Add-ons Elementor abandonnés : la porte derrière le constructeur

Le constructeur n'est pas le seul paquet

Elementor (et Elementor Pro) se mettent à jour, le site affiche « tout est vert ». À côté : un pack de widgets, un add-on de formulaires, un connecteur, un « theme builder pack » trouvé sur un forum. C'est ce second étage qui, dans les dossiers récents, porte la faille. Le premier étage, lui, sert de bouclier rhétorique : « on est à jour ».

WordPress 6 n'y change rien. Le centre de gravité des portes s'est déplacé vers ces couches. Piratages actuels.

Elementor a eu ses propres CVE ; elles se patchent. L'add-on sans mainteneur, lui, ne se patche pas. Le laisser « désactivé pour plus tard » laisse le code sur le disque, parfois encore exécutable via un fichier orphelin.

Ce que « abandonné » veut dire ici

Plus de mise à jour depuis dix-huit mois, page WordPress.org fermée, site vendeur mort, avis « ne plus utiliser », incompatibilité affichée avec la version actuelle d'Elementor. Un pack nulled « Pro » est abandonné par construction : personne ne le patchera pour vous.

« Ça marche encore » n'est pas un critère. Les bots testent des failles publiques, pas votre rendu de page. Un widget de countdown de 2021 qui s'affiche n'est pas un widget maintenu.

Si vous ne savez pas si le paquet est officiel, c'est déjà un signal. Le circuit, c'est WordPress.org ou le compte Elementor / l'éditeur nommé. Le zip « envoyé par l'agence » sans facture d'éditeur, on le traite comme hors circuit.

Lister sans se fier à l'écran Extensions

L'admin liste les plugins actifs. Pas toujours les must-use, les drops-in, les mu qui portent un nom d'add-on, les dossiers restés après une « suppression » ratée. Parcourez `wp-content/plugins` et `mu-plugins` sur le disque. Notez les dates. Comparez aux pages officielles.

Les widgets Elementor peuvent aussi vivre dans le thème enfant (`widgets/`, `inc/`). Un thème « compatible Elementor » téléchargé hors Envato officiel est une troisième pile.

Faites la liste avant de tout désactiver au hasard : vous aurez besoin de savoir ce qui était là pour le constat, et pour ne pas recasser le rendu après coup.

• Plugins dont le nom contient addons, widgets, elements, pack.
• Dossiers dans le thème enfant qui enregistrent des widgets.
• Licences « lifetime » jamais renouvelées, donc jamais mises à jour.

Désactiver n'est pas nettoyer

La faille a déjà servi. Un PHP à la racine, un utilisateur admin, une option, un cron : ils survivent à l'interrupteur de l'add-on. Désactiver arrête parfois l'entrée. Ça n'efface pas la maison.

Supprimer le dossier sans comparer le reste du site, c'est jeter la clé et garder les copies. On compare cœur, Elementor officiel, thème, on retire les ajouts, on tourne les accès. L'ordre des premiers gestes tient.

« Réparer » via un scanner qui réécrit des fichiers Elementor casse parfois le builder. On compare, on ne laisse pas un bouton magique décider.

Thème enfant, CSS custom, et widgets globaux

Beaucoup d'insertions se cachent dans un HTML de widget global, un CSS custom qui charge un script distant, un template Header sauvé en base. Ce n'est plus l'add-on : c'est le contenu Elementor. Relisez les templates, les popups, les footers. Un script de skimmer ou un iframe n'a pas besoin d'un plugin actif.

Exporter les templates pour « la refonte » pendant l'incident exporte parfois l'injection. On nettoie, puis on exporte. Pas de refonte tout de suite.

Le CSS custom d'Elementor accepte des `url()` externes. Un domaine que vous n'avez pas choisi n'est pas « un CDN gratuit ».

Essential, Premium, « packs » de widgets

Des éditeurs sérieux maintiennent leurs packs ; d'autres ont arrêté. Le nom commercial ne décide pas. La date de dernière version et le changelog, si. Si vous avez Essential Addons, Premium Addons, Crocoblock, ou un pack « 200 widgets », vérifiez chacun, pas « Elementor donc OK ».

Un seul pack abandonné suffit. Inutile de jeter tout l'écosystème par panique : vous vous interdisez de remettre le site en ligne. Jetez ce qui n'a plus de mainteneur, patchez le reste après fermeture.

Les versions nulled de ces packs arrivent déjà habitées. Ne réinstallez pas la même archive « pour retrouver les widgets ». Compte éditeur, zip officiel, ou on se passe du widget.

Après l'incident : remplacer, pas empiler

Chaque widget que vous voulez garder doit avoir un remplaçant maintenu, ou un équivalent dans Elementor Pro, ou du HTML simple. Empiler un quatrième pack « le temps de migrer » recrée la surface.

Mettez à jour Elementor / Pro une fois le site propre, sur une copie. Les mises à jour de builder pendant l'attaque produisent des 500 et du bruit.

DISALLOW_FILE_EDIT et la fin des comptes agence éternels réduisent la suite. Éditeur de fichiers, freelance encore admin.

Décider ce qui reste dans le builder

Un site vitrine n'a pas besoin de dix-sept packs. Un incident est un bon moment pour une liste courte — pas pour une refonte graphique. Liste courte = moins de portes la prochaine fois.

Si personne ne sait à quoi sert un add-on, il sort. « On ne sait pas » est un critère de retrait, pas de conservation.

Vous pouvez déposer le dossier avec la liste d'extensions. Nous dirons lesquels sont hors circuit ou sans mainteneur. Ce n'est pas un audit décoratif : c'est la carte de l'entrée.