Une seule extension peut-elle remplacer plusieurs extensions de sécurité WordPress ?

Pourquoi c’est important

La sécurité d’un site WordPress a tendance à se construire un souci à la fois. Les robots trouvent la page de connexion, alors vous ajoutez une extension pour la masquer. Puis viennent les tentatives de mot de passe, donc une extension de limitation des connexions. Puis une extension 2FA, une extension pour désactiver XML-RPC, un service anti-spam pour les commentaires, un honeypot pour chaque extension de formulaire, quelque chose contre les fausses inscriptions, et quelque chose contre les robots agressifs.

Chacune de ces extensions est raisonnable prise isolément. Ensemble, elles créent des problèmes plus sournois :

• De nombreux journaux séparés. Une connexion bloquée est dans une extension, une inscription bloquée dans une autre, un robot bloqué dans une troisième. Personne n’a de vue d’ensemble.
• De nombreuses listes d’autorisation. Vous autorisez votre propre IP à un endroit et vous vous faites bloquer par un autre.
• Des visions différentes du même visiteur. Une extension lit l’IP réelle derrière Cloudflare, une autre lit celle du proxy. L’une bloque un robot, l’autre bloque tout le monde.
• Plus de mises à jour. Chaque extension est du code à tenir à jour, et autant de portes à surveiller.
• Des conflits. Deux extensions qui réécrivent l’URL de connexion, ou qui comptent toutes deux la même connexion échouée, produisent des bugs étranges.

Erreurs courantes

• Tout changer d’un coup. Transférez une tâche à la fois et testez entre chaque étape.
• Perdre des réglages en route. Notez votre ancien chemin de connexion masqué, vos IP autorisées et vos limites avant de désactiver quoi que ce soit.
• Laisser une faille. Si l’ancienne configuration fermait XML-RPC et que la nouvelle ne le fait pas encore, vous avez ouvert une porte. Activez la nouvelle couche avant de désactiver l’ancienne extension.
• Attendre d’une seule extension qu’elle fasse tout. Aucune extension ne couvre aussi bien le nettoyage des malwares, les règles de pare-feu, les sauvegardes et le renforcement de la connexion. Soyez clair sur la tâche de chaque outil.

Sans extension

Vous pouvez réduire le nombre d’extensions sans en ajouter de nouvelle, en déplaçant les tâches simples dans du code :

• Connexion XML-RPC : le filtre xmlrpc_enabled (voir comment désactiver XML-RPC).
• Fuites d’identifiants : quelques filtres pour REST, le scan des auteurs et le plan du site (voir comment masquer les identifiants).
• Commentaires : fermez-les dans Réglages → Commentaires si vous n’en avez pas besoin.

Chaque extrait de code est petit, mais ensemble ils forment une extension maison que vous seul maintenez, sans journal, sans liste d’autorisation partagée et sans tests. Ce compromis peut convenir à un développeur avec un seul site. Il devient plus difficile à tenir à chaque site supplémentaire dont vous vous occupez.

En cas de problème

• Vous ne pouvez plus vous connecter après avoir changé d’extension de masquage de la connexion. Le chemin de l’ancienne extension ne fonctionne plus. Ajoutez define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' ); à wp-config.php, ou consultez Bloqué après avoir changé l’URL de connexion.
• Les formulaires n’envoient plus rien. Deux couches anti-spam vérifient peut-être le même formulaire. Désactivez l’ancien module honeypot, puis videz votre cache de page.
• Les blocages ont doublé. Deux extensions de limitation des connexions comptent les mêmes tentatives. Désactivez l’ancienne.

Avec Hushfort

Hushfort Security est une extension de sécurité WordPress gratuite ; Hushfort Pro est son module complémentaire payant. Ensemble, ils réunissent dix tâches sous un seul menu Hushfort : Connexion masquée, Limites de connexion, Double authentification, Verrou XML-RPC, Bouclier des identifiants, Analyse de surface, Anti-spam, Blocage des fausses inscriptions, Anti-flood et faux robots, et Désencombrement. Chacune est un module que vous activez séparément. La Connexion masquée, l’Analyse de surface et la protection anti-spam de base sont gratuites ; les autres couches sont fournies avec Hushfort Pro.

• Un seul tableau de bord avec une carte d’état par couche.
• Un seul Historique des tentatives échouées et bloquées, filtrable.
• Une seule lecture de l’IP et une seule liste d’autorisation, partagées par tous les modules.
• Aucun service tiers, aucun CAPTCHA, aucune télémétrie.

Ce qu’il ne fait pas, en toute franchise : l’analyse antimalware, les jeux de règles de pare-feu, le blocage par pays, les sauvegardes. Gardez des outils dédiés pour cela ; Hushfort se combine bien avec eux.