Comparer
Trois façons d’intégrer une extension ou un thème premium dans un projet WordPress, point par point. Le dépôt correspond à la troisième colonne ; il ne remplace pas la licence de l’éditeur, il empaquette le code que votre licence vous autorise à exécuter.
| Critère | Sites de téléchargement au hasard et zips « nulled » | Le portail de l’éditeur, zip manuel | Ce dépôt Composer (composer.meteorgpl.com) |
|---|---|---|---|
| Intégrité de la source | Origine inconnue, souvent modifiée ; rien pour vérifier un téléchargement. | L’archive d’origine, directement de l’éditeur. | Le code d’origine, avec un SHA-256 pour chaque version, analysé contre les logiciels malveillants avant publication. |
| Vérifications de licence | Supprimées ou neutralisées par un patch ; le produit ne peut pas être enregistré auprès de l’éditeur. | Intactes ; activées avec votre clé. | Intactes ; activées avec votre propre clé achetée auprès de l’éditeur. |
| Versionnement et reproductibilité via composer.lock | Aucun ; le nom du fichier est la seule indication de version. | Manuel : télécharger, décompresser, téléverser ; aucun fichier lock n’indique ce qui tourne où. | Tags semver ; composer.lock fige la version et la somme de contrôle de la dist, de sorte que chaque environnement installe exactement les mêmes octets. |
| Mises à jour | Nouveau téléchargement depuis n’importe quelle source, avec le même risque à chaque fois. | Via l’administration WordPress avec une clé valide, ou un autre zip manuel. | composer update. |
| Retour arrière | Seulement si vous avez conservé l’ancien zip. | Seulement si l’éditeur propose encore l’ancienne version. | Chaque version publiée reste disponible. |
| Compatible Bedrock et twelve-factor | Aucun. | Les extensions vivent en dehors du graphe de dépendances ; les déploiements nécessitent des étapes manuelles. | Dépendances déclarées dans composer.json, installées par le build, aucun code tiers copié dans votre dépôt. |
| Clarté juridique | Provenance incertaine, code modifié. | Les conditions de licence de l’éditeur. | Redistribution du code GPL, plus la licence de l’éditeur que vous achetez ; une politique de retrait publiée. |
| Droit au support et aux mises à jour de l’éditeur | Aucun. | Avec la licence. | Avec la licence : il reste auprès de l’éditeur ; le dépôt ne le remplace pas. |
| Automatisation CI | Impossible sans versionner des zips. | Impossible sans versionner des zips ou automatiser les connexions au portail. | auth.json ou COMPOSER_AUTH dans le pipeline. |
| Coût | « Gratuit », avec le risque de logiciels malveillants et sans support. | La licence de l’éditeur. | La licence de l’éditeur plus un abonnement au dépôt. |
Ce qui est retiré, et pourquoi
La GPL couvre le code qu’un éditeur déclare sous cette licence. Les illustrations, polices, médias, documents et contenus de démonstration fournis avec un produit sont souvent soumis à une licence distincte ; le dépôt ne les redistribue donc pas : les images matricielles sont remplacées par des substituts de même taille (les mises en page continuent de fonctionner), les polices sont supprimées à l’exception des polices d’icônes, et l’audio, la vidéo, les documents, les contenus de démonstration et les archives imbriquées sont supprimés. La page du paquet indique la licence déclarée et un profil de licence ; la page sur les licences présente la politique complète. Procurez-vous les ressources d’origine auprès de l’éditeur grâce à votre licence.
Ce qui n’est jamais modifié
Le PHP, le JavaScript, le CSS et le reste du code sont livrés tels que l’éditeur les a écrits. Les vérifications de licence, les processus d’activation, les vérifications de mise à jour et la télémétrie de l’éditeur ne sont ni modifiés, ni supprimés, ni neutralisés. Les archives qui arrivent avec de telles modifications sont ramenées au code d’origine lorsqu’une référence propre existe, et ne sont pas publiées dans le cas contraire. Activez avec votre clé ; l’éditeur reste votre interlocuteur pour le support.