Ce que fait WP File Manager dans votre administration
WP File Manager ajoute un explorateur de fichiers au tableau de bord : le menu « Gestionnaire de fichiers WP » ouvre l’arborescence du serveur, où vous copiez, déplacez, renommez, supprimez, téléversez et téléchargez fichiers et dossiers par glisser-déposer. L’explorateur crée et extrait des archives (zip, rar, tar, gzip), affiche un aperçu des images et des PDF, et ouvre les fichiers texte, PHP compris, dans un éditeur de code basé sur CodeMirror.
L’interface repose sur elFinder, une bibliothèque libre que l’extension embarque. Par défaut, elle s’ouvre à la racine de l’installation, donc sur wp-config.php, le cœur, les thèmes et les extensions. Un module « Restauration de sauvegarde » sauvegarde à la demande la base de données et les dossiers des extensions, des thèmes et des téléversements. Dans la version gratuite, seuls les administrateurs y ont accès.
L’extension est publiée sur wordpress.org par le compte mndpsingh287 et vendue en version payante sous la marque File Manager Pro. Pro, en achat unique, ouvre l’explorateur à d’autres rôles et utilisateurs, avec dossiers privés, fichiers masqués ou verrouillés, limite de taille des envois et shortcode pour le site public. En gratuit, les menus « Paramètres » et « Journaux » ne montrent que des captures de démonstration.
Quand WP File Manager est utile, et quand l’éviter
WP File Manager rend service quand l’accès au serveur manque ou doit aller vite :
- Dépannage ponctuel sans SFTP : renommer le dossier d’une extension qui bloque l’administration, remplacer un fichier de thème, récupérer un journal d’erreurs.
- Hébergement sans gestionnaire de fichiers pratique : téléverser une archive puis l’extraire sur place.
- Partage de documents avec des membres (Pro) : dossiers privés par utilisateur ou par rôle, explorateur intégré à une page par shortcode.
Ce n’est pas un outil à garder installé en permanence : un explorateur capable d’écrire du PHP sur le serveur fait exactement ce qu’un attaquant cherche à obtenir. Si votre hébergeur fournit SFTP ou un gestionnaire de fichiers, préférez-le. Ce n’est pas non plus une solution de sauvegarde : le module intégré ne planifie rien et garde les archives sur le serveur, là où UpdraftPlus planifie et envoie vers un stockage distant.
Points forts et limites de WP File Manager
Points forts
- Un explorateur complet sans FTP. Glisser-déposer, sélection multiple, archives, aperçus et recherche dans le tableau de bord.
- Un éditeur de code intégré. CodeMirror colore la syntaxe des fichiers PHP, CSS et JavaScript.
- Réservée aux administrateurs en gratuit. Impossible de déléguer l’explorateur à un rôle inférieur, ce qui limite les dégâts d’un compte de rédaction compromis.
- Pro en achat unique. Licences sans abonnement, avec mises à jour à vie pour le nombre de sites choisi.
Limites
- Un historique de failles lourd. Une exécution de code sans compte exploitée en masse en 2020, puis plusieurs expositions de sauvegardes jusqu’en 2026.
- Tout le site ouvert par défaut. L’explorateur démarre à la racine de WordPress,
wp-config.phpcompris. - Sauvegardes minimales. Ni planification ni stockage distant : les archives restent sur le serveur à protéger.
- Délégation et journaux payants. Accès par rôle ou par utilisateur, dossiers privés et journaux des fichiers modifiés ou téléchargés sont réservés à Pro.
- Support direct réservé à Pro. Les utilisateurs gratuits passent par le forum de wordpress.org.
Les réglages que nous recommandons pour WP File Manager
Les réglages de la version gratuite sont sur l’écran Préférences. Les libellés sont ceux de la traduction française fournie avec l’extension ; un libellé non traduit reste en anglais.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Chemin racine public Gestionnaire de fichiers WP > Préférences | Le seul dossier utile, par exemple wp-content/uploads | Par défaut, toute l’installation est ouverte. Un chemin erroné rend l’explorateur inutilisable : rouvrez-le après l’enregistrement. |
| Activer la corbeille ? Même écran | Activé pendant une intervention | Une suppression par erreur se rattrape. Les fichiers supprimés restent dans lib/files/.trash/ : videz la corbeille à la fin. |
| Activer le téléchargement de fichiers vers la médiathèque ? Même écran | Désactivé (valeur par défaut) | Activé, chaque fichier envoyé par l’explorateur s’ajoute à la médiathèque. |
| « Maximum allowed size at the time of database backup restore » Même écran | Valeur proposée, sauf erreur de restauration | Ce champ modifie la variable MySQL max_allowed_packet ; ne l’augmentez que si une restauration échoue. |
| Sauvegarde de la base de données et Sauvegarde de fichiers Gestionnaire de fichiers WP > Restauration de sauvegarde | Juste avant une modification risquée, puis archive téléchargée et supprimée du serveur | L’archive de la base contient les e-mails et les empreintes des mots de passe de vos utilisateurs. |
| Mises à jour automatiques Extensions > Extensions installées | Activées | Le journal des modifications mentionne des correctifs de sécurité dans la plupart des versions récentes. |
| Présence de l’extension Extensions > Extensions installées | Supprimée après l’intervention | En 2020, le fichier vulnérable restait appelable extension désactivée : seule la suppression retire le risque. |
- Après avoir changé le chemin racine, rouvrez l’explorateur : seul le dossier choisi doit apparaître.
