{"id":184,"date":"2026-11-02T09:00:00","date_gmt":"2026-11-02T08:00:00","guid":{"rendered":"https:\/\/www.cisilino.com\/?p=184"},"modified":"2026-11-02T09:00:04","modified_gmt":"2026-11-02T08:00:04","slug":"attaque-par-force-brute","status":"publish","type":"post","link":"https:\/\/www.cisilino.com\/fr\/2026\/11\/02\/attaque-par-force-brute\/","title":{"rendered":"Attaque par force brute sur WordPress : comment la bloquer sur la connexion"},"content":{"rendered":"

\u00c7a se passe ainsi : le site est lent la nuit et personne ne comprend pourquoi. Dans les logs, des centaines de requ\u00eates vers wp-login.php<\/code> depuis quelques adresses. Les identifiants essay\u00e9s sont admin<\/em> ou le nom du domaine. C’est une attaque par force brute sur WordPress<\/strong>. Aucune faille \u00e0 exploiter, juste des essais jusqu’\u00e0 ce qu’un mot de passe c\u00e8de.<\/p>\n

\"Attaque<\/figure>\n

Ce que fait le plugin quand l’attaque d\u00e9marre<\/h2>\n

Chaque connexion \u00e9chou\u00e9e pendant une attaque par force brute est not\u00e9e : IP, identifiant essay\u00e9, r\u00e9sultat, heure. Jamais le mot de passe. Quand une IP d\u00e9passe votre seuil, le plugin ajoute une r\u00e8gle \u00e0 .htaccess<\/code> (compatible avec Apache 2.4 et 2.2). D\u00e8s lors, les requ\u00eates de cette adresse s’arr\u00eatent au serveur web. WordPress n’est m\u00eame pas charg\u00e9 : le site respire \u00e0 nouveau.<\/p>\n

Un d\u00e9tail qui compte : le compteur est une op\u00e9ration atomique sur la base de donn\u00e9es. Envoyer cent tentatives au m\u00eame instant ne permet pas de franchir le seuil.<\/p>\n

O\u00f9 voir ce qui s’est pass\u00e9<\/h2>\n

Dans R\u00e9glages \u203a Cisilino Site Defense Network<\/em>, vous trouvez l’onglet des IP bloqu\u00e9es apr\u00e8s une attaque par force brute. Un filtre est disponible, avec la liste des 50 derni\u00e8res d\u00e9tections. Si un client s’est bloqu\u00e9 lui-m\u00eame, \u00ab D\u00e9bloquer \u00bb sur la ligne et c’est r\u00e9gl\u00e9.<\/p>\n

Quand les IP d’une attaque par force brute sont nombreuses<\/h2>\n

Le blocage par IP a une limite connue. Si l’attaque par force brute vient de centaines d’adresses diff\u00e9rentes, chacune doit d’abord franchir le seuil. Avec le r\u00e9seau Cisilino, une IP vue en \u00e9chec sur un autre site de votre client est bloqu\u00e9e d’avance. Dans tous les cas, utilisez des identifiants peu \u00e9vidents et des mots de passe longs. Le plugin supprime le bruit, mais ne rend pas fort un mot de passe faible.<\/p>\n

Sur un h\u00e9bergement nginx, le plugin enregistre les tentatives mais ne peut pas \u00e9crire la r\u00e8gle au niveau du serveur.<\/p>\n

Pour aller plus loin, l’OWASP<\/a> d\u00e9crit les m\u00e9thodes pour bloquer ce type d’attaque par force brute.<\/p>\n

Questions fr\u00e9quentes<\/h2>\n

Comment bloquer une attaque par force brute sur WordPress ?<\/h3>\n

En comptant les connexions \u00e9chou\u00e9es par IP et en bloquant celles qui d\u00e9passent un seuil. Le plugin le fait en \u00e9crivant une r\u00e8gle dans .htaccess : la requ\u00eate s’arr\u00eate avant WordPress.<\/p>\n

Le plugin enregistre-t-il les mots de passe essay\u00e9s ?<\/h3>\n

Non. Il enregistre l’IP, l’identifiant tent\u00e9, le r\u00e9sultat et l’heure, jamais le mot de passe.<\/p>\n

Puis-je d\u00e9bloquer une IP bloqu\u00e9e par erreur ?<\/h3>\n

Oui, depuis la liste des IP bloqu\u00e9es, avec le bouton D\u00e9bloquer sur chaque ligne.<\/p>\n

\u00c0 lire aussi<\/h2>\n