Test & Avis Expert
Bludit est un système de publication de sites et de blogs écrit en PHP, qui se passe entièrement de base de données. Il vise les sites de taille modeste — site vitrine, blog personnel, documentation — chez un hébergeur mutualisé ordinaire. Le projet est publié sous licence MIT et son développement est actif : la version 3.22.0 date de mai 2026, dans une série de publications rapprochées.
Comment ça marche
Le contenu est stocké dans des fichiers JSON déposés sur le disque, à côté du code. Il n'y a ni MySQL ni PostgreSQL à installer, à configurer ou à sauvegarder séparément : copier le répertoire du site suffit à le sauvegarder ou à le déplacer. Les prérequis se limitent à un serveur web avec PHP 8.0 ou supérieur et les modules mbstring, gd, dom et json. L'installation consiste à téléverser le répertoire décompressé et à ouvrir l'adresse du site pour dérouler l'assistant. La rédaction se fait en Markdown ou en HTML, au choix, et des catalogues de thèmes et d'extensions sont disponibles.
Ce que ça ne protège pas
Le modèle à fichiers plats a un revers direct : si le serveur web peut écrire dans le répertoire du site — condition nécessaire pour que l'administration fonctionne — alors une faille exploitée dans le code PHP donne accès en écriture au site entier. La sécurité repose donc sur l'application des mises à jour, sans le filet qu'apporterait une séparation entre code et base de données. Bludit dispose d'un panneau d'administration accessible en ligne, protégé par mot de passe, qui constitue la surface d'attaque principale et mérite un mot de passe long ainsi qu'une restriction d'accès quand c'est possible.
Le fichier README du projet signale un point de configuration à ne pas manquer : Bludit lit l'adresse du visiteur uniquement dans REMOTE_ADDR et ne fait pas confiance aux en-têtes de type X-Forwarded-For. Derrière un proxy inverse ou un service comme Cloudflare, sans reconfiguration du serveur web, la liste de blocage anti-force brute finit par bloquer le proxy lui-même, c'est-à-dire tous les visiteurs.
Enfin, l'absence de base de données ne passe pas à l'échelle indéfiniment : la recherche et la pagination sur plusieurs milliers d'articles sont le terrain sur lequel un moteur avec base de données reprend l'avantage.
Face aux alternatives
WordPress apporte un écosystème d'extensions sans commune mesure, et la charge d'administration et la surface d'attaque qui vont avec. Un générateur de site statique comme Hugo ou Jekyll produit des fichiers HTML sans aucun code exécuté sur le serveur, ce qui réduit la surface d'attaque presque à zéro, mais supprime l'interface d'administration en ligne et impose une chaîne de publication. Bludit occupe l'entre-deux : administration depuis le navigateur, aucune base de données, hébergement PHP banal.
