Résolution des problèmes et questions fréquentes

Cette page de résolution des problèmes réunit les situations où Cisilino Site Defense Network peut te mettre en difficulté. Pour chacune, tu trouves la solution. Elle te sert dans trois cas. Tu t’es bloqué toi-même, le site répond avec une erreur 500, ou un utilisateur n’arrive plus à publier. Les réponses sont organisées comme des questions fréquentes.

Résolution des problèmes : par où commencer

Avant de chercher la réponse exacte, parcours cette liste de contrôle.

1. Arrives-tu encore à ouvrir wp-admin ? Si oui, presque tout se résout depuis la page Réglages du plugin.
2. Lis les avertissements en haut. Le plugin explique le résultat des actions avec des messages dans des encadrés colorés.
3. Rappelle-toi la dernière chose que tu as changée : une règle de durcissement, une politique, une limite.
4. S’il existe un bouton Vérifier maintenant, utilise-le avant de deviner au hasard.
5. Si tu n’entres plus sur le site, prépare l’accès FTP ou le gestionnaire de fichiers de l’hébergeur.

Connexions et blocages

Je me suis bloqué moi-même : que faire ?

Si tu as encore accès à WordPress, par exemple depuis ton téléphone avec le réseau mobile, ouvre l’onglet IP bloquées. Cherche ton IP et clique sur Débloquer. Si ton IP n’est pas dans la liste mais que tu es bloqué, le blocage peut venir de la liste de sécurité facultative. Va alors dans l’onglet Général, section « Dérogations locales IP ». Saisis l’IP, choisis « Débloquer toujours (unban) » et clique sur Enregistrer la dérogation. Puis, dans l’onglet Général, clique sur Ajouter à la liste blanche.

Si tu es aussi bloqué depuis le site et que tu vois une erreur 403, entre par FTP. Ouvre ensuite .htaccess. Retire la ligne avec ton IP. Ou retire tout le bloc entre # BEGIN Cisilino Site Defense Network et # END Cisilino Site Defense Network.

Attention : la modification à la main est temporaire. Le blocage sera réécrit par la même source au prochain événement. Cela peut être un échec de connexion, une synchronisation ou le tour des 15 minutes. Dès que tu es à l’intérieur, utilise Débloquer et la liste blanche.

Pourquoi la liste blanche ne m’a pas débloqué ?

La liste blanche évite seulement que les échecs de connexion soient comptés. Elle ne retire pas les blocages déjà présents. Pour retirer un blocage, il faut Débloquer, qui crée une dérogation permanente de déblocage sur ce site.

Un utilisateur légitime a été bloqué

Le compteur des tentatives est cumulatif par IP et ne se remet pas à zéro seul. Même des erreurs dispersées sur des semaines peuvent atteindre le seuil, qui est par défaut de 10. Débloque l’IP et mets-la en liste blanche. Ou augmente le seuil dans Réglages distants, où le champ est « Seuil de blocage local (tentatives échouées) ».

Le blocage d’une IP ne finit jamais

Un blocage local n’expire pas. Un blocage manuel expire selon la durée choisie, de 1 heure à 7 jours. Si tu as choisi « Permanente (jusqu’à suppression) », il n’expire pas. Un blocage reçu du panneau disparaît quand le panneau le retire de la liste. Un déblocage à durée limitée, à son expiration, remet le blocage si la source d’origine est encore là. Pour un déblocage définitif, utilise Débloquer, qui est permanent.

Derrière un proxy ou un CDN, les blocages sont étranges

Le plugin lit l’IP seulement depuis REMOTE_ADDR. Il ignore l’en-tête X-Forwarded-For, parce qu’il peut être falsifié. Regarde la phrase « Ton IP actuelle est … » sous le champ Adresse IP de l’onglet Général. Si ce n’est pas ton IP publique, le plugin voit l’adresse du proxy. Dans ce cas, évite de bloquer ou de mettre en liste blanche cette adresse. Attends d’avoir clarifié la situation avec qui gère le proxy.

