Plug-in (Plugin, Plug in, Plugiciel, Greffon, Composant logiciel enfichable) : technologie ou technique rendue disponible à plusieurs applications.

cr  05.03.2005      r+  22.10.2024      r-  22.10.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

Un Plug-in (ou Plugin ou Plug in ou Plugiciel ou Greffon ou « Composant logiciel enfichable »), est une technologie ou une technique, sous forme d'une application logicielle, qui est rendue disponible à d'autres applications logicielles.

Les Plug-ins sont des applications très spécialisées qui apportent leur spécificité à un ou plusieurs autres logiciels, leur donnant la capacité d'utiliser cette spécialisation, soit complètement, soit uniquement dans le rendu final de cette technologie (la manipulation complète de la technologie restant l'appanage de logiciels complets).

L'une des caractéristiques d'un plug-in est d'ajouter une ou des associations entre lui-même et des types de fichiers qu'il sait manipuler.

Par exemple :

• Le plug-in Acrobat Reader, pour les navigateurs Web :

  • Manipule les fichier dont l'extension est .pdf (ajoute une association entre lui-même et l'extension de fichier (le suffixe) .pdf)

  • Ne sait que lire et rendre (afficher) un document au format pdf. Ce plug-in s'appelle, d'ailleurs, Acrobat Reader (lecteur Acrobat). La manipulation complète de cette technologie (fabriquer, retoucher, éditer des documents pdf) ne peut se faire qu'avec l'application Acrobat Pro, qui est une application autonome (standalone).

• Le plug-in Java, pour navigateurs Web

  • Permet d'exécuter (c'est une couche d'abstraction dans une sandbox, un excécutif, un runtime), une application (une appliquette) écrite dans le langage Java (ajoute une association entre lui-même et l'extension de fichier (le suffixe) .jar)

  • Ne permet que l'exécution. Le langage Java complet, incluant le développement, la compilation, etc. est une application autonome (standalone).

Les plug-ins ne sont pas des applications pouvant être utilisées de manière autonome (standalone).

Dans les applications de type Navigateur Internet (Navigateur Web), on distinguait entre deux types de composants logiciels additionnels aux navigateurs : les Plug-ins et les Extensions.

Dans les deux cas (ce qui explique sans la justifier la confusion des termes), ces composants logiciels sont activables/désactivables (branchables/débranchables).

Fin 2016, interdiction totale et définitive des plug-ins dans les navigateurs Web

Plug-in : HTML5 et abandon de tous les plug-ins de navigateurs Web fin 2016

1. Plug-ins

   Les plug-ins sont des applications à part entière qui ajoutent/apportent une technologie existant à l'extérieur de l'application à une autre application qui l'accueille. Les plug-ins ouvrent les applications à un monde extérieur. Une application que ne saurait s'ouvrir au monde extérieur (un navigateur Web qui ne supporterait pas Flash ou Java ou Acrobat ou SilverLight, ou DivX, etc. est appelé à disparaître. Les plug-ins étendent l'application.

   On ajoute ces technologies à la totalité des navigateurs Web existants, grâce à des mécanismes d'accueil normalisés, connus sous les noms de NPAPI et PPAPI.

   Ces technologies sont relativement indispensables (quasi obligatoires) pour naviguer sur le Web dans tous les cas de figure. Un Navigateur Web qui ne supporterait pas l'une de ces technologies n'a aucune chance d'être utilisé par les internautes.

   Voir, par exemple, dans l'article plug-in, le logiciel Cubase (de Steinberg) de composition musicale qui accepte de nombreuses technologies (au mécanisme d'accueil VST). Il existe des centaines de plug-ins au format d'accueil VST et de très nombreux logiciels de composition musicale acceptent ces mêmes plug-ins, dès qu'ils ont adopté les règles VST.

   
   Exemple d'une liste de plug-ins dans Firefox

2. Extensions

   Les extensions (aussi appelées « Add-on », « Addon » , « Add-in » , « Addin » , « Module additionnel », etc.), ne font que personnaliser une application/un navigateur ou lui apportent une simple fonction. Souvent, c'est l'œuvre gratuite d'un particulier pour une seule application (par exemple pour le navigateur Web Firefox). Certaines extensions à succès ont ensuite été portées sur plusieurs navigateurs Web, mais restent des extensions, en particulier parce qu'elles travaillent au niveau des flux du Web et non pas au niveau d'une technologie. C'est le cas d'Adblock Plus ou de Ghostery ou de Disconnect, ou de SSLeuth, etc. qui, bien que portés sous plusieurs ou tous les navigateurs, sont des extensions et non pas des plug-ins.

