SPIP

Les outils utilisés pour le développement

bricebou, b_b, James, Maïeul, Matthieu Marcillaud, placido, tofulm — 2025-01-14T06:58:03Z

L'équipe de maintenance utilise ces outils pour maintenir et développer SPIP. Cet article résume succinctement le rôle des outils et les liens de documentation.

Nom de l'outil	Rôle	Documentation spécifique à la communauté SPIP

Développement côté serveur ou back-end
PHP	Langage dans lequel SPIP est écrit côté serveur
PHPdoc	Commentaire du code
Composer	Installer les bibliothèques de code (library) dont le projet principal a besoin
Qualité de code
Easy Coding Standard	Automatiser le respect des régles de codages	Utiliser ECS
Rector	Corriger du code historique pour le rendre plus durable	Utiliser Rector
PSR	Bonne pratiques de codage	Conventions
PHPUnit	Tester le code
PHPStan	Analyser le code
Refactoring Guru	Inspiration pour transformer le code procédural historique en code POO et pour gagner en robustesse
The Twelve-Factor App	Inspiration : une méthodologie pour concevoir des logiciels en tant que service

Développement côté navigateur ou front-end
Javascript	Langage pour l'affichage dynamique de fragments de page (front-end)
jQuery	Bibliothèque longtemps restée comme référence (en voie de migration)
npm + Bun	Installer des modules ou bibliothèques de code (library)
Qualité de code
bun:test	Tester le code
biomejs	Normaliser le code (linter)

Versionnage
Git	Suivi de version de code	Consulter un livre en français
Gitlab	Plateforme de développement
Sémantique	Comment fonctionnent les versions de SPIP et de ses dépendances
Conventionnel commit	Des messages des commits signifiants, lisibles pour l'humain	Voir aussi Écrire un message de commit
Changelog	Permettre de voir précisément quels changements notables ont été faits entre chaque publication (release) d'un projet	Voir aussi Tenir un CHANGELOG

Nous développons et utilisons aussi nos propres outils :

- spip-releases
- spip-league/ecs
- spip-league/rector
- spip-league/sdk

SPIP 4.1

b_b, James, JLuc, Matthieu Marcillaud — 2022-03-25T13:39:45Z

SPIP 4.1 est avant tout une version qui suit les versions maintenues de PHP (7.4 à 8.1) et met à jour différentes librairies utilisées en interne. Il modifie aussi le système d'authentification des auteurs.

Compatibilité PHP

SPIP 4.1 nécessite PHP 7.4 minimum, et fonctionne jusqu'à PHP 8.1.
Il nécessite les extensions PHP : sodium, Zlib, Zip et Phar.

Rappel : SPIP 4.0 c'est PHP 7.3 à 8.0.

Compatibilité PHP 8.1

Pour la compatibilité PHP 8.1, nous avons du corriger / adapter de nombreuses fonctions.

Cela concerne particulièrement des appels à des fonctions de PHP traitant des chaînes de caractères, si elles reçoivent null au lieu d'une chaîne, pour éviter des deprecated : https://php.watch/versions/8.1/internal-func-non-nullable-null-deprecation

Authentification & Chiffrement

Nous reprenons en l'adaptant le travail de g0uz sur le plugin Chiffrer.

- Cela corrige certains rares cas où la librairie Javascript utilisée jusqu'à présent échouait dans l'identification de l'internaute
- Cela renforce la sécurité en évitant certains types d'attaques.

HTTPS est désormais encore plus fortement conseillé

En effet, SPIP ne cherche plus à chiffrer le mot de passe des auteurs en Javascript depuis le formulaire de login, et le mot de passe arrive donc systématiquement « en clair » à SPIP. Il est donc fortement conseillé d'avoir son site en HTTPS, car HTTPS assure alors la sécurité de la transmission.

En conséquence, la constante _AUTORISER_AUTH_FAIBLE, qui permettait de forcer l'envoi du mot de passe en clair, est supprimée.

Poivre, sel, hash du mot de passe

Le mot de passe d'un auteur est maintenant haché dans SPIP en utilisant un poivre (une clé spécifique pour le site). Par ailleurs, la fonction password_hash de PHP s'occupe de trouver le meilleur algorithme de hachage et de créer un sel dedans. La fonction password_verify de PHP est utilisée pour le vérifier.

Les "aléas" rotatifs des auteurs sont toujours créés, mais ne sont plus utilisés pour saler le mot de passe vu que PHP gère cela très bien. Par contre, l'application supplémentaire d'un poivre est une nouveauté.

Comme avant, à chaque authentification réussie d'un auteur, on enregistre un nouveau hash en base, en recréant un hash avec password_hash : cela applique un nouveau sel dessus donc, et éventuellement PHP en profite pour utiliser un algorithme de hachage plus performant si besoin.

Clés de chiffrement

Pour mener à bien ce poivre, et d'autres actions dans SPIP, des clés de chiffrement sont utilisées et stockées dans config/cles.php. Il y en a 2 par défaut :

secret_des_auth : elle sert à poivrer le mot de passe des auteurs. C'est une nouvelle clé donc.
secret_du_site : elle sert pour moitié à calculer le secret du site. L'autre moitié étant stocké en base dans l'entrée secret_du_site de la table spip_meta. Ce secret du site (combiné) permet de signer et/ou chiffrer certaines parties de SPIP (contextes ajax, actions d'auteurs).

Lorsqu'un webmestre se connecte, les clés sont sauvegardées dans le nouveau champ backup_cles de la table spip_auteurs, en le chiffrant avec le mot de passe en clair de l'auteur.

Ceci permet de restaurer les clés du site si le fichier cles.php a été effacé, lors de l'authentification d'un webmestre.

La classe \Spip\Chiffrer\SpipCles permet de manipuler les clés au besoin.

Password

SPIP fournit deux méthodes qui sont utilisées dans ecrire/auth/spip.php

- \Spip\Chiffrer\Password::verifier($clair, $hash, $key = null): bool
- \Spip\Chiffrer\Password::hacher($clair, $key = null): string

La clé par défaut est celle de secret_des_auth, utilisée pour poivrer.