Erreurs après les règles dans .htaccess

Cette partie de la résolution des problèmes concerne les règles écrites dans le fichier du serveur.

Le site donne une erreur 500 après avoir enregistré le durcissement

Le plugin ne crée pas de copie de .htaccess. Il ne contrôle pas non plus la syntaxe après l’écriture. Une erreur, ou une règle que le serveur n’accepte pas, se voit immédiatement comme une erreur 500.

1. Entre par FTP ou depuis le gestionnaire de fichiers.
2. Fais une copie de .htaccess.
3. Supprime le bloc entier. Il se trouve entre # BEGIN Cisilino Site Defense Network - Hardening et # END Cisilino Site Defense Network - Hardening.
4. Recharge le site, puis corrige les réglages dans l’onglet Durcissement / IDS.

Le bloc du durcissement n’est réécrit que dans deux cas. C’est quand tu enregistres l’onglet ou quand tu réactives le plugin, jamais par le tour des 15 minutes. Ta modification à la main reste donc en place.

J’ai écrit un chemin personnalisé et tout le site donne 403

Dans la case des chemins personnalisés, chaque ligne est un texte littéral. Il n’y a pas de jokers. La règle bloque toute adresse qui contient cette chaîne. Écrire / ou wp bloque tout, y compris wp-admin. Retire par FTP le bloc du durcissement, comme ci-dessus. Puis, dans l’onglet Durcissement / IDS, corrige ou vide la case « Chemins personnalisés à bloquer » et enregistre. Si tu ne la corriges pas, un nouvel enregistrement ou une réactivation du plugin réécrit la règle. Le site redonne alors 403.

Le message « Réglages enregistrés, mais l’écriture dans .htaccess a échoué » apparaît

Le fichier .htaccess n’est pas accessible en écriture. Vérifie les permissions. Les règles de ce bloc ne sont pas actives. Restent en revanche actifs les deux interrupteurs qui agissent en PHP, c’est-à-dire XML-RPC et ?author=N.

Le test dit que le blocage PHP dans uploads ne fonctionne pas

Dans l’onglet Test, il y a l’encadré « Vérification du blocage d’exécution PHP dans uploads ». Il signale si le fichier de test a été exécuté. Vérifie que l’hébergeur autorise .htaccess dans ce dossier et qu’il n’existe pas de bloc <Directory> plus spécifique. Sur nginx, les règles n’ont aucun effet. La règle couvre seulement le dossier uploads standard.

Un plugin ou le thème a arrêté de fonctionner

Éteins la dernière règle que tu as activée et enregistre. Les cas les plus courants sont trois. Le blocage du PHP dans uploads casse les plugins qui y écrivent des fichiers PHP. La désactivation de XML-RPC arrête des applications et des fonctions distantes. Le blocage des téléversements exécutables rejette aussi des fichiers comme .svg.

Utilisateurs, auteurs et visiteurs

Un auteur ne peut plus publier : « ton compte est suspendu »

La limitation de débit s’est déclenchée. Elle a vu trop de contenus créés en peu de temps. Par défaut la limite est de 150 contenus en 300 secondes, avec une suspension de 3600 secondes. Depuis l’onglet Limitation de débit, dans le tableau des utilisateurs suspendus, clique sur Révoquer la suspension. Sinon, attends l’expiration.

Éteindre « Limitation de débit active » ne retire pas une suspension déjà en cours. Avant une grande importation, augmente la limite N ou désactive le garde-fou.

Un visiteur voit « Trop d’envois »

Un invité a envoyé trop de commentaires ou de formulaires en peu de temps. Par défaut, le seuil est de plus de 2 en 60 secondes, et le blocage dure 3600 secondes. Le blocage est par IP, donc il peut toucher plusieurs personnes dans le même bureau. Augmente la valeur N de la section visiteurs. Il n’existe pas de liste d’exceptions.

