Limitation de débit : limites pour auteurs et visiteurs

La limitation de débit WordPress proposée par CSDN met des garde-fous aux abus d’écriture. D’un côté il y a les auteurs qui publient trop de contenus en peu de temps, par exemple avec un compte compromis. De l’autre il y a les visiteurs qui envoient trop de commentaires ou de formulaires de contact. Chaque garde-fou s’active et se règle séparément.

Où se trouve

Va sur Réglages et choisis Cisilino Site Defense Network (point 1 de l’image). Ouvre l’onglet « Limitation de débit » (point 2). Pour enregistrer, il faut le droit manage_options ; sur multisite il faut manage_network_options.

Les sections sont quatre. Le point 3 est « Comment ça marche, concrètement : ce qui est compté ». Le point 4 est « 1. Auteurs : publications trop fréquentes ». Le point 5 est « 2. Visiteurs : commentaires et formulaires de contact ». Le point 6 est « Utilisateurs actuellement suspendus ». Les valeurs de temps sont toutes en secondes.

À quoi ça sert

Le garde-fou sur les auteurs arrête un compte qui publie en rafale, avant qu’il ne remplisse le site de contenus. Le garde-fou sur les visiteurs freine qui inonde les commentaires et les formulaires. Le code connaît aussi un troisième garde-fou, l’email obligatoire. Tu le trouves dans l’onglet « Inscription des utilisateurs », décrit au chapitre précédent.

Comment procéder

Ce qui est compté (point 3)

L’encadré informatif explique les règles. Pour les auteurs, le contrôle se déclenche quand WordPress enregistre un article ou une page. Le plugin compte combien d’articles et de pages de cet auteur ont une date de création ou de publication dans les T dernières secondes. S’il y en a plus de N, l’auteur est suspendu. L’enregistrement qui dépasse le seuil réussit : la suspension bloque les suivants.

Ne comptent pas les plugins et les thèmes, les connexions, les modifications de contenus plus anciens que la fenêtre, les brouillons automatiques, les révisions, la corbeille, les médias, les commentaires et les autres types de contenu. Les environnements temporaires, comme celui de test du Plugin Check, sont ignorés.

Attention : l’exemple écrit dans cet encadré cite encore N=3. C’est un texte ancien. La valeur par défaut réelle est 150 contenus en 5 minutes, depuis la version 1.0.13.

Auteurs (point 4)

1. Coche « Limitation de débit active » pour limiter les publications des auteurs.
2. Décide si tu gardes « Alerte par email » : tu reçois un mail à la suspension d’un auteur.
3. Règle « N : contenus autorisés », de 1 à 1000. Par défaut 150.
4. Règle « T : fenêtre (secondes) », de 10 à 86400. Par défaut 300, c’est-à-dire 5 minutes.
5. Règle « S : suspension (secondes) », de 60 à 2592000. Par défaut 3600, c’est-à-dire 1 heure.
6. Clique sur Enregistrer les réglages de limitation de débit.

Le mail part vers l’adresse administrateur de Réglages > Général. Il contient l’utilisateur, les contenus dans la fenêtre, l’expiration et la liste jusqu’à 20 contenus récents à contrôler. La suspension ne modifie pas ces contenus.

Visiteurs (point 5)

1. Coche « Limitation de débit active » pour limiter les envois des invités.
2. L’« Alerte par email » est désactivée par défaut. Sur un site exposé, cela peut générer beaucoup de mails. Elle arrive à la même adresse administrateur de Réglages > Général, une fois pour chaque blocage.
3. « N : envois autorisés », de 1 à 100. Par défaut 2.
4. « T : fenêtre (secondes) », de 5 à 3600. Par défaut 60.
5. « S : blocage IP (secondes) », de 60 à 2592000. Par défaut 3600.

