Une application mobile ne se résume pas à ce que nous voyons à l’écran. En arrière-plan, elle échange avec de nombreux services, parfois grâce à des SDK intégrés par les développeurs. Ces échanges forment de véritables flux de données, dont il n’est pas toujours facile de connaître la destination ou l’usage.
Lors d’une intervention, Esther Onfroy montre justement l’intérêt d’observer ces échanges pour comprendre ce que font réellement nos applications.
Cette approche m’a amenée à me poser une autre question : et si nos sites web étaient eux aussi beaucoup plus bavards qu’on ne l’imagine ?
Regarder ce qui circule
Un SDK permet d’intégrer facilement une fonctionnalité à une application sans développer tout le code nécessaire. Pratique, mais que se passe-t-il une fois le composant installé ?
Il peut accéder à certaines données, communiquer avec une API ou transmettre des informations à un service externe. Pour comprendre ce fonctionnement, il ne suffit donc pas toujours de regarder l’interface ou même le code. Il faut aussi regarder les échanges qui ont réellement lieu.
C’est l’un des intérêts de l’approche présentée par Esther Onfroy : observer les flux réseau permet de rendre visibles des communications qui restent habituellement dans les coulisses.
{Découvrir les travaux d’Esther Onfroy et PiRogue — PTS Project}
Et si WordPress était lui aussi bavard ?
Un site WordPress est rarement constitué uniquement du ‘cœur’ du CMS.
Plugins, extensions et services tiers viennent ajouter des fonctionnalités : formulaire, statistiques, paiement, référencement, newsletter…
Les plugins disponibles sur WordPress.org sont soumis à la GPL et leur code doit être accessible. Mais open source ne signifie pas transparent de bout en bout.
WordPress autorise notamment les plugins qui fonctionnent comme interfaces vers des services externes, à condition que ces services soient clairement documentés. Documentation WordPress sur les services tiers et plugins
On peut alors avoir une chaîne assez simple :
Utilisateur → WordPress → plugin → API → service externe
quelles flux de données sont transmises ? Pourquoi ?
WordPress recommande justement aux développeurs de documenter les données collectées, les éventuels services tiers, les API ou SDK utilisés, ainsi que les cookies, pixels ou scripts externes.
Ces échanges ne sont pas forcément problématiques. Ils peuvent même être indispensables au service proposé.
EX HTTPS
Mais ils peuvent avoir un impact sur la confidentialité, la sécurité ou les performances du site. Une multiplication de requêtes ou de traitements externes peut notamment ajouter des dépendances et du temps de traitement.
Observer plutôt que supposer
Une fonctionnalité répond à un besoin visible. Mais derrière elle peuvent se trouver des requêtes, des API et d’autres services que nous ne voyons pas directement.
C’est peut-être là que réside l’intérêt d’observer les flux : mieux comprendre l’écosystème dans lequel nos outils fonctionnent.
Car installer un composant ne consiste pas seulement à ajouter une fonctionnalité. C’est aussi, parfois, ajouter une nouvelle conversation à notre système.
