🚀 Lancement de Gato GraphQL v18.0 : Mise en cache des requêtes parsées, sécurité renforcée et nouveau fournisseur de traduction Gemini

Gato GraphQL v18.0 est disponible 🎉

Cette version est notablement plus rapide et utilise considérablement moins de mémoire, vous permet de mettre en cache les requêtes GraphQL parsées sur disque pour éviter le parsage et la compilation répétés, renforce les vérifications de capacité par défaut pour les champs Email Sender, HTTP Client et Environment Variable, inclut plusieurs corrections de bugs et quelques correctifs de sécurité, et ajoute un nouveau fournisseur de traduction Gemini ainsi que des délais configurables de Request et Connection pour les traductions.

Lisez la suite pour découvrir les nouveautés.

​

⚡ Mettre en cache les requêtes GraphQL parsées sur disque

Chaque requête doit parser la requête GraphQL, la valider par rapport au schéma et construire le plan d'exécution. v18 peut désormais persister la requête préparée sur disque et la recharger lors des exécutions ultérieures — en sautant entièrement le travail répété de parsage et de compilation.

Activez-le sur la page Settings, sous Server Configuration > Caching > Cache parsed GraphQL queries? :

Cela met en cache la préparation de la requête (parsage et compilation), pas les données de réponse. Pour la mise en cache HTTP des réponses, consultez Ajout de la mise en cache HTTP.

Les fichiers sont placés dans le répertoire de cache du plugin. Si le dossier du plugin n'est pas accessible en écriture, vous pouvez pointer le cache ailleurs — consultez Remplacement du dossier de cache.

➡️ Tous les détails dans Mise en cache des requêtes GraphQL parsées.

​

⚡ Plus rapide et plus léger — à tous les niveaux

Au-delà du cache des requêtes parsées, les composants internes du plugin ont été revus en profondeur dans v18 : chaque requête GraphQL est notablement plus rapide et consomme considérablement moins de mémoire.

Les gains sont globaux — ils s'appliquent à chaque requête, chaque directive, chaque persisted query — et ils sont particulièrement visibles sur les grands schémas, les longues requêtes, et les sites qui exécutent de nombreuses requêtes GraphQL par page (p. ex. WordPress headless, APIs internes).

Les grands sites qui se heurtaient auparavant aux limites mémoire PHP ou constataient des temps de réponse lents devraient ressentir une vraie différence, sans aucun changement de configuration requis — il suffit de mettre à jour le plugin.

​

🔒 Valeurs par défaut de sécurité renforcées

Trois domaines ont reçu des valeurs par défaut plus strictes afin que le plugin soit plus sûr d'emblée.

​

Email Sender — Capacité requise

La mutation _sendEmail peut désormais être restreinte aux utilisateurs disposant d'une capacité WordPress spécifique, configurée sous Plugin Configuration > Email Sender.

Par défaut manage_options afin que les abonnés ne puissent pas utiliser la mutation pour envoyer des spams à des destinataires arbitraires. Sélectionnez (any logged-in user) pour désactiver la vérification.

​

HTTP Client — Capacité requise pour accéder aux URLs internes

Certaines URLs résolvent vers des adresses internes (127.0.0.1, plages link-local, endpoints cloud-metadata, etc.) qui peuvent exposer des services internes si elles sont atteintes. Un nouveau paramètre sous Plugin Configuration > HTTP Client restreint le ciblage de ces adresses aux utilisateurs disposant d'une capacité WordPress spécifique.

Par défaut manage_options afin que les utilisateurs non-admin ne puissent pas atteindre les services internes via les champs HTTP Client. Sélectionnez (any logged-in user) pour désactiver la vérification.

​

Environment Variables — liste de refus pour les utilisateurs non-admin

Le champ _env nécessitait déjà une allow-list explicite, et cette liste est vide par défaut. v18 ajoute un filet de sécurité supplémentaire pour les utilisateurs non-admin : même si ces noms figurent dans la allow-list de la configuration, l'accès leur est refusé.

Toujours refusés (secrets WordPress) :

AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY, AUTH_SALT, SECURE_AUTH_SALT, LOGGED_IN_SALT, NONCE_SALT, DB_NAME, DB_USER, DB_PASSWORD, DB_HOST, DB_CHARSET, DB_COLLATE.

Également refusés — toute variable dont le nom contient : PASSWORD, PASSWD, SECRET, PRIVATE_KEY, API_KEY, APIKEY, ACCESS_KEY, ACCESS_TOKEN, AUTH_TOKEN, BEARER, CREDENTIAL, SALT.

Les utilisateurs admin conservent un accès complet.

➡️ Consultez la section Security de la documentation pour la liste complète.

​

🌐 Traduction : nouveau fournisseur Gemini

La directive @strTranslate prend désormais en charge Google Gemini comme fournisseur de traduction, aux côtés de ChatGPT, Claude, DeepL, DeepSeek, Google Translate, Mistral, OpenRouter et les LLMs auto-hébergés.

Traduisez n'importe quel champ String dans la langue souhaitée :

{
  posts {
    title @strTranslate(
      from: "en",
      to: "fr",
      provider: gemini
    )
 
    content @strTranslate(
      from: "en",
      to: "fr",
      provider: gemini
    )
  }
}Copy

Les modèles Gemini suivants sont pris en charge :

• Gemini 2.0 Flash (gemini-2.0-flash)
• Gemini 2.0 Flash-Lite (gemini-2.0-flash-lite)
• Gemini 2.5 Flash (gemini-2.5-flash)
• Gemini 2.5 Flash-Lite (gemini-2.5-flash-lite)
• Gemini 2.5 Pro (gemini-2.5-pro)
• Gemini 3.1 Flash-Lite (gemini-3.1-flash-lite)

Configurez votre clé API Google (via Settings, wp-config.php, ou une variable d'environnement), choisissez un modèle, et vous êtes prêt à traduire.

➡️ Consultez la documentation de référence de Gemini Translation.

​

⏱️ Traduction : délais de Request et Connection

La traduction d'un long document via un fournisseur tiers peut être lente, et un upstream bloqué retiendrait sinon un worker PHP jusqu'à ce que PHP lui-même tue la requête — produisant un HTTP 502 / 504 générique ou une page blanche "Maximum execution time exceeded".

v18 expose deux paramètres de délai sous Plugin Configuration > Translation :

• Request timeout : durée maximale (en secondes) d'attente pour la réponse complète du fournisseur de traduction.
• Connection timeout : durée maximale (en secondes) d'attente lors de l'établissement de la connexion.

Maintenez les deux valeurs légèrement en dessous du max_execution_time de votre serveur afin qu'une traduction bloquée échoue proprement avec une erreur contrôlée dans les logs plutôt que de déclencher le délai générique du serveur. Si vos traductions expirent régulièrement, augmentez ces deux valeurs et le max_execution_time de votre serveur en tandem.

​

🐛 Corrections de bugs et correctifs de sécurité

En plus des nouvelles fonctionnalités ci-dessus, v18.0 inclut également plusieurs corrections de bugs et corrige quelques vulnérabilités de sécurité. Nous recommandons vivement de mettre à jour vers v18 dès que possible.

​

Mise à jour

La version est déployée maintenant via le répertoire de plugins WordPress et votre tableau de bord client. Mettez à jour depuis votre administration WordPress (Plugins → Updates), ou téléchargez la dernière version depuis votre compte.

Consultez le changelog pour la liste complète des changements.

Profitez de v18 ! 🎉