Un site WordPress est pris pour cible bien avant de devenir important. Des bots testent des mots de passe sur wp-login.php. Des scripts cherchent des fichiers oubliés. Des comptes volés servent à publier du spam. Du quotidien, pas des attaques de cinéma.

Ce que fait le plugin

Ce plugin de sécurité WordPress a pour cœur la défense de la connexion. Quand une adresse IP dépasse le seuil de tentatives échouées, une règle la bloque dans le fichier .htaccess. Autour, on trouve un journal d’activité et le contrôle d’intégrité des fichiers du plugin. Il y a aussi la surveillance des téléversements et quelques durcissements optionnels. Enfin, des limites pour ceux qui publient ou commentent trop et une politique de création des utilisateurs.

Chaque fonction a son article dédié, vous les trouverez en bas de cette page.

Il fonctionne même sans configuration

Dès son activation, ce plugin de sécurité WordPress détecte les connexions échouées. Il bloque en local, sans aucun appel vers l’extérieur. Les durcissements et les en-têtes HTTP restent désactivés tant que vous ne les activez pas. Chacun explique ce qu’il fait et ce qu’il peut casser.

Protéger plusieurs sites ensemble

Quiconque gère de nombreux sites sait que la même IP hostile les essaie l’un après l’autre. Avec ce plugin de sécurité WordPress relié à un panneau Cisilino, une adresse vue en échec est bloquée sur tous vos sites. Sans panneau, tout reste sur le site concerné.

Compatibilité du plugin de sécurité WordPress

• WordPress : à partir de la 5.8, testé jusqu’à la 7.1.
• PHP : à partir de la 7.4, utilisé aussi sous PHP 8.5.
• Serveur web : Apache 2.4 (ou 2.2) et LiteSpeed en mode compatible pour le blocage des IP dans .htaccess. Sur nginx, ce plugin de sécurité WordPress détecte les attaques mais ne peut pas écrire la règle au niveau du serveur.

Les limites, dites d’emblée

Le blocage des IP écrit dans .htaccess. Il faut donc Apache ou LiteSpeed en mode compatible. Sur nginx, le plugin détecte mais ne peut pas bloquer au niveau du serveur. Le contrôle d’intégrité signale les altérations, il ne les empêche pas. Et ce plugin de sécurité WordPress n’est pas un antivirus. Mises à jour, sauvegardes et mots de passe solides restent nécessaires.

Si vous le désactivez, les règles écrites dans .htaccess sont supprimées. En le réactivant, vous retrouvez tout comme avant.

Fiche officielle et versions du plugin : Télécharger le plugin sur WordPress.org.

Questions fréquentes

Ce plugin de sécurité WordPress fonctionne-t-il sans configuration ?

Oui. Dès l’activation, il détecte les connexions échouées. Il bloque les IP qui dépassent le seuil, en local uniquement et sans appels externes.

Fonctionne-t-il sur un hébergement nginx ?

Le blocage des IP exige Apache ou LiteSpeed en mode compatible, car il écrit dans .htaccess. Sur nginx, la détection reste active, le blocage au niveau du serveur non.

Remplace-t-il un antivirus ?

Non. Il réduit les risques les plus courants. Il ne remplace ni les mises à jour, ni les sauvegardes, ni des mots de passe robustes.

À lire aussi

• Attaque par force brute sur WordPress : comment la bloquer sur la connexion
• Webshell WordPress : la repérer avec le contrôle d’intégrité des fichiers
• Changelog : toutes les versions du plugin

The post Plugin de sécurité WordPress : Cisilino Site Defense Network first appeared on Matteo Cisilino.