Chiffrement

Trois méthodes sont aussi fournies pour chiffrer et déchiffrer (chiffrage symétrique) des contenus.
Dedans nous utilisons la librairie Sodium (fournie par défaut dans PHP >= 7.2).

- Chiffrement::chiffrer($message, $key): ?string
- Chiffrement::dechiffrer($encoded, $key): ?string
- Chiffrement::keygen(): string

La méthode keygen produit simplement une clé de chiffrement à la longueur adaptée.

Les méthodes chiffrer() et dechiffrer() seront très lentes si la clé transmise n'a pas la bonne longueur : on considère alors la clé de chiffrement comme étant un mot de passe nécessitant un traitement supplémentaire lourd (avec sodium_crypto_pwhash).

Signature des actions

Les actions sont authentifiées maintenant en utilisant hash_hmac et hash_equals (et les aléas d'auteurs et/ou le secret du site)

Qualité du code

Il y a de quoi progresser sur la qualité du code PHP de SPIP… l'avenir ne peut être que meilleur ;-)

Typage

Ce faisant pour PHP 8.1, nous avons commencé à typer certains arguments et retours de fonctions pour détecter au plus tôt certains appels incorrects.

C'est un changement potentiellement impactant : cela peut créer des erreurs de squelettes là où l'erreur était auparavant plus silencieuse ou tolérée. De même cela pourrait provoquer des erreurs PHP dans des plugins ou des scripts maison sur les appels erronés à ces fonctions.

En assurant la compatibilité avec les nouvelles versions de PHP nous irons forcément vers plus de typage dans le code de SPIP au fur et à mesure des évolutions et factorisations du code source.

La conséquence sera donc que les personnes développant des plugins ou des squelettes devront être plus vigilantes sur les appels effectués d'une part, et d'autre part que nous restreindrons certainement les nouvelles fonctions à des types uniques (éviter les mixed), de même que certaines fonctions déjà existantes verront probablement certains types d'arguments mixtes réduits (éviter qu'un argument puisse recevoir un peu tout comme int | string | array par exemple), de même pour les retours de fonctions.

Au vu du code de SPIP historique ce ne sera pas si évident.

Sucre syntaxique

Nous avons passé l'outil Rector sur le code de SPIP 4.1 avec la configuration PHP 7.4. L'outil permet de transformer la syntaxe du code source PHP en modifiant certains éléments qui peuvent être simplifiés grâce à des écritures plus récentes de PHP. Par exemple utiliser les opérateurs ?? ou ??= lorsque c'est possible (Voir la doc PHP).

C'est toujours ça de pris :-)

Changements d'API sur les URLs et objets

Certaines fonctions d'appels pour calculer ou décoder les URLs sont modifiées.
Les anciennes API sont dépréciées.

Il y a maintenant 2 jeux de fonctions distincts pour générer l'URL d'un objet et pour décoder une URL. Ce nouveau mécanisme permet de définir une fonction pour générer une URL propre pour les #URL_PAGE.

Les nouvelles fonctions sont typées. Dans les explications suivantes, on ne présente que le début des signatures des différentes fonctions modifiées.

Voir la demande d'ajout correspondante pour le détail complet.

Encodage

generer_objet_url (anciennement generer_url_entite)

Cette fonction génère une URL, qui peut être soit pour l'espace public (paramètre $public = true), soit pour l'espace privé ($public = false), soit par défaut ($public = null) retourner une URL pour l'espace dans lequel on se trouve actuellement …

La fonction generer_objet_url() est la fonction de haut niveau, qui va finir par appeler une fonction urls_xxx_generer_url_objet()_dist selon le module d'URL actif.

Note : Pour cette fonction la signature change légèrement.

Dans generer_url_entite() maintenant déprécié :

Le 5^e paramètre $public pouvait valoir true, false, null ou 'string'. Dans le cas d'une chaine, il correspondait à un paramètre "connect".

Ce sont maintenant 2 paramètres séparés pour generer_objet_url :

Le 5^e est ?bool $public = null (donc true, false ou null),
le 6^e est string $connect = ''.

Dans la majorité des cas, cela n'affectera pas les usages et renommer simplement la fonction devrait être suffisant.

- generer_url_entite($id, $objet, ...) + generer_objet_url($id, string $objet, ...)

generer_objet_url_absolue

Génère l'URL absolue vers un objet

- generer_url_entite_absolue($id, $entite, ...) + generer_objet_url_absolue($id = 0, string $entite = '', ...)

Décodage

La fonction de décodage des URLs s'appelle maintenant urls_xxxx_decoder_url_dist() ce qui évite toute confusion avec l'ancienne fonction urls_xxxx_dist().

De plus, pour un module d'URLs qui voudrait être compatible avec les anciennes versions de SPIP et cette nouvelle convention, il suffit de proposer une fonction urls_xxxx_dist() non typée qui fait le routage vers les 2 fonctions urls_xxx_generer_url_objet_dist() et decoder_url() du module.

Objet

generer_objet_lien

Génère un lien (titre cliquable vers url) vers un objet

- generer_lien_entite($id_objet, $objet, ...) + generer_objet_lien(int $id_objet, string $objet, ...)

generer_objet_info

Donner une information sur un objet éditorial. Utilisé entre autres par #INFO_XX

- generer_info_entite($id_objet, $type_objet, $info, ...) + generer_objet_info($id_objet, string $type_objet, string $info, ...)

Les fonctions permettant de définir des calculs spécifiques pour l'obtention d'information sont aussi renommées. Pour l'information calculée 'xxx' : appelé via generer_objet_info(3, 'article', 'xxx') ou #INFO_XXX{article,3}.

Si ces fonctions existent, elles sont utilisées par SPIP dans ce cas :

// xxx spécifiquement sur l'objet 'type' - generer_xxx_{type}($id_objet, $type_objet, ...) + generer_{type}_xxx($id_objet, string $type_objet, ...) // sinon xxx sur un objet quelconque - generer_xxx_entite($id_objet, $type_objet, $row, ...) + generer_objet_xxx($id_objet, string $type_objet, array $row, ...)

L'ancien nommage est déprécié.