   
   Exemple d'une liste d'Extensions dans Firefox

Il y a deux conditions pour qu'une technologie soit utilisée en Plug-in :

1. L'application qui accueille le Plug-in doit disposer d'un mécanisme d'acceptation des Plug-ins. Pour les navigateurs Web, il s'agit des mécanismes NPAPI et PPAPI.

2. L'application qui se présente en Plug-in doit disposer des moyens de se faire reconnaître aux applications logiciels susceptibles d'accueillir sa technologie.

Par leur nature, le mécanisme de reconnaissance par le logiciel hôte et le mécanisme d'annonce par la technologie qui s'offre en Plug-in doivent répondre à des règles normées, implicitement ou explicitement. Ces règles ne sont pas élevées au rang de standard mais doivent être respectées par toutes les parties (hôtes et technologie).

Les technologies s'offrant en Plug-in, ainsi que les applications acceptant des Plug-ins, doivent être conçues dès l'origine de leur développement, du point de vue de leur architecture, pour se supporter et s'exploiter conjointement.

Les mécanismes de Plug-in sont utilisés dans toutes les natures d'applications.

• Le logiciel de retouche photo Photoshop accepte d'innombrables Plug-ins (le mécanisme d'acceptation des Plug-ins par Photoshop (les règles de Photoshop) doit être respecté par les éditeurs des Plug-ins Photoshop).

• Le logiciel de développement de sites Web, Dreamweaver, accepte d'innombrables Plug-ins (le mécanisme d'acceptation des Plug-ins par Dreamweaver (les règles de Dreamweaver) doit être respecté par les éditeurs des Plug-ins Dreamweaver).

• Le logiciel Cubase (de Steinberg) de composition musicale accepte des Plug-ins au mécanisme VST. Il existe des centaines de Plug-ins VST et de très nombreux autres logiciels de compositions musicale acceptent ces mêmes Plug-ins, dès qu'ils ont adopté les règles VST, dont, par exemple :

  • HostX de mmTurner

  • Maize Studio

  • AU Lab de Apple

  • Mini-Host de Toby Bear

  • Kil2 de Fredrik Olofsson

  • SAVIHost de Hermann Seib

  • MultiVST Shell de Lone Roger

  • VSTHost de Hermann Seib

  • Ouroboros

  • Bidule de Plogue Art

  • FromUgly VSTi interface de Refuse Software

  • Psycle de Psycledelics Community

  • Arguru de Arguru Softwares

  • Etc.

• Les navigateurs Web acceptent d'innombrables Plug-ins (dont Java, SilverLight, Acrobat, Flash, etc.)

• Etc.

Ce sont les applications de type navigateurs Web qui sont les plus universellement connues des utilisateurs en termes d'applications utilisant des Plug-ins.

Les Plug-ins des navigateurs Web ajoutent la gestion de technologies qui ne sont pas embarquées de manière native dans les navigateurs. Par exemple, la société Adobe développe des technologies universelles, comme Flash ou Acrobat (pdf), mais ne développe pas de navigateurs Web. A l'inverse, les éditeurs des navigateurs Web Firefox, Internet Explorer, Opera , Google Chrome, Safari, etc. ... ne sont pas détenteurs de ces technologies de tierces parties et n'ont pas vocation à les maintenir. Ces technologies sont donc ajoutées aux navigateurs Web sous forme de Plug-ins développés par les propriétaires respectifs de ces technologies et ces Plug-ins sont maintenus à jour par ces mêmes propriétaires de ces technologies.

Les mécanismes de gestion des Plug-ins, pour ajouter des fonctionnalités aux navigateurs Web, reposent sur deux APIs (Application Programming Interface) concurrentes :

• API : NPAPI (Netscape Plug-in Application Programming Interface) - Mécanisme normalisé mais ancien (remontant à Netscape 2.0)

• API : PPAPI (Pepper Plug-in Application Programming Interface) - Mécanisme expérimental de Google, PPAPI (Pepper Plug-in API) normalisation initialement rejetée mais, à partir de janvier 2015, Google bloque tous les Plug-ins NPAPI, ce qui va booster PPAPI (à moins que la Fondation Mozilla, qui se relance dans son projet de Firefox 64 bits, et qui avait décliné PPAPI, n'ai une autre idée en tête depuis des années : HTML5 et la fin des Plug-ins).

Sans ces APIs, les navigateurs Web ne reconnaîtraient que le langage HTML (et les images embarquées). La première fonctionnalité ainsi intégrée à un navigateur Web fut Adobe Acrobat Reader (la reconnaissance, par les navigateurs Web, du format PDF).

