Climb to the Stars

Mes notes de WordCamp Genève 2022, prises sur le vif, n’engagent que moi et peuvent contenir des erreurs!

JB  (core wordpress)

Ces dernières années ont été riches en changements pour WP. WP a toujours suivi les besoins de l’industrie du web. Slide avec rétrospective des grosses étapes de l’évolution de WP + écosystème.

2018, le drame: Gutenberg. Electrochoc pour la communauté: incertitude… (on aime pas!)

En plusieurs phases: éditeur de blocs, puis éditeur de site (phase dans laquelle on est maintenant, 2021-22).

Du point de vue de l’agence: découverte en 2017 vu l’extension Gutenberg, premiers tests. On tente de se persuader que ça va être bien malgré les avis super négatifs (qui vont empirer sur 2018). WP 5.0 prévu pour printemps 2018, donc urgence de s’y mettre.

Veille active, contribution au développement => compris que ça sortirait pas printemps 2018. Contribuer leur a permis d’apprendre et aussi une opportunité d’influencer le développement. Décident de faire la montée en compétence via un projet client (doivent donc monter un discours client: pérennité, réutilisabilité, simplicité et propreté du code… il faut compenser l’absence de référence sérieuse!)

=> mise en oeuvre d’un discours pro-G dans la communauté. (La doc est pas encore là et ça aide pas!)

2e semestre 2018, projet full G, pour une grosse enseigne de distribution. WP5.0 repoussé en décembre, basent tout sur le plugin du coup… Tout est mouvant, grosse perte de temps (ne referait pas si c’était à refaire!) Côté crédibilité, pas simple non plus. Reçoivent maquette par maquette de la grosse agence créa qui fait que de la créa et ne veut pas toucher au reste. Le lead dev a mis les bouchées doubles, le site est sorti juste après WP 5.0, ont pu ôter le plugin, c’est allé (ouf).

2019: 100% des projets seront G. Montée en compétence de toute l’équipe (le lead dev ça suffit pas). Plein de petits projets qui se passent bien, développent des extensions, communiquent dans la communité, puis gros projet d’usine à sites pour un groupe international, avec agence créa qui connaissaient très bien G, ce qui a tout changé. (On fait les pages bloc par bloc.)

2020: pérennisation… les projets passent en maintenance, donc il fallait former les équipes support (n’avaient pas anticipé, erreur). Commencent à être rodés côté discours client, supports de formation. L’arrivée des compositions est une bonne chose (contre l’angoisse de la page blanche). Les clients sont ravis mais les agences créa continuent à être un problème si elles travaillent à l’ancienne.

2021, l’attitude change face à G, bcp d’extensions, écosystème foisannant. La doc est plutôt bonne. Recrutement plus facile… G est mature. (Au début, tout le temps des “erreurs de bloc”!)

Et 2022? Début d’un nouveau cycle. Full site editing. Phase expérimentale assumée. WP 5.9 + thème Twenty Twenty-Two => éditeur bêta clairement indiqué.

Objectifs 2022 de JB: bâtir des petits sites basés sur des Block Themes et le FSE (full-site editing) comme 2022. Préparer le discours client commercial, faire monter en compétences toutes les équipes. Expérimenter le FSE sur des petites zones de sites intermédiaires. e.g. rendre éditable le footer (on peut faire des thèmes hybrides). Puis, lancer un gros projet avec FSE (les usines à sites sont idéales pour expérimenter).

Bcp de gens critiques au départ admettent les qualités de G maintenant que c’est stable (au début: pas stable, mal communiqué, doc absente…)

Vu l’ouverture du projet, on peut au minimum anticiper, et même, contribuer!

WP 6.0 va être une “petite version”, 6.1 consolidation, la prochaine grosse version viendra en 2023 avec les outils collaboratifs.

My notes of WordCamp Geneva 2022, might be incomplete or contain errors!

Matteo‘s personal story in the WordPress community. First talk outside Italy, non-technical, in English (non-remote)!

Matteo is an open-source evangelist and developer from Sardinia. Moved to Milan in 2018 to join the startup he’d been working for. Worked on a big WordPress site. Sees a 2-day event in the WP admin. Decides to go! It was WordCamp Turin. Leaves with a stack of notes after the day of talks.

Discovers the wider community (developers, writers, designers…), all wordpress lovers. Pacman (?) – leaving a space for others to join the conversation.

Second WordCamp: Zurich. Intense! travels alone for the first time, and it’s in English. On the return trip, signed up for two more wordcamps and made a talk proposal. Verona, and then Dublin. In Verona meets other people of the Italian WordPress community. Dublin was a very big community, multicultural. Problems with accents! Difficult for beginners. Also, if you’re shy, easier to sit in talks than participate in the contribution day. But he did the contribution day (support table) in English (written), because it was his goal.

Back to Italy. Being shy makes it hard to speak in front of many people! Cf. “Anger Management” movie (called “shock therapy” in Italian). Started out by being a volunteer and speaker and WordCamp Milan. In Cagliari (Sardignia), there wasn’t a meetup, so he started one.