Suivant ce principe, la fonction interne à SPIP pour calculer l'introduction a été renommée :

generer_objet_introduction

Génère l'introduction de l'objet (fonction privée à SPIP), utilisé par #INTRODUCTION et #INFO_INTRODUCTION)

- generer_introduction_entite($id_objet, $objet, $ligne_sql, ...) + generer_objet_introduction(int $id_objet, string $objet, array $ligne_sql, ...)

Réécriture de `transmettre` en .api

Pour faciliter et sécuriser partiellement l'envoi de données spécifiques (CSV, JSON) à des auteurs connus de SPIP, l'URL d'api transmettre.api a été mis en place (elle remplace un ancien mécanisme à l'objectif identique qui utilisait un squelette transmettre.html).

L'URL est générée avec la fonction generer_url_api_low_sec() (« low sec » signifiant ici « sécurité basse »). Un jeton fixe est créé pour cette action (avec ses paramètres) pour l'auteur désigné et sera acceptée même si l'auteur est déconnecté (ce qui veut dire que quiconque possède l'URL pourra accéder au contenu renvoyé).

Historiquement cela permet de générer des fichiers non publics (RSS des articles proposés à publication, statistiques du site) qui peuvent être exploités par des outils tierces (agrégateur RSS par exemple).

Également :

la fonction securiser_acces() est renommee en securiser_acces_low_sec() et definie dans inc/acces.
On garde un filtre_securiser_acces_dist() dans inc/filtres pour la compat des vieux squelettes
la fonction param_low_sec() est depreciee

Mises à jour des librairies

Nous avons mis à jour différentes librairies utilisées par SPIP.

Javascript

spip/spip -> Sortable 1.14.0
spip/spip -> jquery Form 4.3.0
spip/spip -> JS Cookie 3.0.1
spip/statistiques -> d3 7.3.0
spip/statistiques -> luxon 2.3.0
spip/plan -> jstree 3.3.12

PHP

spip/compresseur -> css-tidy 2.0.0
spip/medias -> getid3 1.9.21
spip/medias -> svg-sanitizer 0.14.1

Suppression de librairies

Nous avons supprimé jQuery.cookie qui était déprécié depuis SPIP 3.2 au profit de JS Cookie.

Pour rappel si vous n'aviez pas encore adaptés vos utilisations :

$.cookie(key) devient Cookies.get(key) $.cookie(key, value) devient Cookies.set(key, value) $.cookie(key, value, options) devient Cookies.set(key, value, options)

Interface

Les rubriques dans l'espace privé affichent maintenant aussi la liste des articles refusés.

Nettoyages

Nous avons supprimé

#FORMULAIRE_CONFIGURER_METAS

qui était déprécié depuis SPIP 3.0 au profit des formulaires

#FORMULAIRE_CONFIGURER_XX

. Voir la documentation Configurer une fonctionnalité de votre site, ou un plugin à ce sujet.

Quelques adaptations

Dans un squelette, pour avoir la liste des tables des objets éditoriaux, préférer #NULL (qui retourne null) plutôt que #REM (qui retourne une chaîne vide).

- [(#REM|lister_tables_objets_sql)] + [(#NULL|lister_tables_objets_sql)]

Plugins

Archiviste

Le plugin "Archiviste" a été mis à jour pour utiliser les extensions PHP Zip, zlib et Phar, qui sont désormais requises. Ceci nous a permis de supprimer les (très) vielles librairies Pcl* que nous traînions depuis quelques années.

À noter aussi que le plugin est accompagné de tests unitaires écrits avec PHPUnit.

Bigup

Le formulaire de configuration de Bigup est affiché sur la page des options avancées, avec une formulation un peu plus parlante pour le titre du formulaire d'explication.

Compresseur

Mise à jour de la librairie CSSTidy en version 2.0 et correction d'un bug dans la compression des fichiers Javascript sur certains environnements.

Forum

correction d'un bug qui affichait le lien vers la page de contrôle des forums pour les auteurs non autorisés.
normalisation de l'ajout d'un forum en base afin de bien faire passer les informations par les pipeline pre/post insertion
correction d'un bug d'affichage d'icône en langue RTL
correction d'un bug qui permettait d'accéder au forum privé des rédacteurs alors que celui-ci était désactivé dans la configuration
correction d'un bug dans la recherche de message depuis la page de contrôle des forums

Mediabox

amélioration de l'affichage des textes longs dans la légende des modales, avec l'attribut data-box-caption-state valant min ou expanded sur les liens mediabox.
utilisation d'un thème sombre par défaut dans l'espace privé
rétablissement du support des URLs avec fragments à l'aide d'un sélecteur dans l'attribut data-href-popin
ajout du support des attributs data-box-(max|min)-(width|height) et data-box-(width|height) sur les liens mediabox et rétablissement de la compatibilité avec les anciennes classes du type boxInline boxIframe boxWidth-xx boxHeight-xx (documentation : https://contrib.spip.net/MediaBox)
correction d'un bug avec certaines images distantes qui n'étaient pas affichées par la modale (notamment des SVG), car l'image n'a pas de dimension connue

Medias

permettre de personnaliser le comportement en autolien des images en fonction du media, de l'extension, de la taille ou de l'id_document
correction d'un bug dans le modèle d'embed des fichiers CSV
retrait de la librairie obsolète jQuery multifile
mise à jour des librairies SVG Sanitizer et getid3
retrait des préfixes navigateurs dans les CSS du plugin
amélioration UX des boutons dans le bloc des documents d'un objet
correction d'un bug dans le code généré pour les attributs d'une image avec légende
amélioration du modèle utilisé pour l'insertion des images SVG dans le texte d'un objet
correction d'un bug d'affichage de la médiathèque quand un document comporte une très longue URL dans les champs titre ou credit

Plan

Mise à jour de la librairie Jstree en version 3.3.12.

Révisions

Correction d'un bug qui empêchait le fonctionnement du génie d'optimisation des révisions.

