Sécurité Drupal : comment maintenir votre système et vos modules à jour

Exploiter Drupal en toute sécurité : maintenir le cœur, les modules et les thèmes à jour

Un site web Drupal n'est durablement sécurisé que si le système est régulièrement entretenu. Cela inclut les mises à jour du cœur (core) de Drupal, des modules installés, des thèmes, des dépendances PHP, des modifications de la base de données, des sauvegardes et un contrôle rigoureux après chaque mise à jour. Drupal est considéré comme un système de gestion de contenu puissant et très flexible, mais il est souvent utilisé pour des sites complexes, des portails, des espaces membres, des projets multilingues ou des applications sur mesure. C'est précisément pour cela qu'un processus de mise à jour structuré est particulièrement important.

Les mises à jour ne sont pas seulement une question de nouvelles fonctionnalités. Elles corrigent des failles de sécurité, résolvent des bugs, améliorent la compatibilité avec les versions actuelles de PHP et réduisent le risque que des attaquants exploitent des vulnérabilités connues dans des modules ou thèmes obsolètes. Les avis de sécurité publics sont particulièrement critiques, car des attaques automatisées peuvent apparaître très rapidement après leur publication.

Dans cet article, vous découvrirez comment mettre à jour Drupal en toute sécurité, les points à surveiller avant une mise à jour, comment utiliser judicieusement le mode maintenance, les sauvegardes et Composer, ainsi que les erreurs typiques à éviter. Ce guide s'adresse aux propriétaires de sites, aux agences et aux administrateurs qui exploitent Drupal sur un pack d'hébergement web, un hébergement cPanel ou un serveur géré.

Pourquoi les mises à jour de Drupal sont si importantes

Drupal se compose de plusieurs couches. Le cœur de Drupal fournit les fonctionnalités de base, les modules enrichissent le site de fonctions supplémentaires, les thèmes gèrent le design et Composer gère de nombreuses dépendances techniques en arrière-plan. Une vulnérabilité peut donc apparaître non seulement dans le cœur de Drupal, mais aussi dans un module complémentaire, un thème ou une bibliothèque PHP.

Une erreur courante consiste à n'installer les mises à jour que lorsqu'un problème visible survient sur le site. Cependant, les failles de sécurité sont souvent invisibles. Un site peut sembler fonctionner normalement alors que des composants obsolètes contiennent déjà des vulnérabilités connues. C'est pourquoi, en particulier pour les sites CMS accessibles au public, la mise à jour régulière est un élément central de la sécurité technique.

Les mises à jour régulières aident notamment sur les points suivants :

• Combler les failles de sécurité : Les vulnérabilités critiques du cœur de Drupal, des modules ou des bibliothèques sont corrigées par des mises à jour de sécurité.
• Maintenir la compatibilité : Les nouvelles versions de PHP, de bases de données et d'environnements serveurs nécessitent des versions de logiciels à jour.
• Corriger les erreurs : Les mises à jour contiennent souvent des correctifs de bugs qui améliorent la stabilité et la fiabilité.
• Améliorer les performances : Les composants mis à jour peuvent optimiser la mise en cache, les requêtes de base de données ou les processus internes.
• Garantir le supportabilité : Les versions obsolètes de Drupal ou les modules qui ne sont plus maintenus finissent par ne plus recevoir de corrections de sécurité.

Quels composants d'un site Drupal doivent être mis à jour

Sur un site Drupal, il ne faut pas seulement surveiller le cœur. Pour une exploitation sécurisée, tous les composants pertinents doivent être entretenus :

• Le cœur de Drupal (Core) : L'installation centrale de Drupal avec les fonctions système, l'espace d'administration, la gestion des utilisateurs, le routage, les API et les modules standards.
• Les modules contribués (Contributed Modules) : Modules supplémentaires issus de drupal.org, par exemple Pathauto, Webform, Redirect, Metatag ou Admin Toolbar.
• Les modules personnalisés (Custom Modules) : Modules développés sur mesure, programmés spécifiquement pour votre site.
• Les thèmes : Modèles de conception et composants frontend, qui peuvent également nécessiter des mises à jour de sécurité ou de compatibilité.
• Les dépendances Composer : Paquets PHP que Drupal ou les modules utilisent en arrière-plan.
• Le schéma de base de données : Après certaines mises à jour, des modifications de la base de données doivent être exécutées pour que le code et la structure des données correspondent.
• La version de PHP : Selon sa version, Drupal nécessite une version de PHP prise en charge. Une version de PHP obsolète peut représenter en soi un risque de sécurité.