Then he went to Glasgow, as a volunteer. And now, in Geneva (Switzerland), he shares his story in the hope it will encourage others to overcome their shyness and language issues!

• it’s important to know and study yourself
• participate! being a speaker is not the only way (volunteer and contribution day are great)
• don’t miss the after party!

Mes notes de WordCamp Genève 2022, prises sur le vif, n’engagent que moi et peuvent contenir des erreurs!

Fribourg Région. Ça commence au restau 🙂

Beaucoup de sites sur une plateforme propriétaire. 2019: il faut une stratégie pour 2022! Un doc de 18 pages, qui défend entre autres un système open source. Puis, présentation, puis de nombreuses discussions pour rassurer les gens sur l’open source. Centraliser la gestion technique.

Pas mal de workshops pour identifier et définir les modules. Puis wireframes. Idée depuis le logo: branding avec sous-sites (les régions), codes couleurs.

• 8 sites à migrer
• 8 bases de données à unifier
• 20k pages web
• objets et listings
• FR/EN/DE
• etc

Coeur du projet: les objets. Ex: un hôtel. Monstre Google Sheet pour définir les champs. Bcp de temps et longues discussions, voulaient garder leurs données et améliorer.

Chaque région a une nom de domaine, mais tout le monde a /randonnee /hotels /machin => pénible à mettre en place techniquement avec WordPress. Ont utilisé un plugin appelé (pas retenu).

L’associé pensait que drupal serait mieux, lead developer a dit qu’il voulait pas le faire (back-office). Souci! Problème: intégrer le back-office pour des objets complètement custom dans le back-office de WordPress.

Ont voulu bosser avec l’Inde (pas simple, bcp de boulot à mettre en place!), sont ensuite partis sur une équipe ukrainienne (plus proactifs, ont pu les intégrer dans le projet).

Outil de collaboration et planification: Monday. + Google Drive, + groupes Telegram (moins de mail).

Ont fait une base de données complètement sur mesure pour les objets. Structure des tables dans lucid. Tous les objets sont gérables depuis le back-office WP.

Question: gestion du multilinguisme?

Live-blogging notes, may contain errors! WordCamp Geneva 2022

A story about being hacked. Clean-up team (blue team).

A few concepts to get on the same page.

Two types of companies, those who have been hacked, and those who don’t yet know they have been hacked.

Hackers (curious person who likes to go beyond limits or conventions) vs. cyberterrorists (computer hacker, aligned to enrich himself in a zero-sum game situation = the bad guy).

How a WP site is infected: there is a vulnerability, somebody discovers it and creates and exploit, injects it (final code; backdoor = worse scenario). => spam, botnode, etc.

Targets: users, database, content, infrastructure, bot net, reputation.

Some facts:

• site hacking is almost never client-oriented (98%)
• almost always happens due to deficient monitoring/maintenance
• a SSL certificate is not an anti-hacking shield
• patches and security updates almost always appear after hacking exploits
• errare humanum est
• security will never be 100%

What measures do we have for infected sites?

• reactive (incident response), when something bad has always happened – pain mitigation
• proactive, before anything happens (analysis and monitoring) – risk mitigation

In this case: incident response. Identifying an attack quickly, minimising effects, containing damage… We’ll see how Nestor discovered what hat happened and what he did.

WordPress install in which we can see a few weirdly named folders and a file zzkwjuce.zip. Scenario: spammed site. SEO affected, removed Google Rank 😱, rapid reinfection. Viagra ads on site. Then you get warnings on the site… not fun.

Facts:

• no WAF (web application firewall) for this website
• tools cleaned spam and malware in plugins and root folder
• probable vector of infection, outdated plugin (no forensic analysis at this point)
• integrity analysis shows some core files are modified! (md5 hashes of WP core files/folders) – using WP API

=> index.php, contains an @include to a weird favicon somewhere in a theme. Uses “$ php -a” and unphp. It’s base64 code. base64decode.org Runtime semphore.

Actually the real backdoor was in the comments of the PHP code.

ctrlq.org/beautifier can be useful to make things readable. Sitecheck.sucuri.net (slide with various useful tools).

webpagetest

The favicon was in fact a backdoor to connect to a remote server => turning the website into a bot node. 0day ability. Different options included (spam e.g.), tracking of infected sites, bot net dashboard…

Main question: how does reinfection happen? via a cron job in a user directory (wget), get a file from a malicious domain, make it executable, run the sh script, and there we go.

Final advice: install proactive measures!

• reduce admins, plugins, and themes (least privilege rule)
• use password manager, change regularly
• have backups and validate them!
• do your updates (remember: patches come after exploits)
• monitor your site (wpscan.com & file integrity scanner)
• install a WAF (web application firewall)

Invest in hosting AND security.

WAF: can be external or internal. Wordfence has a WAF. Analyses traffic. Internal can use up ressources. With an external one, the traffic has to pass through it. Sounds like the Star Trek transporter decontamination.

Mes notes de WordCamp Genève 2022, prises sur le vif, n’engagent que moi et peuvent contenir des erreurs!