Sites

correction d'un bug qui affichait la date en double dans les listes d'articles syndiqués
amélioration des formulaires d'édition de site en utilisant un placeholder dans les champs d'URL (au lieu de les pré-remplir avec http://)
correction d'un bug d'affichage de la liste des sites en colonne latérale de l'espace privé

Statistiques

mise à jour des librairies D3.js, d3-time-format et Luxon.js
correction d'un bug d'affichage des noms des mois dans les statistiques en langue arabe

SVP

correction d'un bug dans le déballage des archives de plugin avec les nouvelles fonctions du plugin Archiviste
amélioration de présentation des cases à cocher dans la liste des plugins
correction d'un bug de sélection des plugins quand la personne faisait "tout cocher" puis "cocher les mises à jour"
correction d'un bug dans l'affichage des messages de retour du formulaire de chargement de plugin
toujours afficher le lien vers la documentation du plugin qu'il soit actif ou non
correction d'un bug qui empêchait d'activer un plugin quand les téléchargements sont interdits

TextWheel

correction d'un bug qui échappait par erreur certains liens automatiques
correction d'un bug de direction d'affichage des puces quand la page contient des bloc de textes de directions différentes

URLs étendues

Pour faire suite aux changements d'API sur les URLs et objets, les fonctions d'URLs ont été reprises pour une écriture plus claire et mieux typée avec 2 points d'entrée pour la partie décodage/encodage.

Voir la demande d'ajout correspondante pour le détail complet.

Squelettes dist

correction d'un bug qui provoquait le débordement des paginations sur petit écran
application du filtre |header_silencieux sur les pages publiques afin de respecter la valeur de la globale spip_header_silencieux
retrait des classes spécifiques à Internet Explorer dans les CSS
correction d'un bug d'affichage des images et SVG sur petit écran

Standard "SPIP41"

James — 2021-09-02T10:54:08Z

Le standard "SPIP41" est un ensemble de règles utilisable avec l'outil PHP_CodeSniffer.

Celui-ci embarque les règles de codage SCS1 et vérifie que le code est compatible avec les versions PHP 7.4, 8.0 et 8.1.

Ce standard est disponible avec l'outil PHP_CodeSniffer dans l'extension de cet outil spip/coding-standards.

Standard "SPIP40"

James — 2021-09-02T10:54:03Z

Le standard "SPIP40" est un ensemble de règles utilisable avec l'outil PHP_CodeSniffer.

Celui-ci embarque les règles de codage SCS1 et vérifie que le code est compatible avec les versions PHP 7.3, 7.4 et 8.0.

Ce standard est disponible avec l'outil PHP_CodeSniffer dans l'extension de cet outil spip/coding-standards.

Standard "SCS1"

James — 2021-09-02T10:53:59Z

Sommaire

Les règles de codage s'appuient sur la recommandation PSR-12 sans la respecter entièrement. voir le détail ci-dessous.

Elles sont techniquement rassemblées dans un ensemble de règles utilisables avec l'outil PHP_CodeSniffer dans l'extension de cet outil spip/coding-standards.

Fichiers

La balise d'ouverture d'un fichier PHP DOIT être . L'ouverture est proscrite.
L'encodage de caractères des fichiers PHP DOIT être UTF-8 sans BOM.
Tous les fichiers PHP DOIVENT utiliser uniquement la fin de ligne Unix LF (linefeed).
Tous les fichiers PHP DOIVENT se terminer par une ligne non vide, terminée par un seul LF.
La balise de fermeture ?> DOIT être omise des fichiers contenant uniquement du PHP.

`Lignes et indentation`

Il NE DOIT PAS y avoir de limite stricte sur la longueur de la ligne.
La limite souple sur la longueur de ligne DOIT être de 120 caractères.
Les lignes NE DEVRAIENT PAS dépasser 80 caractères ; les lignes plus longues DEVRAIENT être divisées en plusieurs lignes suivantes de 80 caractères chacune au maximum.
Il NE DOIT PAS y avoir d'espace à la fin des lignes.
Des lignes vierges PEUVENT être ajoutées pour améliorer la lisibilité et pour indiquer les blocs de code associés, sauf là où cela est explicitement interdit.
Il NE DOIT PAS y avoir plus d'une instruction par ligne.
Contrairement à PSR-12, le code DOIT utiliser une tabulation pour chaque niveau de retrait et NE DOIT PAS utiliser d'espaces pour le retrait.

`Fonctions, Classes et Namespaces`

Dans les versions 4.x et antérieures, SPIP ne suit pas de PSR d'autoloading (ex : PSR-4. En conséquence, SCS1 n'impose aucun formalisme pour les namespaces et les classes, y compris les Traits et les interfaces.
Les fonctions DEVRAIENT être déclarées en snake_case.
L'accolade ouvrante DOIT être sur la même ligne que le nom de la fonction, et DOIT avoir un espace avant et aucun espace après. function ma_fonction() { $ma_variable = 0; // … return $mon_resultat; }

`Constantes, Variables et propriétés de classe`

Les constantes DOIVENT être déclarées en majuscules avec un tiret bas séparateur et préfixées par un tiret bas. define('_NOUVELLE_CONSTANTE', true);
Les variables et les arguments de fonctions DEVRAIENT être déclarées en snake_case. function ma_super_fonction($un_argument, $autre_argument) { … }
les propriétés de classe PEUVENT être déclarées en snake_case.
Les variables globales, dont l'usage est déconseillé, sont référencée par $GLOBALS['xxx'] et non par une déclaration global $xxx, car cela permet d'être certain de la référence qu'on utilise et de facilement faire la différence lors de la lecture du code. if (isset($GLOBALS['meta']['adresse_site'])) { $adresse = $GLOBALS['meta']['adresse_site']; }

`Mots-clés réservés, Structures de contrôle et opérateurs`

Tous les mots-clés et types réservés PHP 12 DOIVENT être en minuscules.
Tous les nouveaux types et mots-clés ajoutés aux futures versions de PHP DOIVENT être en minuscules.
La forme courte des mots-clés de "type", quand ils sont présents, DOIT être utilisée, c'est-à-dire bool au lieu de boolean, int au lieu d'integer, etc.
L'accolade ouvrante des structures de contrôle DOIT être sur la même ligne que le nom de la fonction, et DOIT avoir un espace avant et aucun espace après.
Dans les expressions PHP, laisser un espace de part et d'autre des opérateurs binaires (+, =, *, and, ...). $hypothenuse = sqrt(($a * $a) + ($b * $b));
Les opérateurs unaires (!, ...) doivent être collés au paramètre auquel ils s'appliquent.
la notation courte DOIT être appliquée sur les tableaux $tableau = [ 'cle' => 'valeur', ... ];

