Contrôle des paquets et demandes de retrait

Avant la publication d’une version

Chaque version est nettoyée, comparée au code de licence de l’éditeur, analysée et passée au lint. L’onglet Sécurité de chaque paquet présente les contrôles et leurs résultats par version :

• Analyse des logiciels malveillants : chaque fichier de chaque version est comparé à la base de signatures ClamAV.
• Règles de motifs : des règles pour les web shells, les chargeurs obfusqués, le PHP encodé et les motifs de nulling connus.
• Analyse PHP : les inclusions distantes, les données de requête qui atteignent des fonctions shell, les décodeurs qui alimentent eval, le PHP caché dans des images, des polices ou des archives, les surcharges de configuration du serveur.
• Intégrité de la licence : le code de licence, d’activation et de mise à jour est comparé au code de l’éditeur ; un code de licence modifié n’est jamais publié.
• Syntaxe PHP : chaque fichier PHP est analysé sans erreur sur les versions de PHP prises en charge par le dépôt.
• Politique des ressources : les illustrations, polices, médias et contenus de démonstration susceptibles d’être soumis à une licence distincte sont remplacés par des éléments de substitution ou supprimés.

Une version qui échoue n’est pas publiée. L’onglet indique combien de versions ont été retenues.

Dans l’onglet Versions, Vérifié à côté d’une version renvoie vers ces résultats.

Lorsqu’un problème est détecté plus tard

Si une version publiée s’avère problématique, elle est retirée : Composer ne peut plus l’installer, les personnes qui suivent le paquet sont prévenues et les webhooks se déclenchent. Les copies installées continuent de fonctionner. Un projet affiche Version installée retirée pour les sites qui l’utilisent.

Les vulnérabilités signalées publiquement pour une extension ou un thème sont une autre question : consultez Avis de sécurité.

Demandes de retrait

Les titulaires de droits peuvent demander un retrait selon la politique de retrait. Un retrait arrête immédiatement les téléchargements via Composer et via le site web ; la page du paquet l’indique, et les projets affichent Paquet retiré sur demande.

Pour signaler vous-même un paquet, utilisez Signaler ce paquet en bas de la barre latérale de sa page.