Carole fait des sites depuis 13 ans, directrice d’agence. Un site esthétique c’est pas suffisant. Il doit être vu! Donc points à avoir en tête pour passer d’un beau site à un site pro.

Un site bien entretenu est un site qui dure… (ahem ahem, j’ai du boulot!)

• Backup: Akeeba backup, qui fait un backup complet et permet de le réinstaller en quelques clics. Version pro, on peut programmer les sauvegardes. Pas besoin de l’intervention de l’hébergeur pour réinstaller en cas de cata.
• Mise à jour: Easy Update Manager, avec lequel on peut décider de critères pour les mises à jour.
• Protection des e-mails: Email encoder
• Wordfence pour la sécurité

Performance: dimensionner et optimiser les images, utiliser des polices d’icones pour faire des pictos légers (Plugin Font Awesome par ex), ne pas surcharger (mettez du vide), suivre les versions PHP, limiter les appels externes qui ralentissent le chargement de la page

JCH Optimize, Litespeed Cache, Jetpack Boost, Optimisation DIVI; options intéressantes: cache, lazy loading, fusion et compression des fichiers css/js, optimisation images. Il faut essayer et tester pour savoir ce qui est le mieux (avec sites de test). Attention aux plugins lourds (vérifier avec plugin Usage DD)

Yoast pour SEO. Titres de page, méta descriptions, niveaux de titres, conseils pour rédaction, photos spécifiques pour partage sur réseaux sociaux. Boîte à outils référencement.

Live-blogging notes, may contain errors! WordCamp Geneva 2022

We’re all trying to bring our gifts to the world using WordPress! Shaunelle believes everyone has a story and gifts. WP has helped her bring her story and gifts to the world.

Shaunelle came to CH in 2012, and decided they wanted to share their experience living in CH after living in Canada. Tried a newsletter first. Just mails to a closed group of people. Looked for something a bit more sustainable. Her husband did a little research.

They tried WordPress.com, but figured it wasn’t for them because you don’t control your data, too much out of your hands. So, WordPress.org – they’re both technical people. Got their own server to get started, in 2014. On the home network! To learn about WP. A safe environment to play around. Feel free and comfortable to fail.

In 2016 they decided to step up a bit, got a QNAP server, came with WP preinstalled, PHP… Also had ideas by then, about the potential of WP. Thought about their friends and family back in Jamaica, doing various jobs but without time or ressources to market themselves. A solopreneur website? Got a URL for that. Used the .xyz domain… was cheap… but regret that choice now.

2018, turning point: Shaunelle spent some time in a monastery and decided to start on her healing journey (didn’t have a chance to grieve when her mother died when she was 15). Used music as part of her journey, as is a pianist. Started recording music she played. Carried it everywhere. Husband asked why she didn’t share it! She didn’t want to, it was personal, he insisted, she finally decided to give in and share. WordPress became the way to share this music, this part of her life and journey.

Her focus shifted to content: writing the story, why she was sharing the music, etc. Got introduced to e-mail and mailing lists. She chose MailerLite, served her purpose because easy to use, simple, standalone but also integratable with WP. Sign-up form on her site.

WordCamps! First one in 2016 in NYC (was travelling by chance), then 2017 Bern, 2018 Lausanne. Community, acceptance. Meant a lot to her.

Their xyz site went offline in 2019… so e-mail. Error on the server. (Shaunelle reads the e-mail.) Actually, she got hacked. It was still their own server! Weren’t careful enough. Opportunity to revision… the music had gone offline and they had 300 active subscribers. Pause and step back!

Decided to get a “real” web hosting provider.

Migrated the site. Zoom, Zapier, Calendly, Mailerlite.

Early on, SEO was not important. Wasn’t trying to be found, just sharing with friends and family.

Had started inviting people into her home to listen to her playing music, end 2019 and 2020. Stopped with covid.

Which theme? see what fits best with your goal.

She used Twenty Seventeen, Audioigniter, OceanWP, etc…

There are decisions to make. Business or pleasure? A mix of both? Free or premium tools? What are the non-negociables? staging, backup, security, support and community, keeping on top of what is new.

Choose the theme and plugins that support your gifts, that instil confidence in those who use them. Have something on your site that says who you are! A way to get in touch with you. Also, ensure that you talk about what the transformation is. If somebody goes to your site, they want help in some way, they want to get better in some way. How can it benefit them? What will it do for them, over what you can do.

Shaunelle’s gift: sit a while. Pause amidst all the running.

What is next for her? Bring her website up one level. Accessibility. French. SEO! She realised that we all have a gift/story that can make the world a better place, so why hide it? Have a greater impact.

• For early starters: it can be overwhelming, but stick to your goals, the message/transformation you want to bring, choose what is absolutely necessary to get your story out. Focus on the transformation. You will learn as you go along.
• Intermediate: keep your story as a focus as you learn new things and explore WP capabilities.
• Experts: thank you for helping others get their story out! Remember your wordpress story even when the daily grind can have you caught up in the technicalities.