Le garde-fou concerne seulement qui n’est pas connecté. Il compte les envois par IP et par type, commentaires ou formulaires. Un blocage sur les commentaires ne bloque pas les formulaires. Les formulaires de contact couverts sont ceux de Contact Form 7. Le commentaire rejeté affiche « Trop d’envois » avec une erreur 429.

Si une valeur est hors des limites, le plugin la ramène à la plus proche autorisée. L’enregistrement affiche « Réglages de limitation de débit enregistrés. Les valeurs hors des limites autorisées ont été ramenées à la plus proche permise. »

Limitation de débit WordPress : suspensions et blocages

Un auteur suspendu conserve son rôle et peut utiliser le reste du panneau. Il perd cependant les droits de créer et de publier des articles et des pages. « Ajouter un article » et les entrées des pages disparaissent, et s’il ouvre ces écrans il reçoit « permission refusée ». Dans le tableau de bord apparaît un avertissement qui ne peut pas être fermé.

Attention : la suspension des auteurs touche aussi les administrateurs. Un administrateur suspendu perd la création et la publication, mais peut encore ouvrir les Réglages et révoquer lui-même sa suspension. Il n’existe pas de liste d’exceptions pour utilisateurs, rôles ou IP : la liste blanche d’IP de l’onglet Général n’exempte pas de la limitation de débit.

Attention : le blocage des visiteurs est par IP. Plusieurs personnes derrière la même IP, comme un bureau, peuvent être bloquées ensemble. Dans ce cas, augmente N. Le plugin lit seulement l’adresse de connexion (REMOTE_ADDR) et non les en-têtes de proxy ou de CDN : derrière un proxy inverse ou un CDN, tous les visiteurs peuvent apparaître avec la même IP et se bloquer mutuellement.

Comment révoquer une suspension

Tu as deux options.

1. Attends. La suspension se termine seule après S secondes.
2. Dans la section au point 6, « Utilisateurs actuellement suspendus », clique sur Révoquer la suspension sur la ligne de l’utilisateur. Tu verras « Suspension révoquée : l’utilisateur peut de nouveau créer et publier des contenus. » Si le tableau est vide, tu lis « Aucun utilisateur suspendu. »

Le tableau montre au maximum 100 utilisateurs. Les avertissements du tableau de bord ont les liens « Révoque la suspension » et « Contrôle et révoque », qui mènent au même onglet.

Éteindre « Limitation de débit active » ne retire pas une suspension déjà en cours. Pour la retirer, il faut la révoquer ou attendre l’expiration.

Ce qui se passe en coulisses

La suspension est une information enregistrée sur l’utilisateur, avec la date d’expiration. Pour les invités, chaque envoi est enregistré pendant 24 heures dans une table du plugin, puis compté dans la fenêtre. Si deux requêtes arrivent ensemble, une de plus peut passer. Suspensions et blocages finissent dans le Registre d’activité, s’il est actif et si les groupes Utilisateurs et Commentaires sont activés.

Attention : une importation légitime de nombreux contenus peut déclencher le garde-fou sur les auteurs. Avant une migration, désactive le garde-fou ou augmente N.

Exemples de limitation de débit WordPress

• Blog avec un seul auteur : tu peux abaisser N à 10 ou 20 avec T=300. Tu intercepteras plus vite un compte compromis. Ce sont des valeurs d’essai, pas une règle du plugin.
• Rédaction qui duplique ou importe des pages : garde 150/300 ou plus.
• Bureaux avec IP partagée : augmente les envois autorisés des visiteurs à 3 ou 5.

Conversions utiles : 300 secondes font 5 minutes, 3600 font 1 heure, 86400 font 1 jour. Pour approfondir le sujet général, lis le guide OWASP Blocking Brute Force Attacks, qui explique pourquoi limiter les tentatives répétées.

Précédent : Inscription des utilisateurs : qui peut créer un compte. Suivant : Registre d’activité : ce qui s’est passé sur le site. Pour le sommaire général, va au chapitre 1 du manuel.