Où identifier les mises à jour disponibles dans Drupal

Drupal peut afficher les mises à jour disponibles dans l'espace d'administration, à condition que le module de mise à jour correspondant soit actif et que le site soit autorisé à récupérer des informations de mise à jour externes. En général, vous trouverez cet aperçu sous :

Rapports -> Mises à jour disponibles

Vous y verrez si le cœur de Drupal, les modules installés ou les thèmes sont obsolètes. Les mises à jour de sécurité sont généralement mises en évidence de manière standard. De plus, il est recommandé de suivre régulièrement les avis de sécurité officiels de Drupal, en particulier pour les sites critiques pour l'entreprise, les portails clients ou les projets comportant des comptes utilisateurs.

L'aperçu des mises à jour est un bon point de départ, mais il ne remplace pas un processus de maintenance complet. En particulier pour les installations basées sur Composer, les mises à jour ne doivent pas seulement être consultées dans le navigateur, mais doivent être planifiées et installées proprement via Composer d'un point de vue technique.

Processus de mise à jour recommandé pour Drupal

Un processus sécurisé de mise à jour de Drupal ne se limite pas à un seul clic, mais se compose de plusieurs étapes contrôlées. Plus le site est important, plus ce déroulement doit être respecté rigoureusement.

1. Vérifier l'état actuel : Notez la version de Drupal, la version de PHP, les modules installés, les thèmes et les particularités connues du site.
2. Créer une sauvegarde : Sauvegardez complètement les fichiers et la base de données avant d'effectuer des modifications.
3. Lire les notes de version (Release Notes) : Vérifiez s'il y a des consignes particulières, de nouvelles exigences ou des problèmes connus.
4. Vérifier la compatibilité : Assurez-vous que les modules et thèmes importants sont compatibles avec la version cible.
5. Utiliser un environnement de test : Installez d'abord les mises à jour majeures sur une copie du site.
6. Activer le mode maintenance : Protégez le site de production contre les modifications des visiteurs ou des rédacteurs pendant la mise à jour.
7. Effectuer la mise à jour : Mettez à jour le cœur, les modules, les thèmes et les dépendances via Composer ou la méthode de maintenance adaptée.
8. Exécuter les mises à jour de la base de données : Appliquez les mises à jour de base de données nécessaires, par exemple via update.php ou Drush.
9. Vider le cache : Videz le cache de Drupal et, si nécessaire, les caches externes.
10. Tester le site web : Vérifiez le frontend, la connexion, les formulaires, la navigation, les médias, les fonctions de recherche et les flux de travail importants.
11. Désactiver le mode maintenance : Ne rouvrez le site qu'une fois le contrôle réussi.
12. Documenter : Notez ce qui a été mis à jour et s'il y a eu des particularités.

Étape 1 : Créer une sauvegarde avant chaque mise à jour de Drupal

Une sauvegarde complète est le filet de sécurité le plus important avant toute mise à jour. Si une erreur survient pendant l'actualisation, vous pouvez restaurer le site à son état précédent. Une simple sauvegarde des fichiers ne suffit pas, car Drupal stocke l'essentiel de ses contenus et de ses configurations dans la base de données.

Avant une mise à jour, sauvegardez au minimum :

• Les fichiers : Le cœur de Drupal, les modules, les thèmes, les fichiers Composer et les fichiers téléversés dans le répertoire sites/default/files.
• La base de données : Les contenus, les utilisateurs, les configurations, les menus, les blocs, les vues et bien d'autres données du site.
• Les fichiers de configuration : Particulièrement settings.php, services.yml, composer.json et composer.lock.
• Le code personnalisé : Les modules personnalisés (custom), les thèmes personnalisés et les adaptations spécifiques au projet.

Chez CURIAWEB, selon votre configuration d'hébergement, vous pouvez créer des sauvegardes via cPanel, Softaculous ou d'autres fonctions de sauvegarde disponibles. Utilisez par exemple la fonction de sauvegarde Softaculous, si votre installation Drupal est gérée via Softaculous.

