Preload #01 ·
JPEG XL dans Chrome, WordPress 7.1.3 et Plesk à corriger
Bootstrap 6 en alpha, Deno Deploy ferme dans six mois, et Edge n'exécute plus les gestionnaires unload.
Si vous recevez ce premier numéro de Preload dans votre messagerie, merci : s'abonner à une newsletter sans en connaître le contenu est un gage de confiance encourageant. Et on démarre tout de suite avec ce qui a marqué la semaine passée : un nouveau format d'image arrive dans deux navigateurs, WordPress et Plesk publient des correctifs à appliquer sans attendre, et Deno annonce la fin de son hébergement. Le fil commun : ce qui bouge vite impose de mettre à jour plus souvent, et de mesurer avant d'adopter.
Bonne lecture.
L'essentiel
- Chrome 155 décode JPEG XL, Firefox 158 suit le 13 octobre : à comparer avec AVIF sur vos photos.
- WordPress 7.1.3 corrige sept failles : à appliquer maintenant, extensions comprises.
- Plesk a enchaîné dix correctifs critiques en huit semaines : vérifiez votre version aujourd'hui.
Plateforme web
JPEG XL arrive dans Chrome 155, puis dans Firefox 158
Chrome 155, stable depuis le 6 octobre, décode les images JPEG XL avec un nouveau décodeur écrit en Rust. Firefox 158 l'active par défaut le 13 octobre et ajoute image/jxl à l'en-tête Accept de ses requêtes d'images. Safari le décode depuis la version 17, en images fixes seulement. Google recommande d'essayer AVIF et JPEG XL et de garder le meilleur des deux : JPEG XL brille surtout en haute fidélité et en sans perte, sur des photos.
Support partiel : Chrome 155, Firefox 158, Safari 17 sans animation ni décodage progressif
Le geste
Comparez JPEG XL et AVIF sur vos photos haute fidélité, puis servez JPEG XL dans <picture> par une <source type="image/jxl"> placée avant les sources AVIF et WebP, jamais seul.
Un format de plus dans
<picture>, pas une bascule. AVIF reste le premier choix tant que la mesure ne dit pas mieux sur vos images.
Edge 155 n'exécute plus les gestionnaires unload
Depuis Edge 155, publié le 8 octobre, les gestionnaires unload ne s'exécutent plus sur aucune page, sauf réactivation explicite par la Permissions-Policy unload. Le déploiement progressif entamé avec Edge 152 est terminé. La même version, comme Chrome 155, livre aussi margin-trim (blocs et multicolonnes), symbols() et l'import de modules texte (import … with { type: "text" }).
Le geste
Cherchez les unload qui restent dans votre code et vos scripts tiers (mesure d'audience, sauvegarde de formulaire), et passez-les sur pagehide ou visibilitychange. Vous rendez au passage la page éligible au cache avant-arrière.
Performance
deliveryType dit enfin si une ressource vient du cache
Firefox 158, le 13 octobre, prend en charge PerformanceResourceTiming.deliveryType, qui vaut "cache" quand une ressource a été servie depuis le cache. Chrome et Edge l'exposent depuis la version 117, Safari depuis la 26.4 : les quatre moteurs l'auront, mais le statut Baseline n'est pas encore mis à jour.
Pas encore Baseline : Chrome 117, Safari 26.4, Firefox 158
Le geste
Dans votre mesure terrain, séparez les ressources servies en cache des autres avant de lire leurs durées, sans quoi les moyennes mélangent deux populations.
BEACON : les mesures terrain de 10 000 grands sites, ouvertes dans BigQuery
Cloudflare publie depuis fin septembre BEACON, des mesures terrain anonymisées sur 10 000 des plus grands sites de son réseau, mises à jour chaque jour dans BigQuery au format de la RUM Archive. Contrairement au CrUX, le jeu couvre WebKit sur iOS, donne des distributions complètes et détaille les sous-parties du LCP et de l'INP. Sur les LCP lents, le délai de rendu et le délai avant chargement pèsent bien plus que le téléchargement de l'image.
