Les réglages distants connectent le plugin au panneau Cisilino. La connexion est facultative : sans elle, le plugin protège quand même ton site. Dans ce chapitre tu vois comment remplir l’onglet, ce qui voyage vers le panneau et ce qu’il faut éviter.
Où se trouve
Dans la barre latérale de WordPress, ouvre Réglages puis « Cisilino Site Defense Network » (point 1 de l’image). Clique sur l’onglet « Réglages distants » (point 2). Dessous, tu trouves deux sections : l’encadré « État de la connexion au panneau » (point 3) et le formulaire « Connexion au panneau » (point 4).
À quoi ça sert
Le plugin compte les échecs de connexion et bloque les IP en local, dans le fichier .htaccess. Si tu le connectes au panneau, toutes les 15 minutes il lui envoie les IP qui ont échoué à se connecter. En échange, il reçoit la liste des IP déjà bannies pour ton client et les bloque aussi sur ton site.
Si tu laisses les réglages distants vides, le plugin n’effectue aucun appel externe. Il continue de compter les tentatives et de bloquer les IP sur le site. Le schéma de ses protections se trouve au chapitre 1, le sommaire du manuel.
Comment remplir les réglages distants
- Dans le panneau, ouvre Réglages › Services Audit et cherche la section « Clés API — Cisilino Site Defense Network ». C’est là que le panneau génère la clé.
- Retourne sur WordPress, dans la section du point 4. Remplis « Customer code ».
- Colle la « Clé API ». Le champ est de type mot de passe : tu ne vois pas ce que tu écris.
- Écris l’« URL du panneau », par exemple
https://panneau.exemple.fr. - Règle, si tu veux, le « Seuil de blocage local (tentatives échouées) ». J’en parle au chapitre 4.
- Choisis le « Niveau de sécurité (liste d’IP depuis le panneau) ».
- Clique sur « Enregistrer et vérifier la connexion ».
Les réglages sont toujours enregistrés, même si la vérification échoue ensuite. Une exception : une URL http, qui bloque tout l’enregistrement (voir plus bas). Tu n’as pas besoin de tout réécrire pour corriger une faute de frappe. Le résultat de la vérification apparaît dans l’encadré du point 3, avec la mention « Dernière vérification » et la date. Il est vert si tout va bien, rouge si quelque chose ne va pas.
Les niveaux de sécurité
Le champ « Niveau de sécurité (liste d’IP depuis le panneau) » propose quatre options.
- « Désactivé — seulement liste noire officielle du panneau » est la valeur par défaut.
- « Noob — IP vues échouer la connexion WordPress ailleurs sur le réseau ».
- « Casual — aussi IP vues échouer sur FTP ailleurs sur le réseau ».
- « Berserk — toutes les IP enregistrées comme attaques possibles, quel que soit le protocole ».
Les niveaux sont de plus en plus larges : Noob est inclus dans Casual, Casual est inclus dans Berserk. Le panneau envoie toutes les listes, mais le plugin n’applique que celle que tu choisis. Si tu reviens à « Désactivé », la liste précédente sort immédiatement de .htaccess.
Valeurs par défaut et limites
- Customer code et clé API sont vides au départ.
- Le seuil est 10, avec un minimum de 3 et un maximum de 100 uniquement dans le champ du formulaire : le serveur ne contrôle pas les limites (une valeur vide ou 0 devient 10, une valeur forcée de 1 à 2 ou au-delà de 100 serait acceptée).
- Le niveau de sécurité est « Désactivé ».
- S’il manque même un seul des trois éléments, customer code, clé ou URL, le plugin n’envoie rien et l’encadré d’état disparaît.
Pourquoi https est nécessaire
Dans les réglages distants, l’URL du panneau doit commencer par https. La clé API voyage dans le corps de chaque requête de synchronisation. Sur http, n’importe qui sur le trajet réseau pourrait la lire. Il pourrait aussi altérer la réponse, qui décide quelles IP bloquer. Pour comprendre ce que garantit le protocole, tu peux lire cette page sur HTTPS dans le glossaire MDN, qui explique clairement le chiffrement du trafic.
Une URL sans schéma (par exemple panneau.exemple.fr) est complétée avec http et donc refusée : écris toujours https://. Le contrôle a lieu deux fois. Si tu écris une URL http, le plugin n’enregistre rien (même pas les autres champs) et affiche un avertissement rouge qui commence par « URL du panneau non enregistrée : https requis ». Le contrôle se répète à chaque requête : si une URL http était déjà enregistrée, la requête ne part pas et l’état devient erreur, avec le message « URL du panneau non sécurisée : https requis ». La seule exception est l’hôte de développement local, comme localhost ou un domaine qui se termine par .test, .localhost ou .local.
Attention : n’écris jamais la clé API dans une URL http et ne la colle pas dans des outils que tu ne connais pas. La clé reste en clair dans la base de données de WordPress : protège aussi l’accès au back-office.
Ce qui est envoyé au panneau
Une fois les réglages distants enregistrés, à chaque synchronisation le plugin envoie au panneau :
- le customer code, la clé API et l’adresse du site ;
- jusqu’à 200 événements par envoi, chacun avec l’IP, le dernier utilisateur essayé, le résultat (toujours « failed ») et l’heure de la tentative ;
- les lignes du registre d’activité du site (onglet « Registre d’activité »), par lots de 200 : qui a fait l’action (connexion, rôle, IP), le type d’action et la description. Cela se produit si l’option « Envoyer les activités au panneau » est active, ce qui est le cas par défaut. L’envoi part aussi en fin de requête, pas seulement toutes les 15 minutes.
Il n’envoie jamais le mot de passe qui a été saisi. Il n’envoie pas non plus les dérogations locales : elles sont décrites au chapitre 5 et restent uniquement sur ton site. Les lignes envoyées sont marquées et ne sont pas renvoyées.
Si quelque chose ne va pas
Si les réglages distants ne fonctionnent pas, l’encadré rouge affiche l’un de ces messages.
- « Authentification refusée par le panneau : customer_code ou clé API incorrects. » Si le panneau renvoie son propre message d’erreur, c’est celui-là qui apparaît à la place. Revérifie les deux valeurs.
- « Impossible d’atteindre le panneau : … », suivi du texte de l’erreur. Vérifie l’URL, le DNS et le certificat.
- « Le panneau a répondu avec une erreur (HTTP …) », suivi du début de la réponse.
- « Réponse du panneau invalide (ce n’est pas du JSON). » L’URL ne pointe probablement pas vers le bon endroit.
Si le panneau ne répond pas, le plugin ne perd pas sa protection. Les IP déjà bloquées restent dans le fichier .htaccess. Les événements restent en file d’attente et sont renvoyés au tour suivant. Il n’y a pas d’email d’alerte : tu ne lis l’état que dans l’encadré.
Attention : les niveaux Casual et surtout Berserk bloquent beaucoup d’IP d’un coup. Pars de « Désactivé » ou de Noob et ne passe à un niveau plus large que si c’est nécessaire.
Souviens-toi : les réglages distants sont facultatifs et le plugin protège le site même sans eux.
Chapitre précédent : Installer et activer Cisilino Site Defense Network. Chapitre suivant : Onglet Général : seuil de blocage et état du plugin.
Laisser un commentaire