Étape 2 : Activer le mode maintenance

Avant une mise à jour, vous devez activer le mode maintenance. Cela empêche les visiteurs ou les rédacteurs de modifier des contenus, de soumettre des formulaires ou de lancer des processus pendant que le code et la base de données sont en cours d'ajustement.

Dans Drupal, le mode maintenance se trouve généralement sous :

Configuration -> Développement -> Mode maintenance

Activez-y l'option Mettre le site en mode maintenance et saisissez un message clair pour les visiteurs. Un bon message de maintenance est court, transparent et ne contient aucun détail technique qui pourrait intéresser des attaquants.

Exemple de message adapté :

Pour les sites critiques pour l'entreprise, vous devriez planifier les mises à jour en dehors des heures de forte affluence. Informez les rédacteurs internes ou les clients à l'avance afin qu'aucune modification parallèle ne soit effectuée pendant la fenêtre de maintenance.

Étape 3 : Mettre à jour le cœur de Drupal avec Composer

Pour les installations Drupal modernes, Composer est la méthode recommandée pour gérer de manière cohérente le cœur de Drupal, les modules, les thèmes et les dépendances PHP. Composer prend en compte les dépendances et veille à ce que les paquets liés soient installés dans des versions compatibles.

La commande Composer exacte peut varier selon la structure du projet. Souvent, le cœur de Drupal est géré via des paquets tels que drupal/core-recommended, drupal/core-composer-scaffold et drupal/core-project-message. Une mise à jour typique peut par exemple ressembler à ceci :

composer update "drupal/core-*" --with-all-dependencies

Le paramètre --with-all-dependencies est important car Drupal et ses paquets possèdent des dépendances qui doivent également être ajustées lors d'une mise à jour. Après la mise à jour Composer, vous devez vérifier que les fichiers composer.json and composer.lock ont été correctement mis à jour.

Si vous utilisez un accès SSH, vous pouvez exécuter Composer directement sur le serveur. Pour les projets Drupal exigeants, cela est généralement plus fiable que les téléversements manuels de fichiers par FTP. À ce sujet, lisez également notre article sur l'accès SSH.

Étape 4 : Mettre à jour les modules et les thèmes

En plus du cœur de Drupal, les modules complémentaires et les thèmes doivent également être maintenus à jour. Les modules populaires comme Webform, Pathauto, Redirect, Metatag, Token ou Admin Toolbar reçoivent régulièrement des mises à jour. Certaines résolvent de simples bugs, d'autres sont cruciales pour la sécurité.

Un module individuel peut par exemple être mis à jour avec Composer ainsi :

composer update drupal/nomdumodule --with-all-dependencies

Tous les paquets pouvant être mis à jour peuvent être vérifiés avec une mise à jour générale de Composer selon le projet. Sur les sites en production, vous devez toutefois être prudent et ne pas mettre à jour tous les paquets de manière incontrôlée si vous ne disposez pas d'un environnement de test. Plus on modifie de composants simultanément, plus la recherche d'erreurs devient difficile.

Pour les modules, veillez particulièrement aux points suivants :

• Statut du projet : Le module est-il activement maintenu ?
• Compatibilité Drupal : Le module prend-il en charge votre version de Drupal ?
• Couverture de sécurité (Security Coverage) : Le module est-il couvert par la politique de sécurité de Drupal ?
• Notes de version : Y a-t-il des changements majeurs (Breaking Changes) ou des options de configuration modifiées ?
• Dépendances : Le module nécessite-t-il d'autres modules ou paquets PHP ?

Étape 5 : Exécuter les mises à jour de la base de données

Après une mise à jour de Drupal, des mises à jour de la base de données doivent souvent être exécutées. Ces ajustements permettent aux nouvelles versions de code de fonctionner avec la structure de base de données existante. Si vous sautez cette étape, des messages d'erreur, des pages d'administration défectueuses ou des fonctionnalités incomplètes peuvent apparaître.

La méthode classique passe par :

https://votre-domaine.ch/update.php

Selon la configuration, vous devez être connecté en tant qu'administrateur ou définir temporairement certaines autorisations de mise à jour. Suivez les instructions à l'écran et exécutez toutes les mises à jour de base de données en attente.