Le geste
Interrogez le projet cf-open-web-performance.rumarchive avec les requêtes documentées par la RUM Archive, en bornant toujours la date : les tables sont partitionnées et BigQuery facture les octets lus.
Une mine pour situer une tendance, pas pour juger un site. L'échantillon se limite aux grands sites derrière Cloudflare et ne dit rien de votre domaine.
web-vitals 6.2.3 corrige l'attribution du LCP
La version du 5 octobre de la bibliothèque de Google corrige une valeur négative de resourceLoadDuration dans l'attribution du LCP, et une fuite mémoire liée à l'INP.
Le geste
Si votre mesure maison lit l'attribution du LCP, passez en 6.2.3 et écartez les valeurs négatives déjà collectées.
CMS
WordPress 7.2 réécrit wp_kses() sur l'API HTML
Le filtre qui nettoie le HTML enregistré par les utilisateurs sans le droit unfiltered_html est réécrit sur l'API HTML, pour la 7.2 ou la 7.3. L'interface ne change pas, la sortie si : balises en minuscules, attributs entre guillemets doubles, contenu d'un script interdit retiré avec lui, texte comme <$500 échappé au lieu d'être supprimé. Le filtre wp_kses_force_legacy_parser rétablit l'ancien comportement. WordPress 7.2 sort le 8 décembre, bêta 1 le 20 octobre.
Le geste
Dès la bêta 1, faites tourner les tests de vos thèmes et extensions qui comparent du HTML filtré, et repérez les contenus de contributeurs qui changeraient à l'enregistrement.
Shopify : owner_type obligatoire pour les metafields des extensions en janvier 2027
Les déclarations de metafields des extensions Checkout et Customer Account doivent porter un champ owner_type. Il est facultatif avec la version d'API 2026-10 et deviendra obligatoire en janvier 2027 : sans lui, le déploiement sera bloqué. Par ailleurs, la Global Catalog REST API cesse de répondre le 2 novembre 2026, au profit de son serveur MCP.
Le geste
Ajoutez owner_type à chaque déclaration de shopify.extension.toml, une déclaration par type de ressource, et migrez tout appel à la Global Catalog REST API avant le 2 novembre.
Langages et frameworks
Bootstrap 6 sort en alpha
Le framework que beaucoup annonçaient comme mort publie le 8 octobre la première alpha de sa version 6. Le JavaScript passe en modules ESM seulement (plus de window.bootstrap) et en TypeScript, le Sass en @use, la personnalisation en variables CSS rangées en cascade layers. Les classes responsives changent de forme (.d-md-none devient .md:d-none), Offcanvas devient Drawer sur <dialog>. Navigateurs minimum : Chrome et Edge 130, Firefox 132, Safari 18. La v5 reste maintenue, une 5.4 est prévue.
Le geste
Sur un ancien projet, montez d'abord en 5.3, sans jQuery, ce qui se fait sans refonte ; lisez le guide de migration de la v6, mais attendez la version stable avant la production.
Deno rejoint Cloudflare, Deno Deploy ferme dans six mois
L'équipe de Deno rejoint Cloudflare. Le runtime ne recevra plus qu'un an de versions correctives et de sécurité, puis son développement s'arrêtera ; le code reste libre. Deno Deploy fermera dans six mois, vers avril 2027, avec une aide à la migration vers les Workers pour les clients payants. Le registre JSR continue.
Le geste
Listez vos projets hébergés sur Deno Deploy et planifiez leur migration dès maintenant ; pour un nouveau projet, ne choisissez plus Deno.
Next.js : correctif de sécurité le 14 octobre
Vercel publie le mercredi 14 octobre une mise à jour hors calendrier qui corrige trois failles de dépendances : deux critiques, une élevée. Les versions touchées seront données avec les avis. Next.js 16.4, sorti le 6 octobre, fait par ailleurs de Cache Components le modèle recommandé, qui deviendra le défaut dans Next.js 17.