Seul Google Chrome supporte l'API PPAPI (mise en place pour le déploiement de la technologie Flash et, surtout, de ses super cookies, les LSO (Local Shared Objects). La Fondation Mozilla a déclaré ne pas être intéressée par Pepper Flash. Google met en avant le développement de l'API Pepper Flash pour une meilleure portabilité trans-plateforme des Plug-ins (permettant un meilleur tracking des internautes)

Typiquement, les navigateurs Web acceptent et reconnaissent diverses technologies en provenance de divers éditeurs, dont les technologies devenues des standards.

Par exemple, technologies de lecture/affichage de ressources multimédia aux formats propriétaires. Ces formats propriétaires se multipliant sous la pression et les exigences des créateurs (ayants droit) d'oeuvres. Ils exigent que les éditeurs de lecteurs multimédia surveillent et empêchent la copie illicite de leurs oeuvres et ils exigent la vérification des droits numériques (DRM). C'est le cas des Plug-ins iTunes, DivX, QuickTime, Flash, Shockwave Flash, SilverLight, RealPlayer, MediaPlayer, VLC, Unity player, etc.

Les logiciels comme Firefox, Internet Explorer, Opera, Google Chrome, Safari, K-Meleon, etc. disposent tous de l'API NPAPI et les quelques exemples de technologies suivantes (et bien d'autres) n'existent qu'en un seul exemplaire dans votre ordinateur, tout en étant présentes dans chacun de vos navigateurs si vous en utilisez plusieurs.

• Adobe Acrobat (lecture / affichage de documents au format propriétaire PDF)

• AdobeAAMDetect

• Codec vidéo OpenH264 (fourni par Cisco Systems, Inc.)

• DivX VOD Helper Plug-in (Plug-inActiveX dans Internet Explorer)

• DivX Web Player (Plug-inActiveX dans Internet Explorer)

• Google Earth Plug-in (Technologie propriétaire, propre à un service particulier de Google)

• Google Update (Plug-in installé silencieusement, à l'insu de l'internaute, et sans savoir réellement ce qu'il fait)

• iTunes Application Detector

• Java Deployment Toolkit

• Java(TM) Platform (Technologie du langage de programmation Java, présent partout.)

• Ma-Config.com (n'existe pus) Plug-in (Plug-inActiveX dans Internet Explorer) - Remplacé par une Web application : DriversCloud

• Microsoft Office 2010 (lecture / affichage de documents aux formats propriétaires de Microsoft Office, version 2010)

• Shockwave Flash

• Silverlight Plug-In

• VLC Web Plug-in

• Windows Activation Technologies (Plug-in installé silencieusement, à l'insu de l'internaute, et sans savoir réellement ce qu'il fait)

• Windows Genuine Advantage (Plug-in installé silencieusement, à l'insu de l'internaute, et sans savoir réellement ce qu'il fait)

• Windows Live® Photo Gallery (Plug-in installé silencieusement, à l'insu de l'internaute, et sans savoir réellement ce qu'il fait)

• Chaque éditeur d'antivirus installe un Plug-in de protection de la navigation (et de surveillace / espionnage)

• Etc.

Firefox, à partir de sa version 17 du 20.11.2012, introduit une étape supplémentaire à l'exécution d'une technologie, en rendant définitivement le contrôle sur ces technologies à l'internaute. Sauf pour la dernière version de la technologie Flash, toute première tentative d'activation d'une technologie quelconque sur un site sera soumise à l'approbation de l'utilisateur afin qu'il se rende bien compte de ce qui va se passer avant d'en donner l'autorisation ou de l'interdire. Ensuite, pour le même site, la question n'est plus posée durant la même session.

Attention aux failles de sécurité dans les plug-ins

Les Plug-ins sont partagés par tous les navigateurs et sont multiplateformes. Une faille touchant un Plug-in, surtout s'il est universel, touche la totalité des internautes de la planète, qu'ils soient Windowsiens ou Linuxiens, ou Apleistes, etc.

Découvrir et exploiter une faille dans un Plug-in (Flash et Acrobat sont les plus déployés et les plus utilisés) est du pain béni pour les cybercriminels. C'est LE moyen d'attaquer les données de quasiment tous les internautes du monde ou de transformer leurs machines en zombies et de les injecter dans des botnets.

Il est donc impératif de mettre à jour les Plug-ins afin de bénéficier des plus récents correctifs aux failles de sécurité. Cette opération, qui n'est pas automatisée, doit être conduite par l'internaute, au même titre qu'il entretien sa maison, son véhicule, sa santé, sa perceuse etc. Un navigateur et ses Plug-ins sont juste un outil et on entretient ses outils ! C'est la moindre des choses. C'est un geste qu'il faut intégrer dans son comportement permanent - le manquement à un tel comportement conduit, inévitablement au Virus PEBCAK.