Si Drush est disponible, la mise à jour de la base de données peut également être exécutée en ligne de commande :

drush updatedb

Ensuite, le cache doit être vidé :

drush cache:rebuild

Même si vous utilisez update.php dans le navigateur, vous devez vider le cache de Drupal ensuite afin que les nouvelles routes, configurations, templates et services soient correctement chargés.

Étape 6 : Tester minutieusement le site web après la mise à jour

A mise à jour n'est terminée que lorsque le site a été vérifié. Ne testez pas seulement la page d'accueil, mais toutes les fonctionnalités critiques. De nombreux problèmes ne se manifestent que dans les formulaires, l'espace de connexion, les contenus multilingues, les vues ou les modules personnalisés.

Après une mise à jour, vérifiez au moins :

• Le Frontend : Page d'accueil, sous-pages, navigation, vue mobile et mise en page.
• Le Backend : Connexion, menu d'administration, aperçu du contenu et pages de configuration.
• Les formulaires : Formulaire de contact, formulaires web, inscriptions et champs de téléversement.
• Les rôles utilisateurs : Accès pour les administrateurs, les rédacteurs et les utilisateurs normaux.
• Les médias : Images, documents, styles d'images réactifs et téléchargements de fichiers.
• Les fonctions SEO : Alias d'URL, redirections, balises méta, sitemap et URL canoniques.
• Le multilinguisme : Changement de langue, traductions et menus dépendants de la langue.
• Les performances : Temps de chargement, comportement du cache et messages d'erreur dans le journal.

Ouvrez également les journaux de Drupal sous Rapports -> Messages récents du journal. Vous y détecterez souvent les avertissements, les erreurs PHP, les fichiers manquants ou les problèmes de modules plus rapidement que sur le frontend.

Les mises à jour de sécurité ont la priorité

Toutes les mises à jour ne sont pas aussi urgentes. Une petite mise à jour de correction de bugs peut être planifiée, tandis qu'une mise à jour de sécurité critique doit être installée rapidement. Lorsqu'un avis de sécurité Drupal est publié, il est important de vérifier rapidement si votre site est concerné.

Prenez en compte les éléments suivants :

• Le composant concerné est-il installé sur votre site ?
• Le module est-il activé ou simplement présent dans le code ?
• La vulnérabilité concerne-t-elle les visiteurs anonymes ou uniquement les utilisateurs connectés ?
• Y a-t-il une mesure immédiate recommandée ou seulement une mise à jour ?
• Un exploit est-il probable ou déjà publiquement connu ?

En cas d'avis critiques, n'attendez pas plusieurs semaines. Planifiez un test rapide, créez une sauvegarde et installez la mise à jour aussi vite que raisonnablement possible.

Composer, composer.lock et mises à jour reproductibles

Pour les projets Drupal basés sur Composer, le fichier composer.lock est particulièrement important. Il fige les versions de paquets qui sont réellement installées. Cela permet d'installer la même version de manière reproductible sur les environnements de test, de staging et de production.

Lorsque vous effectuez une mise à jour localement ou dans un environnement de test, vous devez transférer le fichier composer.lock mis à jour en même temps que le fichier composer.json. Sur le système de production, l'état exact vérifié peut alors être installé avec la commande suivante :

composer install --no-dev --optimize-autoloader

Ce processus est particulièrement pertinent pour les agences et les projets professionnels. Il réduit le risque que des versions de paquets différentes de celles de l'environnement de test soient installées sur le système en production.

Mises à jour manuelles par FTP : quand faut-il être prudent ?

Certains anciens guides Drupal décrivent des mises à jour manuelles par FTP. Les fichiers sont alors téléchargés, décompressés et transférés sur le serveur. Pour les installations Drupal modernes, cette méthode est source d'erreurs, surtout lorsque des dépendances Composer sont impliquées.

Les mises à jour manuelles de fichiers peuvent être problématiques car :

• Les dépendances ne sont pas mises à jour automatiquement,
• Des fichiers peuvent être écrasés par inadvertance ou oubliés,
• Les projets basés sur Composer deviennent ainsi incohérents,
• Des adaptations personnalisées dans de mauvais répertoires peuvent être perdues,
• La recherche d'erreurs après un téléversement incomplet est fastidieuse.