Le geste
Réservez un créneau de mise à jour le 14 octobre pour vos applications Next.js, puis testez Cache Components sur une branche avant la 17.
IA et outils dev
REA, un serveur MCP de rétro-ingénierie qui lit aussi les sites
REA, outil libre sous licence MIT, donne à un agent IA des outils d'analyse de binaires, d'applications et de sites web. Sur un site, il s'attache en lecture seule à un navigateur Chromium déjà ouvert et relève DOM, réseau, bundles JavaScript, routes et source maps. Le projet a trois mois et avance vite (version 6.4.0 le 11 octobre).
Le geste
Pour l'essayer, lancez Chromium avec un profil dédié, car le port de débogage expose toute la session et ses cookies ; limitez-vous à vos sites ou à ceux d'un client qui l'accepte, et gardez en tête que les données analysées partent chez le fournisseur du modèle.
Sécurité
WordPress 7.1.3 corrige sept failles
La version du 6 octobre corrige sept failles, dont une XSS stockée sur l'écran des commentaires, une injection SQL dans l'export WXR et la lecture sans authentification de commentaires d'articles privés. Plusieurs supposent un compte de contributeur ou plus. Des correctifs sont annoncés pour les anciennes branches, jusqu'à la 4.7.
Le geste
Passez en 7.1.3 et videz le cache de pages, sans oublier les intégrations Imgur déjà en cache ; sur une ancienne branche, vérifiez que votre version a bien reçu le correctif, et revoyez qui détient un rôle de contributeur ou plus.
Bricksforge exploité, et une campagne qui cache son propre administrateur
L'extension Bricksforge, jusqu'à la 3.1.8.9, permet de téléverser un fichier sans authentification puis d'exécuter du code ; elle est attaquée depuis le 7 octobre, la 3.1.8.10 corrige. Une autre campagne exploite des XSS stockées de Ninja Forms (avant 3.15.4) et de WPC Product Bundles (avant 8.6.7) : une seule exécution dans la session d'un administrateur laisse un compte caché par un mu-plugin, une URL de connexion secrète et un faux plugin de gestion de fichiers. Le détail de la campagne donne les indices à chercher.
Le geste
Mettez ces extensions à jour, puis comparez les administrateurs en base avec ceux qu'affiche l'administration, inspectez wp-content/mu-plugins et régénérez les clés de salage.
Plesk : dix correctifs critiques en huit semaines
Du 5 août au 29 septembre, le cœur de Plesk a reçu des mises à jour marquées « critical security issue » à dix dates. De février à juillet, il n'y en avait eu que trois. Parmi les failles : exécution de code en root par l'API REST (CVE-2026-68492, corrigée en 18.0.80.8 et 18.0.81.1) et par un nom de base importé dans Site Import (CVE-2026-87898, corrigée en 1.12.2). Au 1er janvier 2027, les licences augmentent : 15,99 € HT par mois pour Web Admin, 28,99 € pour Web Pro, 62,99 € pour Web Host.
Le geste
Vérifiez avec plesk version que le serveur est au moins en 18.0.80.9 ou 18.0.81.2, mettez Site Import et Plesk Migrator à jour ou désinstallez-les s'ils ne servent pas, et activez la mise à jour automatique des builds. Sur un parc, n'attendez plus la fenêtre de maintenance mensuelle pour un correctif marqué critique.
L'IA accélère la découverte des failles autant que leur exploitation, et le cycle de mise à jour doit raccourcir en conséquence. Nous lisons la hausse de prix comme le coût de cette cadence ; Plesk, lui, ne fait pas ce lien.
Trouvailles
Page Commando
Hakim El Hattab transforme n'importe quelle page en jeu de plateforme : chaque ligne de texte devient un sol, la physique est confiée à matter.js et le son à Web Audio. Le tout s'affiche dans un Shadow DOM remis à zéro par all: initial, sans rien casser de la page.
Le geste
Jouez une partie, puis ouvrez page-commando.js : c'est un bel exercice de lecture sur TreeWalker, Range.getClientRects() et le Shadow DOM, tous Baseline largement disponibles.