objectif. Pour Be API, « WP Umbrella » est un système de production au service de la qualité de son travail de maintenance, et non de sa commercialisation.

Conseils à l'intention des agences qui envisagent de déménager

Le conseil de Be API aux agences qui hésitent encore se divise en deux parties. La première concerne la tentation de créer.

« Ne vous laissez pas berner par l’illusion selon laquelle vous pouvez y arriver tout seul en développant à l’instinct un outil en interne : le créer est facile, mais l’entretenir et garantir sa fiabilité à long terme est bien plus difficile. »
Amaury Balmer, PDG de Be API

La deuxième concerne la méthode : mener un projet pilote sur quelques sites, valider le cadre de sécurité avec vos clients, puis généraliser. C'est ce qu'a fait Be API.

Récapitulatif

Le principal casse-tête de Be API en matière de maintenance concernait la gestion des vulnérabilités : quels sites sont exposés et dans quels délais sont-ils corrigés ?
L'agence a préféré « WP Umbrella » à la prochaine version de son propre outil de détection, car la maintenance de cet outil ne relevait pas de son cœur de métier.
Les objections liées à l'environnement d'entreprise ont été résolues grâce à des discussions avec les fournisseurs, à un cadre d'utilisation strict et à la validation par le service informatique du client.
WP Umbrella alimente désormais le bot de sécurité de l'agence via l'API et surveille la disponibilité du système. Les mises à jour sont intégrées dans le processus CI/CD de l'agence.

Vous en avez assez de vérifier manuellement votre parc informatique à chaque fois qu’une faille de sécurité est rendue publique ? Commencez votre essai gratuit de 14 jours, sans carte bancaire. → Commencez gratuitement