Si votre site est encore entretenu manuellement, vous devriez documenter précisément quels fichiers sont remplacés avant les mises à jour importantes. À long terme, une maintenance basée sur Composer est généralement recommandée pour les projets Drupal actuels.

Erreurs typiques lors des mises à jour Drupal

De nombreux problèmes de mise à jour ne proviennent pas de Drupal lui-même, mais d'une préparation incomplète ou d'un manque de contrôle. Vous devez éviter les erreurs suivantes :

• Pas de sauvegarde : Sans sauvegarde, une mise à jour défectueuse peut entraîner des pannes prolongées.
• Mises à jour directement en production (Live) : Les mises à jour majeures doivent d'abord être vérifiées sur un environnement de test.
• Oubli du mode maintenance : Les visiteurs ou les rédacteurs peuvent déclencher des modifications pendant la mise à jour.
• Mise à jour de la base de données ignorée : Le code et la base de données risquent de ne plus correspondre ensuite.
• Cache non vidé : Drupal peut stocker d'anciennes informations et ainsi paraître défectueux.
• Notes de version ignorées : Des consignes importantes concernant des changements majeurs sont oubliées.
• Trop de modifications à la fois : Si le cœur, de nombreux modules, le thème et la version de PHP sont modifiés simultanément, la recherche d'erreurs devient difficile.
• Conserver des modules obsolètes : Les modules non maintenus peuvent devenir un risque de sécurité à long terme.

Stratégie de mise à jour pour les petits sites web

Pour les petits sites Drupal sans fonctionnalités spécifiques complexes, un processus léger mais rigoureux suffit souvent. Vérifiez mensuellement les mises à jour disponibles, créez une sauvegarde, activez le mode maintenance, effectuez la mise à jour et testez les pages et formulaires les plus importants.

Pour les sites simples, il est particulièrement important de ne pas installer trop de modules inutilement. Chaque module supplémentaire augmente la charge de maintenance. Supprimez proprement les modules qui ne sont plus nécessaires via l'interface de désinstallation de Drupal, et ne les supprimez du code qu'ensuite.

Stratégie de mise à jour pour les grands projets Drupal

Pour les sites plus complexes, portails, intranets ou projets multilingues, le processus de mise à jour doit être organisé de manière plus professionnelle. Utilisez idéalement un environnement de staging, une gestion de version et des étapes de déploiement claires.

Un déroulement professionnel peut ressembler à ceci :

1. Copier le site de production sur un environnement de staging.
2. Créer une sauvegarde et un état Git.
3. Effectuer les mises à jour via Composer dans l'environnement de staging.
4. Exécuter les mises à jour de la base de données et vider le cache.
5. Effectuer des tests automatisés ou manuels.
6. Documenter les modifications.
7. Déployer les modifications vérifiées sur l'environnement de production.
8. Effectuer un test en direct et un contrôle des journaux.

Ce déroulement demande un peu plus de planification, mais réduit considérablement le risque de panne. En particulier pour les projets clients, il est nettement plus fiable que des mises à jour spontanées directement sur le système en production.

Remplacer les modules qui ne sont plus maintenus

Le nettoyage est un élément important de la sécurité de Drupal. Les modules qui ne sont plus activement maintenus ou qui ne prennent pas en charge une version actuelle de Drupal doivent être remplacés ou supprimés. Cela vaut particulièrement pour les modules qui concernent les formulaires, les droits d'utilisateur, les téléversements de fichiers, l'envoi d'e-mails ou les interfaces externes.

Pour les modules problématiques, vérifiez :

• Existe-t-il une version stable pour votre version de Drupal ?
• Le module a-t-il été mis à jour au cours des derniers mois ou des dernières années ?
• Y a-t-il des avis de sécurité ouverts ?
• Existe-t-il un projet successeur recommandé ?
• La fonction peut-elle être remplacée par le cœur de Drupal ou un autre module maintenu ?

Ne supprimez pas simplement un module via FTP. Désinstallez-le d'abord dans le backend de Drupal sous Extension -> Désinstaller, afin que les configurations et les entrées de base de données associées soient correctement traitées. C'est seulement après que le code doit être supprimé.

