ACF Pro vs WordPress.org : une affaire qui secoue la communauté

L’écosystème WordPress est en ébullition après des accusations graves portées contre WordPress.org et Automattic, la société mère de projets phares comme Jetpack et WooCommerce. Au centre de cette polémique se trouve ACF Pro, l’une des extensions WordPress les plus populaires pour la gestion avancée des champs personnalisés, accusée d’avoir été « volée » et redistribuée de manière détournée. Retour sur cette affaire explosive et ses implications.

Qu’est-ce qu’ACF Pro ?

Advanced Custom Fields (ACF) est une extension WordPress permettant aux développeurs et administrateurs de sites d’ajouter facilement des champs personnalisés à leurs contenus. Sa version payante, ACF Pro, propose des fonctionnalités avancées comme :

• Des repeater fields (champs répétés).
• La gestion de blocs Gutenberg personnalisés.
• La compatibilité avec les relations complexes entre données.
• Des options supplémentaires pour l’interface utilisateur.

Ces fonctionnalités ont fait de ACF Pro un outil incontournable pour les développeurs professionnels. Cependant, comme tout plugin WordPress, ACF Pro est distribué sous la licence GPL, permettant légalement son fork et sa redistribution sous certaines conditions.

Qu’est-ce que la licence GPL et pourquoi pose-t-elle problème ici ?

La General Public License (GPL) est une pierre angulaire de l’écosystème WordPress. Elle garantit que toute extension ou thème dérivé de WordPress doit être open-source et librement redistribuable. Cette règle, bien que bénéfique pour l’innovation, pose des défis éthiques et commerciaux pour les développeurs :

• Forking autorisé : tout développeur peut légalement copier, modifier et redistribuer une extension sous GPL.
• Perte de contrôle : les auteurs de plugins premium comme ACF Pro risquent de voir leurs travaux redistribués gratuitement.

Pourquoi WordPress.org est-il accusé de « vol » ?

An analysant des éléments, WordPress.org a effectivement forké le plugin ACF Pro, réutilisant le code source de la version premium pour proposer une nouvelle extension, d’abord sous l’URL d’origine de Advanced Custom Fields, puis dans un nouveau plugin intitulé Secure Custom Fields (SCF). Les preuves présentées, notamment via des captures d’écran du code source, confirment les accusations suivantes :

• Conservation initiale de l’URL et des statistiques d’installation : dans un premier temps, le fork a été publié directement sous l’URL originale d’ACF sur WordPress.org, en modifiant quand même son nom (Secure Custom Fields) utilisant ainsi les statistiques existantes de téléchargement actif (2+ millions d’installations), une pratique trompeuse pour les utilisateurs.
  
• Duplication dans un nouveau plugin (SCF) : après avoir conservé l’URL d’origine pendant une période indéterminée, l’équipe de WordPress.org a cloné le fork vers un nouveau plugin intitulé lui aussi Secure Custom Fields, en conservant des éléments du code premium.
  
• Code source incluant la version Pro d’ACF : une analyse du fichier PHP révèle des inclusions directes de la version pro d’ACF, identifiées par des déclarations explicites dans le code (acf_include('pro/acf-pro.php')).
  

Violation de confiance et déséquilibre de pouvoir

Ces actions soulèvent des préoccupations majeures pour la communauté WordPress :

1. Manque de transparence : En réutilisant l’URL d’origine et les statistiques d’installations, WordPress.org induit en erreur les utilisateurs qui pourraient croire qu’ils utilisent l’extension officielle ou une version approuvée par ses auteurs.
2. Usage abusif de la licence GPL : bien que légalement autorisée, la redistribution d’un code premium dans un contexte qui mine la confiance des développeurs et utilisateurs est perçue comme une violation de l’éthique open-source.
3. Pouvoir disproportionné d’Automattic : cette affaire met en lumière la domination de WordPress.org sur l’écosystème, laissant peu de recours aux créateurs d’extensions premium pour protéger leur travail face à des pratiques de fork.

Quelles sont les implications pour la communauté ?

Perte de confiance et fuite des développeurs

Si les pratiques de fork de plugins premium, telles qu’observées dans le cas d’ACF Pro, deviennent courantes, cela pourrait entraîner une perte de confiance massive dans WordPress.org. Les développeurs hésiteraient à publier leurs extensions sur le répertoire officiel, préférant explorer des plateformes alternatives où leurs efforts seraient mieux protégés.

Menace croissante pour les extensions premium

La redistribution de versions payantes, comme cela a été observé avec ACF Pro, représente une menace importante pour les solutions complexes et coûteuses. Ce précédent pourrait décourager les créateurs d’investir dans le développement de plugins premium, craignant que leurs travaux soient clonés ou redistribués sans compensation équitable.

Comment protéger vos extensions ?

Pour les développeurs, il existe des moyens de minimiser les risques liés à la GPL, bien que la protection soit limitée :

• Distribuer des licences SaaS : lier des fonctionnalités premium à des services en ligne.
• Obfuscation de code : bien que légalement limite, cette méthode rend le fork moins attractif.
• Éducation des utilisateurs : encourager la communauté à soutenir les versions officielles payantes au lieu de forker.

Faut-il revoir la gouvernance de WordPress ?

Face à ces préoccupations, la communauté appelle à une réforme des règles de gouvernance de WordPress.org et la position dominante de Matt Mullenweg sur le projet. Une plus grande transparence et un meilleur contrôle collectif sont nécessaires pour éviter que ce type d’abus de pouvoir ne se reproduise. La demande d’une gouvernance plus équitable devient cruciale pour restaurer la confiance entre les différentes parties prenantes de l’écosystème WordPress.

Une affaire révélatrice de tensions sous-jacentes

L’affaire autour de ACF Pro met en lumière des tensions croissantes au sein de la communauté WordPress. Entre les opportunités offertes par l’open-source et les défis posés par des pratiques jugées abusives, la nécessité d’une réforme se fait sentir. Pour préserver l’esprit de collaboration qui a fait le succès de WordPress, il est impératif de rétablir la confiance entre développeurs et gestionnaires de la plateforme.

Et vous, que pensez-vous de cette affaire ?

Renforcez votre site : les alertes de sécurité WordPress

Suivez les mises à jour cruciales sur les dernières vulnérabilités et les correctifs pour protéger efficacement votre site WordPress.

Un site WordPress piraté ?