After-Hack Checklist

Confidentialité : After-Hack Checklist (gratuit et Pro)

Dernière mise à jour : 2026-10-30. Éditeur : Timothée Aubourg.

Extension gratuite

  • Rien n'est envoyé à l'éditeur. L'extension n'envoie rien à son auteur. Elle ne charge aucun script ni police à distance, ne pose aucun cookie à elle, et ne fait ni pistage ni statistiques.
  • Appels à WordPress.org, seulement si vous cochez une case. La case « Télécharger les sommes de contrôle depuis api.wordpress.org et downloads.wordpress.org » est décochée au premier passage ; votre choix est ensuite mémorisé (option ahcl_checksums_consent). Case cochée, un contrôle envoie :
    • à api.wordpress.org, une requête pour les sommes du cœur, avec votre version de WordPress et la langue du paquet ;
    • à downloads.wordpress.org, une requête par extension installée, avec le nom de son dossier et sa version ;
    • à api.wordpress.org, pour chaque extension sans sommes publiées, une requête avec le nom de son dossier, pour savoir si elle est sur WordPress.org.

    Ces requêtes passent par l'API HTTP de WordPress, qui envoie par défaut la version de WordPress et l'adresse du site dans l'en-tête User-Agent ; WordPress.org voit aussi l'adresse IP de votre serveur. WordPress.org les traite selon sa politique de confidentialité : https://wordpress.org/about/privacy/. Case décochée, rien ne sort de votre site.

  • Lu sur votre site : fichiers du dossier de WordPress, comptes avec leurs rôles et capacités, articles et pages, tâches planifiées, réglages et options chargées automatiquement. L'extension n'en modifie aucun.
  • Stocké par l'extension, dans votre base seulement : ahcl_state (état du passage en cours) et ahcl_last_report (dernier rapport), non chargées automatiquement ; ahcl_checksums_consent (votre choix pour la case) ; des transients avec les sommes et les informations d'extensions téléchargées, gardés 24 heures. Le dernier rapport peut contenir des chemins de fichiers, des identifiants et noms de comptes, des titres de contenus et de courts extraits (200 caractères au plus) des valeurs trouvées. Rien d'autre n'est écrit.
  • Seuls les utilisateurs qui ont la capacité manage_options (en multisite, les administrateurs du réseau) peuvent ouvrir la page et lancer un contrôle.

Version Pro

  • SDK Freemius, seuls appels réseau du Pro en dehors des sommes. Le Pro contient le SDK WordPress de Freemius (Freemius, Inc., Wilmington, Delaware, États-Unis, revendeur et vendeur de plein droit du Pro). Quand l'administrateur active la licence, le SDK envoie à Freemius la clé, l'adresse du site, un identifiant anonyme du site, les versions de l'extension et du SDK, le fait que le site soit local ou non et, sauf si la licence appartient déjà à un compte Freemius, le prénom, le nom et l'adresse e-mail de l'administrateur WordPress qui active (avec sa réponse à la question sur les e-mails commerciaux, si l'écran la pose). L'écran d'activation de la licence (en anglais) liste ce qui est partagé : obligatoire, « View License Essentials » (adresse du site, version de l'extension, version du SDK) et « View Plugin State » (actif, désactivé ou désinstallé) ; optionnel, « View Diagnostic Info » (versions de WordPress et de PHP, langue et titre du site), coché par défaut, et « View Plugins & Themes List » (noms, slugs, versions, actif ou non), décoché par défaut. Les envois optionnels se changent ensuite par le lien « Désinscription » (« Opt Out » sur un site en anglais) du Pro sur l'écran Extensions. Ensuite le SDK vérifie la licence et cherche les mises à jour à intervalles réguliers avec les données autorisées ci-dessus, et signale à Freemius la désactivation ou la désinstallation du Pro. Si l'administrateur remplit le formulaire de retour du SDK à la désactivation, la raison choisie et le texte saisi (128 caractères au plus) sont envoyés aussi.
  • Contrôle planifié : il ne télécharge les sommes de WordPress.org que si la case du gratuit est cochée, avec les mêmes requêtes que ci-dessus.
  • Instantané : rangé dans la table {prefix}ahcl_snapshot de votre base : chemins et sommes des fichiers, comptes qui ont des droits d'administration, noms d'options avec une empreinte de leur valeur, tâches planifiées. Il n'est envoyé nulle part.
  • E-mail : envoyé par votre site avec wp_mail(), par défaut à l'adresse d'administration du site, seulement pour une nouvelle anomalie ou un nouveau constat suspect. Il passe par les réglages d'envoi de votre site, pas par l'éditeur.
  • Export HTML : un fichier téléchargé par l'administrateur qui clique sur le bouton ; le Pro ne l'envoie nulle part.
  • Désinstallation : supprimer le Pro depuis l'administration WordPress efface sa table et ses options à lui (celles du gratuit restent). Le SDK Freemius garde ses données de compte dans les options WordPress (fs_accounts), comme Freemius l'a prévu ; pour les retirer, utilisez « Delete account » sur la page Compte du Pro avant de désinstaller.
  • Données d'achat (nom, e-mail, facturation) : traitées par Freemius, revendeur, selon sa politique de confidentialité, pas par l'extension.

Contact

  • Questions de confidentialité : support@timaub.fr.
  • Failles de sécurité : security@timaub.fr (voir security.txt sur https://timaub.fr).