- Vérifiez qu’il ne reste aucune archive dans
wp-content/uploads/wp-file-manager-pro/fm_backup, l’ancien emplacement public des sauvegardes. - Cherchez des fichiers PHP inattendus dans
wp-content/plugins/wp-file-manager/lib/files/. - Dans Extensions, vérifiez que la version installée est au moins la 8.0.5, idéalement la dernière.
La sécurité de WP File Manager : un historique à prendre au sérieux
Un gestionnaire de fichiers lit et écrit sur le serveur par conception : ses failles mènent vite à une fuite de données ou à l’exécution de code. Les cas qui comptent :
- CVE-2020-25213, corrigée en 6.9 : un connecteur d’exemple d’elFinder, renommé en
.php, laissait un visiteur anonyme déposer puis exécuter du PHP. Exploitée en masse, elle figure au catalogue des failles exploitées de la CISA (voir notre article sur la faille CVE-2020-25213 de WP File Manager). - CVE-2024-0761, jusqu’à 7.2.1 : les noms des sauvegardes (horodatage et quatre chiffres) se devinaient, et les archives se téléchargeaient sans compte quand le
.htaccessdu dossier n’était pas appliqué (CVSS 8,1). - CVE-2024-1538, jusqu’à 7.2.4 : une attaque CSRF sur le paramètre
langpouvait mener à l’exécution de code si un administrateur cliquait sur un lien piégé (CVSS 8,8). - CVE-2026-19708, versions 7.2.2 à 8.0.4, corrigée en 8.0.5 : les sauvegardes de la base restaient téléchargeables sans compte sur les serveurs qui ignorent le
.htaccess, comme Nginx. Depuis, l’extension range ses sauvegardes hors du dossier public et refuse d’en créer si c’est impossible.
D’après le journal des modifications, les versions 8.0.5 et 8.0.6 ont aussi corrigé une chaîne de failles d’elFinder qui permettait à une page piégée d’écrire un fichier PHP sur le serveur via la session d’un administrateur. Activez les mises à jour automatiques des extensions et cherchez les autres archives oubliées (voir fichiers sensibles exposés et sauvegardes .sql). WP File Manager n’ajoute rien aux pages publiques, mais les robots qui ciblent ses failles interrogent directement les fichiers de son dossier ; l’encadré ci-dessous indique ce que WP Masquerade couvre pour elle, sans remplacer la mise à jour.
Ce que WP Masquerade masque pour WP File Manager
Version gratuite Pris en charge par la version gratuite de WP Masquerade
WP File Manager fait partie des 50 extensions les plus utilisées que la version gratuite connaît. Pro va plus loin en renommant ses fichiers.
Version gratuite
Rien à retirer
Avec Pro
Rien de plus
Reste visible
Aucune trace connue
Questions fréquentes sur WP File Manager
Faut-il garder WP File Manager installée en permanence ?
Nous le déconseillons. Installez-la pour une intervention, puis supprimez-la : la désactiver ne suffit pas toujours, comme l’a montré la faille de 2020. Pour un accès régulier, SFTP ou le gestionnaire de fichiers de l’hébergeur restent plus sûrs.
Peut-on donner l’accès à un client ou à un rédacteur ?
Pas avec la version gratuite, réservée aux administrateurs. Pro permet de choisir les rôles et utilisateurs autorisés, de leur attribuer un dossier privé et de limiter leurs opérations ; chaque compte ouvert devient une porte de plus vers vos fichiers.
Combien coûte WP File Manager Pro ?
La page tarifs affiche 39 $ US pour un site, 199 $ US pour 10 sites et 399 $ US pour 25 sites, cette formule incluant tous les modules complémentaires (Google Drive, Dropbox, Amazon S3...). L’éditeur présente Pro comme un achat unique, remboursable sous 14 jours.
La sauvegarde intégrée remplace-t-elle une extension de sauvegarde ?
Non. Elle se lance à la main et garde ses archives sur le serveur du site : utile avant une modification, inutile contre une panne ou un piratage. Suivez plutôt la stratégie de sauvegarde 3-2-1 avec un outil dédié.