`Opérations sur les chaines de caractères`

Utilisez les guillemets doubles uniquement quand cela est nécessaire. Si vous n'avez pas de variable ($var) ou de caractère de contrôle (\n, \r, \t...) à évaluer dans la chaîne, utilisez les guillemets simples. $chaine = "Lien\n"; $chaine2 = 'Une simple phrase : ' . $autre_chose;



Branches en fin de vie
James — 2021-06-05T08:18:33Z
Cette page répertorie la date de fin de vie de chaque branche non prise en charge de SPIP. Si vous utilisez ces versions, il vous est fortement conseillé de passer à une version actuelle, car l'utilisation d'anciennes versions peut vous exposer à des vulnérabilités de sécurité et des bogues qui ont été corrigés dans des versions plus récentes de SPIP.
   Branche  Fin de vie  Dernière publication  Compatibilité PHP  
 
   4.3   21 décembre 2025  4.3.9  7.4 - 8.4  
  4.2   14 février 2025  4.2.17  7.4 - 8.3  
  4.1   23 janvier 2025  4.1.20  7.4 - 8.1  
  4.0   23 février 2023  4.0.11  7.3 - 8.0  
  3.2   23 février 2023  3.2.19  5.4 - 7.4  
  3.1   9 juillet 2021  3.1.15  5.1 - 7.1  
  3.0   30 juin 2019  3.0.28  5.1 - 5.6  
  2.1   17 octobre 2017  2.1.30  4.4 - 5.6  
  2.0   6 janvier 2016  2.0.26  4.4 - 5.6  
  1.9   12 mai 2012  1.9.2+p  4.4 - 5.6  
  1.8   9 avril 2010  1.8.3+b   
  1.7   1er avril 2005  1.7.2   
  1.6   3 janvier 2004  1.6.0   
  1.5   26 mai 2003  1.5.2   
  1.4   14 décembre 2002  1.4.2   
  1.3   12 septembre 2002  1.3.1   
  1.2   12 septembre 2002  1.2.1   
  1.0   12 octobre 2001  1.0.6   
 



Notes de publication
James — 2021-05-15T20:46:37Z

Nous avons rassemblé toutes les informations officielles et le code disponible pour les versions précédentes de SPIP. Vous pouvez trouver plus de détails sur la version actuelle sur notre page de téléchargement. Veuillez noter que les versions plus anciennes sont répertoriées à des fins d'archivage uniquement et qu'elles ne sont plus prises en charge.
 4.4.13
 Publiée le : 6 mars 2026
  Annonce 
  Téléchargement :   SPIP 4.4.13 (zip)
 Taille : 9.1 Mio
 SHA1 : dc7d3c15a3ab12491e81c8e612f6c7f4f6cefdb6 
 
 
 
 4.4.12
 Publiée le : 6 mars 2026
  Annonce 
  Téléchargement :   SPIP 4.4.12 (zip)
 Taille : 9.1 Mio
 SHA1 : 207af0fcfe4272b7813639f186829ecb9a644c8f 
 
 
 
 4.4.11
 Publiée le : 27 février 2026
  Annonce 
  Téléchargement :   SPIP 4.4.11 (zip)
 Taille : 9.1 Mio
 SHA1 : bbf9adae1b643ddd2216671fc3abd138c430f91f 
 
 
 
 4.4.10
 Publiée le : 26 février 2026
  Annonce 
  Téléchargement :   SPIP 4.4.10 (zip)
 Taille : 9.1 Mio
 SHA1 : 34829c8583682960992bd403c4a7179dc311bec6 
 
 
 
 4.4.9
 Publiée le : 18 février 2026
  Annonce 
  Téléchargement :   SPIP 4.4.9 (zip)
 Taille : 9.1 Mio
 SHA1 : 2d56bb316de47baf15ffe171e0d3806ce450e59c 
 
 
 
 4.4.8
 Publiée le : 12 février 2026
  Annonce 
  Téléchargement :   SPIP 4.4.8 (zip)
 Taille : 9.1 Mio
 SHA1 : ba1565d59e07841c2ebe443761d09d06c5fe5714 
 
 
 
 4.4.7
 Publiée le : 5 décembre 2025
  Annonce 
  Téléchargement :   SPIP 4.4.7 (zip)
 Taille : 9.1 Mio
 SHA1 : d9cbdb1a5a4fcbe2c42460d7a5b3bd48d7c9ad93 
 
 
 
 4.4.6
 Publiée le : 10 octobre 2025
  Annonce 
  Téléchargement :   SPIP 4.4.6 (zip)
 Taille : 9.1 Mio
 SHA1 : 606b1217f137ceb6cb7415c6b4ced0fe1c01848e 
 
 
 
 4.3.9
 Publiée le : 8 septembre 2025
  Annonce 
  Téléchargement :   SPIP 4.3.9 (zip)
 Taille : 8.7 Mio
 SHA1 : 9ecf05b7c7a9363b4475d1f38cdb56cfd3572c7e 
 
 
 
 4.4.5
 Publiée le : 8 septembre 2025
  Annonce 
  Téléchargement :   SPIP 4.4.5 (zip)
 Taille : 9.1 Mio
 SHA1 : 8a1574c02934af7fd51ce2524e577a23bd82c786 
 
 
 
  « Précédent   1 2 3 4 5 ...  25    Suivant » 

		PS : en alternative, les ZIPs de chacun des constituants de SPIP peuvent être téléchargés dans leurs différentes versions sur le serveur de développement. Par exemple, les ZIPs du noyau de SPIP sont disponibles sur cette page : https://git.spip.net/spip/spip/tags