Je n’arrive pas à créer un utilisateur éditeur ou administrateur

C’est voulu. La politique par défaut d’Inscription des utilisateurs est « Rôles à faible privilège uniquement ». Elle ne fait aucune exception, même pour toi. Passe temporairement à « Aucune restriction », crée l’utilisateur, puis reviens en arrière. Avec « Aucune inscription (exclusive) », personne ne peut créer d’utilisateurs. Vérifie aussi le rôle par défaut dans Réglages > Général de WordPress. S’il s’agit d’un rôle interdit, les inscriptions sont rejetées.

Connexion au panneau

La connexion au panneau n’apparaît pas

L’état se trouve dans un encadré précis. C’est « État de la connexion au panneau : », en haut de l’onglet Réglages distants. Si l’encadré manque, les champs étaient incomplets : il faut Customer code, Clé API et URL du panneau. Après « Enregistrer et vérifier la connexion », aucune bannière séparée n’apparaît.

• « URL du panneau non sécurisée : https requis … » : l’adresse doit commencer par https. Le plugin refuse même d’enregistrer une URL http.
• « Authentification refusée par le panneau : customer_code ou clé API incorrects. » : revérifie les deux valeurs.
• « Impossible d’atteindre le panneau : … » : problème de réseau, de DNS ou de certificat.
• « Réponse du panneau invalide (ce n’est pas du JSON). » : l’adresse ne pointe pas vers le bon endroit.

Si le panneau ne répond pas, la protection locale continue. Les données en file d’attente sont envoyées au tour suivant. Le plugin fonctionne aussi sans panneau.

Les activités n’arrivent pas au panneau

Dans l’onglet Journal d’activité, regarde le tableau de diagnostic. Regarde aussi la ligne « en attente d’envoi au panneau ». Clique sur Essayer d’envoyer maintenant : le résultat apparaît dans le diagnostic. Le plafond de lignes, par défaut 500, supprime les plus anciennes même si elles n’ont pas été livrées.

Journal de débogage, intégrité et en-têtes

Le journal de débogage ne s’active pas

Tu as deux messages possibles. « le dossier des téléversements n’est pas accessible en écriture » : corrige les permissions de uploads. « les fichiers de son dossier semblent accessibles depuis internet » : serveur probablement sans .htaccess, comme nginx. Bloque l’accès au dossier csdn-debug-* dans la configuration du serveur et réessaie. Si le journal s’est arrêté pour le plafond de 200 Mo, télécharge ou supprime les fichiers et réactive-le.

L’intégrité signale « les fichiers du plugin ne correspondent pas »

Cela peut venir de deux cas. Si tu as modifié à la main un fichier du plugin, c’est normal. Sinon, traite le site comme potentiellement compromis : réinstalle le plugin depuis une copie fiable et vérifie le reste. Si le message dit qu’il n’y a aucune référence, réactive le plugin pour prendre une nouvelle photographie.

HSTS ne s’active pas, ou ne s’éteint pas

Pour l’activer, tu dois ouvrir les réglages du plugin en https. Sinon apparaît « HSTS N’a PAS été activé ». Enregistre toujours depuis une page https. Décocher la case arrête l’envoi de l’en-tête, mais les navigateurs qui l’ont déjà reçu s’en souviennent longtemps.

Si tu ne trouves pas la réponse

Si la résolution des problèmes ne suffit pas, active le journal de débogage. Reproduis ensuite le problème et lis l’entrée. Puis ouvre une discussion sur le forum de support du plugin. C’est l’endroit où recevoir de l’aide et voir les problèmes déjà signalés. Ne colle pas de chemins du serveur ni de données sensibles.

Chapitre précédent : Journal de débogage : les erreurs PHP dans un fichier dédié. Chapitre suivant : Désactivation, désinstallation et données personnelles. Pour le sommaire : manuel CSDN.