Prendre en compte la version de PHP et l'environnement d'hébergement

Les mises à jour de Drupal dépendent également de l'environnement serveur. Une nouvelle version de Drupal peut nécessiter certaines versions de PHP ou ne plus prendre en charge des versions plus anciennes. Vérifiez donc avant les mises à jour majeures quelle version de PHP votre site utilise et quelles sont les exigences de la version cible.

Dans cPanel, selon votre pack d'hébergement, vous pouvez souvent gérer la version de PHP et les extensions. Veillez à ce que les extensions PHP requises soient actives et que les limites de mémoire soient suffisamment dimensionnées. Les projets Drupal comportant de nombreux modules, Composer et une configuration importante nécessitent souvent plus de ressources que les sites simples.

Notre Hébergement web cPanel est adapté aux projets Drupal pour lesquels une configuration PHP à jour, le SSL, les bases de données, les sauvegardes et l'accès SSH doivent fonctionner ensemble proprement.

Avantages SEO et GEO d'un site Drupal bien entretenu

Les mises à jour ont un impact non seulement sur la sécurité, mais aussi indirectement sur le SEO et le GEO, c'est-à-dire sur le référencement naturel classique et la visibilité dans les moteurs de réponse basés sur l'IA. Un site techniquement stable, rapide et sécurisé est exploré (crawl) de manière plus fiable, moins souvent interrompu par des pages d'erreur et offre un contenu cohérent.

Pour le SEO et le SEO-IA, les points suivants sont particulièrement pertinents :

• Des URL stables : Les alias d'URL et les redirections doivent continuer à fonctionner correctement après les mises à jour.
• Des temps de chargement rapides : Les modules à jour et les caches optimisés favorisent les performances.
• Des pages sans erreur : Les erreurs 500, les formulaires défectueux ou les avertissements PHP peuvent nuire à la confiance et à l'exploration.
• Un site sécurisé : Les logiciels malveillants, les composants obsolètes ou les pages compromises nuisent à la visibilité et à la réputation.
• Une structure claire : Des menus, métadonnées et sitemaps bien entretenus aident les moteurs de recherche et les systèmes d'IA à comprendre le contenu.

Pour les entreprises en Suisse, il est par ailleurs important que le site web, le domaine, l'hébergement et la maintenance technique fonctionnent ensemble de manière fiable. Une installation Drupal bien entretenue sur un hébergement web suisse stable favorise la confiance, la protection des données, les temps de chargement et la visibilité à long terme.

Check-list : mettre à jour Drupal en toute sécurité

Questions fréquentes sur les mises à jour de Drupal

À quelle fréquence dois-je mettre à jour Drupal ?

Vérifiez au moins une fois par mois si des mises à jour sont disponibles. Les mises à jour de sécurité doivent être installées beaucoup plus rapidement dès qu'il est établi que votre site est concerné.

Puis-je installer les mises à jour de Drupal directement depuis le backend ?

Selon la version de Drupal et la structure du projet, certaines fonctions d'administration sont visibles dans le backend. Pour les installations Drupal modernes et professionnelles, Composer reste toutefois la méthode la plus fiable car les dépendances sont gérées proprement.

Dois-je exécuter update.php après chaque mise à jour ?

Si Drupal signale des mises à jour de la base de données, celles-ci doivent être exécutées. Après des mises à jour du cœur ou de modules, vous devez toujours vérifier si des actualisations de base de données sont en attente.

Que faire si une mise à jour endommage le site ?

Ne désactivez pas le mode maintenance trop vite. Vérifiez les messages d'erreur, les journaux, les sorties de Composer et les mises à jour de la base de données. Si le problème ne peut pas être résolu rapidement, restaurez la sauvegarde créée précédemment et analysez la cause dans un environnement de test.

Les modules désactivés représentent-ils aussi un risque ?

Les modules désactivés ou non installés sont moins critiques que les modules actifs, mais ils devraient tout de même être nettoyés. Du code inutile augmente la complexité et peut prêter à confusion lors de travaux ultérieurs.

Dois-je activer les mises à jour automatiques ?

Les mises à jour automatiques peuvent être utiles, mais elles ne remplacent pas les sauvegardes et les tests. Pour les sites Drupal critiques pour l'entreprise, les mises à jour doivent être effectuées de manière contrôlée, en particulier si des modules, thèmes ou intégrations personnalisés sont utilisés.