Versions maintenues
James — 2019-03-19T14:47:39Z

Sommaire
 Légende
 Versions actuellement maintenues
 Compatibilité PHP
Légende
  Non publiée  Une version qui n'a pas encore été publiée.  
  Maintenance active  Une version qui est activement prise en charge. Les bogues signalés et les problèmes de sécurité sont corrigés et des mises à jour régulières sont effectuées.  
  Correctifs de sécurité seulement  Une version prise en charge uniquement pour les problèmes de sécurité critiques. Les publications ne sont effectuées qu'au besoin.  
  Fin de vie  Une version qui n'est plus prise en charge. Les personnes utilisant cette version doivent mettre à jour dès que possible, car elles peuvent être exposées à des vulnérabilités de sécurité non corrigées.  
Versions actuellement maintenues
   Branche  Dernière publication  Compatibilité PHP  Première publication  Maintenance active jusqu'au  Correctifs de sécurité jusqu'au  
 
   4.4   6 mars  7.4 - 8.5  Février 2025  1er juillet  Juillet 2028  
  5.0    8.2 - 8.5  1er juillet  Janvier 2027  Janvier 2027  
  5.1    8.2 - 8.5  Janvier 2027  Juillet 2027  Juillet 2027  
  5.2    8.2 - 8.5  Juillet 2027  Janvier 2028  Janvier 2028  
  5.3    8.2 - 9.0  Janvier 2028  Juillet 2028  Juillet 2028  
  5.4    8.2 - 9.0  Juillet 2028  Janvier 2029   
  6.0    ? - ?  Juillet 2028    
 

Ou sous forme de calendrier :
 Image
L'idée générale est de ne maintenir que la dernière version Y dans chaque branche X.
Nous utilisons le versionnement sémantique. Pour résumer : un changement de y apporte des nouvelles fonctionnalités et corrige des bugs. Un changement de X apporte de nouvelles fonctionnalités et implique certains changements non retrocompatibles.
Compatibilité PHP
     Compatibilité PHP  
  SPIP  7.4  8.0  8.1  8.2  8.3  8.4  8.5  9.0  
 
  4.4   ✔   ✔   ✔   ✔   ✔   ✔   ✔   ✘  
  5.0   ✘   ✘   ✘   ✔   ✔   ✔   ✔   ✘  
  5.1   ✘   ✘   ✘   ✔   ✔   ✔   ✔   ✘  
  5.2   ✘   ✘   ✘   ✔   ✔   ✔   ✔   ✘  
  5.3   ✘   ✘   ✘   ✔   ✔   ✔   ✔   ✔  
 


Pourquoi réaliser un plugin ?
James — 2006-08-30T21:54:06Z

Sommaire
 Adapter SPIP à ses propres besoins
Adapter SPIP à ses propres besoins
SPIP met en place tout un formalisme pour permettre une modification et une extension harmonieuse du code. La principale avancée se situe dans la possibilité de "greffer" (et de retirer la greffe quand on le souhaite sans avoir touché le code de notre SPIP tout neuf) des améliorations et des modifications aussi diverses que variées. Les possibilités sont tellement vastes que toute la question est maintenant de savoir comment faciliter l'installation, tant pour soi-même que pour une distribution publique, de toutes ces personnalisations.
Techniquement, l'introduction des plugins a permis d'ouvrir les possibilités suivantes :

- tous les fichiers du noyau sont surchargeables [1] et toutes les fonctions appelables systématiquement [2],

- une interface d'application (API) est maintenue par la définition d'un certain nombre de points d'entrée dans le code.
On a besoin de réaliser un plugin dans quatre cas :
- Fonctions et options : réaliser son premier plugin, migrer et rendre portables ses fonctions et ses options pour soi ou pour les autres.
- Les points d'entrée : injecter, le temps d'activation d'un plugin, du code au coeur de SPIP et modifier profondément son fonctionnement.
- Modifier les fichiers natifs : en l'absence de point d'entrée, modifier des parties du code de SPIP sans intervenir concrètement sur le noyau.
- Réecrire son propre code : inventer son propre script que l'on greffera sur SPIP.
Si vous n'avez aucun de ces objectifs en tête, ne vous bilez pas avec les pages suivantes :) Cependant, vous serez probablement intéressé par ce que peuvent vous fournir des plugins distribuées librement.
		
		
[1] Surcharger un fichier consiste à multiplier la lecture d'un fichier afin de lui faire prendre la dernière valeur lue. De façon très schématique, si vous surcharger un fichier qui a pour valeur "Bonjour" avec un fichier qui a pour valeur "Bonsoir", l'écran affichera "Bonsoir" et non "Bonjour".

[2] Vous pouvez appeler à partir de n'importe quel fichier une fonction déjà existante, pour autant que vous ayez inclus en début de fichier le fichier qui contient la fonction que vous voulez utiliser. Ceci est particulièrement puissant, car les concepteurs de SPIP ont réalisé beaucoup de fonctions qui sont autant de routines que vous n'aurez pas à reprogrammer. On peut citer en exemple lire_fichier (qui lit un fichier), ecrire_fichier (qui écrit un fichier), preg_files (qui cherche un fichier), toutes les requetes sql et des dizaines de fonctions qui sont simplifiées au possible grâce à des routines contenues dans le code source de SPIP. Voir la doc du code pour en savoir plus.
On trouvera une liste conséquente de plugins disponibles (dont il sera possible d'étudier le code)
 soit sur contrib.spip.net : leur description
 soit sur plugins.spip.net.



Le système de pagination
Fil, François Schreuer, James, Maïeul — 2006-07-01T08:06:14Z
Lorsqu'une boucle renvoie plusieurs dizaines d'articles (ou, pour une pétition, plusieurs milliers de signatures), il n'est pas souhaitable, voire impossible, de tout afficher sur une seule page.
		
Sommaire
 Syntaxe de base
 Ancres de pagination
 Accès direct à un élément particulier
 Le nombre total de résultats
 Changer le pas de la {pagination}
 La pagination dans les squelettes inclus
 Styles de la pagination
 Choisir le modèle de pagination
 Personnaliser le modèle de pagination
La pagination permet de répartir des résultats trop nombreux sur plusieurs pages.
SPIP propose donc un système simplifié de pagination des résultats d'une boucle.
Syntaxe de base
Au plus simple, ce système est composé d'un critère et d'une balise :
 le critère {pagination} s'ajoute sur la boucle à paginer ;
 la balise #PAGINATION, placée dans une des parties optionnelles (« avant » ou « après ») de la boucle, affiche la « pagination ».
 [(#PAGINATION)
]   #TITRE
  
  
Si le site comporte 90 articles publiés, cette boucle affichera la liste des dix plus anciens articles, surplombée de liens conduisant vers la page qui affiche les dix suivants, les dix d'après, etc. Ces liens sont numérotés comme suit :
0 | 10 | 20 | 30 | 40 | 50 | 60 | 70 | 80 | ...

Le numéro à partir duquel les résultats sont affichés est passé dans l'url via un paramètre {debut_page=x} portant le même nom (ici, « page ») que la boucle concernée. (Ce paramètre est exploitable dans une autre boucle via le critère classique {debut_page,10}.)
A noter : le nombre total de liens affichés est limité ; des points de suspension permettent, le cas échéant, d'aller directement à la toute fin de la liste, ou de revenir au tout-début.

Ancres de pagination
La balise #PAGINATION comporte une ancre HTML qui permet au navigateur d'afficher directement la partie de la page qui est paginée ; toutefois si l'on veut mettre les liens de pagination en dessous de la liste des articles, il faut pouvoir placer l'ancre au-dessus de la liste.
C'est à cela que sert la balise #ANCRE_PAGINATION, qui retourne l'ancre en question, et interdit à la balise #PAGINATION suivante d'afficher son ancre.
 #ANCRE_PAGINATION   #TITRE
  
 [(#PAGINATION)
]  
Inversement, pour ne pas ancrer, on précisera [(#ANCRE_PAGINATION|vide)] dans la boucle.

Accès direct à un élément particulier
Pour permettre de donner une URL permanente vers un élément précis d'une liste paginée on utilisera &debut_abc=@xxx où « abc » est le nom de la boucle de pagination et « xxx » l'id de l'objet dans la table sur laquelle porte la pagination.
Exemple : Dans une boucle
 [(#PAGINATION)
]   #ID_ARTICLE : #TITRE
  
  
&debut_pagi=10 place la pagination sur la deuxième page (à partir du dixième élément de la liste)
&debut_pagi=@231 place la pagination sur la page qui contient l'id_article « 231 ».

Le nombre total de résultats
Dans une boucle avec le critère {pagination}, #TOTAL_BOUCLE affiche le nombre d'éléments effectivement retournés, c'est-à-dire 10 sur les pages pleines, et 10 ou moins sur la dernière page de résultats.
Pour afficher le nombre d'éléments qui auraient été retournés si le critère {pagination} n'avait pas été là, utilisez la balise #GRAND_TOTAL.
 #ANCRE_PAGINATION  #TITRE 
  Il y a au total #GRAND_TOTAL articles, cette page en affiche #TOTAL_BOUCLE  
indiquera : « Il y a au total 1578 articles, cette page en affiche 10. »

Changer le pas de la {pagination}
Le nombre standard de 10 éléments par page peut être modifié par un paramètre supplémentaire dans le critère.
Ainsi
 #TITRE
  
retournera les titres de cinq articles à partir de debut_page.
Le paramètre en question peut lui-même être composé comme on le souhaite à partir d'autres balises, notamment #ENV{xx}, ce qui permet de faire un affichage à la demande très complet.
 La pagination dans les squelettes inclus
Si votre pagination doit fonctionner dans un squelette inclus, vous devez passer en paramètre de la commande INCLURE la formulation {ajax, env} ; ceci permet au squelette inclus de se calculer avec la bonne valeur du paramètre debut_xxx, et se justifie qui plus est par un besoin de sécurité (la balise #PAGINATION est en effet calculée à partir de l'URL complète de la page).


Nommer le critère de pagination
Lorsque l'on utilise des squelettes inclus plusieurs fois dans la même page comme :
   
et que cet INCLURE possède une pagination (d'où l'utilisation du critère {env}), lorsque vous cliquerez sur une pagination, vous verrez toutes les paginations se modifier en même temps.
Pour éviter cela, il suffit de nommer le critère pagination à l'intérieur du fichier inclu par un nom qui sera différent à chaque inclusion :
 #ANCRE_PAGINATION  #TITRE
  [(#PAGINATION)
]  
On peut aussi vouloir spécifier dès l'appel de l'INCLURE le nom que l'on veut donner au critère pagination :
  
dans page_paginee.html :
 #ANCRE_PAGINATION  #TITRE
  [(#PAGINATION)
]  
Styles de la pagination
La pagination est constituée d'une série de liens, et d'un numéro de page correspondant à la page actuelle doté de la class « .on » : on définira donc les styles pour a et .on pour en personnaliser l'apparence.
Choisir le modèle de pagination
La balise #PAGINATION accepte un paramètre {modele}, qui permet de modifier le résultat de la balise.
#PAGINATION{precedent_suivant} affichera des liens vers les pages précédentes et suivantes. Les liens seront les suivants
page précédente | page suivante

#PAGINATION{page} affichera quelque chose de la forme suivante
1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | ...

#PAGINATION{page_precedent_suivant} affichera quelque chose comme
page précédente 1 | 2 | 3	| 4 | 5 | 6 | page suivante

#PAGINATION{prive} affichera quelque chose comme
0 | 10 | 20 | 30  | Tout afficher

Il est possible de définir d'autres modèles de pagination dans le dossiers modeles/ de votre jeu de squelettes. Ils devront s'appeler pagination_nomdumodele. On pourra, pour les fabriquer, s'inspirer de ceux livrés de base avec SPIP et situés dans le répertoire prive/modeles/
Personnaliser le modèle de pagination
Chaque modèle possède des paramètres qu'il est possible de personnaliser.
Par exemple, #PAGINATION{page_precedent_suivant} affiche par défaut :
page précédente 1 | 2 | 3	| 4 | 5 | 6 | page suivante

#PAGINATION{page_precedent_suivant, label_precedent=<, label_suivant=>} affiche :
< 1 | 2 | 3	| 4 | 5 | 6 | >

Configurer l'adresse des liens de #PAGINATION
À partir de SPIP 3.2.8, il devient possible de spécifier quelle URL doit servir de base pour les liens générés par la balise #PAGINATION.
Par exemple, cela permet, si nécessaire, de nettoyer une variable d'URL indésirable : 

#PAGINATION{prive,self=#SELF|parametre_url{...}}
Configurer le nombre de liens 
Depuis SPIP 4.0, les différents modèles de pagination acceptent un paramètre nombre_liens_max qui, passé a la balise #PAGINATION permet de définir le nombre de lien de pagination maximum affiché par le modèle. On peut également employer la constante _PAGINATION_NOMBRE_LIENS_MAX.
Définir un nouveau modèle de pagination
Il est possible de surcharger un modèle de pagination existant ou d'en définir un nouveau dans le dossier modeles de votre squelette ou plugin. Pour cela, créez le fichier de ce nouveau modèle avec le nom désiré. Ainsi le modèle legere.html, vous permet d'utiliser #PAGINATION{legere} dans vos squelettes.
Les modèles de paginations reçoivent des variables d'environnement dont ils peuvent faire usage : page_courante, nombre_pages, bloc_ancre. Ils peuvent aussi utiliser le filtre |bornes_pagination qui renvoie les bornes de la pagination créée.

Pour vous faciliter la tâche, vous pouvez commencer en reprenant le code d'un modèle de pagination livré avec SPIP et l'adapter à vos besoins.
Ne pas enregistrer dans l'historique du navigateur
Il faut pour cela associer la classe CSS nohistory au lien ajax (voir `ajax` pour les `inclure`) :
[ (#PAGINATION{precedent_suivant}|replace{lien_pagination,lien_pagination nohistory}) 
]

Branche	Fin de vie	Dernière publication	Compatibilité PHP
4.3	21 décembre 2025	4.3.9	7.4 - 8.4
4.2	14 février 2025	4.2.17	7.4 - 8.3
4.1	23 janvier 2025	4.1.20	7.4 - 8.1
4.0	23 février 2023	4.0.11	7.3 - 8.0
3.2	23 février 2023	3.2.19	5.4 - 7.4
3.1	9 juillet 2021	3.1.15	5.1 - 7.1
3.0	30 juin 2019	3.0.28	5.1 - 5.6
2.1	17 octobre 2017	2.1.30	4.4 - 5.6
2.0	6 janvier 2016	2.0.26	4.4 - 5.6
1.9	12 mai 2012	1.9.2+p	4.4 - 5.6
1.8	9 avril 2010	1.8.3+b
1.7	1er avril 2005	1.7.2
1.6	3 janvier 2004	1.6.0
1.5	26 mai 2003	1.5.2
1.4	14 décembre 2002	1.4.2
1.3	12 septembre 2002	1.3.1
1.2	12 septembre 2002	1.2.1
1.0	12 octobre 2001	1.0.6

Non publiée	Une version qui n'a pas encore été publiée.
Maintenance active	Une version qui est activement prise en charge. Les bogues signalés et les problèmes de sécurité sont corrigés et des mises à jour régulières sont effectuées.
Correctifs de sécurité seulement	Une version prise en charge uniquement pour les problèmes de sécurité critiques. Les publications ne sont effectuées qu'au besoin.
Fin de vie	Une version qui n'est plus prise en charge. Les personnes utilisant cette version doivent mettre à jour dès que possible, car elles peuvent être exposées à des vulnérabilités de sécurité non corrigées.

Branche	Dernière publication	Compatibilité PHP	Première publication	Maintenance active jusqu'au	Correctifs de sécurité jusqu'au
4.4	6 mars	7.4 - 8.5	Février 2025	1er juillet	Juillet 2028
5.0		8.2 - 8.5	1er juillet	Janvier 2027	Janvier 2027
5.1		8.2 - 8.5	Janvier 2027	Juillet 2027	Juillet 2027
5.2		8.2 - 8.5	Juillet 2027	Janvier 2028	Janvier 2028
5.3		8.2 - 9.0	Janvier 2028	Juillet 2028	Juillet 2028
5.4		8.2 - 9.0	Juillet 2028	Janvier 2029
6.0		? - ?	Juillet 2028

SPIP

Les outils utilisés pour le développement

SPIP 4.1

Sommaire

Compatibilité PHP

Compatibilité PHP 8.1

Authentification & Chiffrement

Le formulaire de login

Poivre, sel, hash du mot de passe

Clés de chiffrement

Password

Chiffrement

Signature des actions

Qualité du code

Typage

Sucre syntaxique

Changements d'API sur les URLs et objets

Encodage

Décodage

Objet

Réécriture de transmettre en .api

Mises à jour des librairies

Javascript

PHP

Suppression de librairies

Interface

Nettoyages

Quelques adaptations

Plugins

Standard "SPIP41"

Standard "SPIP40"

Standard "SCS1"

Sommaire

Fichiers

Lignes et indentation

Fonctions, Classes et Namespaces

Constantes, Variables et propriétés de classe

Mots-clés réservés, Structures de contrôle et opérateurs

Opérations sur les chaines de caractères

Branches en fin de vie

Notes de publication

4.4.13

4.4.12

4.4.11

4.4.10

4.4.9

4.4.8

4.4.7

4.4.6

4.3.9

4.4.5

Versions maintenues

Sommaire

Légende

Versions actuellement maintenues

Compatibilité PHP

Pourquoi réaliser un plugin ?

Sommaire

Adapter SPIP à ses propres besoins

Le système de pagination

Sommaire

Syntaxe de base

Ancres de pagination

Accès direct à un élément particulier

Le nombre total de résultats

Changer le pas de la {pagination}

La pagination dans les squelettes inclus

Styles de la pagination

Choisir le modèle de pagination

Personnaliser le modèle de pagination

Réécriture de `transmettre` en .api

`Lignes et indentation`

`Fonctions, Classes et Namespaces`

`Constantes, Variables et propriétés de classe`

`Mots-clés réservés, Structures de contrôle et opérateurs`

`Opérations sur les chaines de caractères`

Changer le pas de la `{pagination}`