Comment bloquer les inscriptions spam et les faux comptes sur WordPress ?

Pourquoi c’est important

Quelques faux comptes sont inoffensifs. Une vague ne l’est pas. Nous avons créé cette couche après qu’un site a reçu environ 10 000 demandes d’inscription en une seule heure et s’est retrouvé avec des dizaines de milliers de faux comptes. Sur un autre site, les e-mails de bienvenue envoyés aux faux comptes ont épuisé le quota d’envoi, si bien que les vrais e-mails de commande ne partaient plus.

Les fausses inscriptions vous coûtent aussi de façon plus discrète : une table des utilisateurs gonflée, des écrans d’administration plus lents, des listes de clients et des rapports d’e-mails pollués, et une réputation du serveur de messagerie qui baisse chaque fois qu’un e-mail de bienvenue rebondit sur une adresse qui n’existe pas.

Erreurs courantes

• Laisser les inscriptions ouvertes par accident. « Tout le monde peut s’inscrire » est parfois activé pendant la mise en place puis oublié.
• Un rôle par défaut trop puissant. Les nouveaux comptes doivent être Abonné ou Client, jamais Auteur ou plus.
• Des limites par IP uniquement. Les vagues proviennent souvent de nombreuses adresses du même réseau. Limitez aussi par réseau.
• Fermer les inscriptions quand une vague arrive. Cela bloque les vrais clients, exactement ce que cherche un attaquant. Mettre les nouveaux comptes en attente garde la porte ouverte le temps que la vague passe.
• Bloquer lors de la validation de commande. Une boutique ne devrait jamais perdre une commande à cause d’un filtre anti-spam.
• Supprimer sans sauvegarde. La suppression en masse est définitive. Affichez d’abord un aperçu et gardez une copie.

Sans extension

1. Désactivez les inscriptions si vous n’en avez pas besoin : Réglages → Général → décochez « Tout le monde peut s’inscrire ». Pour WooCommerce, dans WooCommerce → Réglages → Comptes et confidentialité, décochez la création de compte sur la page Mon compte.
2. Gardez un rôle par défaut modeste : Réglages → Général → Rôle par défaut de tout nouveau compte → Abonné.
3. Ajoutez un champ piège au formulaire WordPress avec deux petits hooks :

<?php
add_action( 'register_form', function () {
    echo '<p style="position:absolute;left:-9999px" aria-hidden="true">'
       . '<input type="text" name="hp_company" tabindex="-1" autocomplete="off"></p>';
} );
add_filter( 'registration_errors', function ( $errors ) {
    if ( ! empty( $_POST['hp_company'] ) ) {
        $errors->add( 'spam', 'Registration failed.' );
    }
    return $errors;
} );

Cela ne couvre que le formulaire natif de WordPress, pas WooCommerce ni les autres formulaires d’inscription, et il n’y a ni limite de débit, ni plafond, ni nettoyage. Face à une vague en cours, ces étapes aident mais ne l’arrêteront pas.

En cas de problème

• De vrais clients ne peuvent pas s’inscrire. Consultez le journal en mode Surveillance, et vérifiez si le réseau de votre bureau ou d’un événement atteint la limite par réseau. Augmentez-la ou ajoutez l’IP à la liste d’autorisation.
• Les comptes en attente se sont accumulés. Ils sont nettoyés automatiquement au bout de 7 jours. Approuvez les vrais avant cette échéance.
• Un client n’a pas reçu d’e-mail de bienvenue. Si le plafond a été atteint, les comptes retenus ne reçoivent aucun e-mail tant qu’ils ne sont pas approuvés. C’est voulu.

Avec Hushfort

La Protection des inscriptions fait partie de Hushfort Pro, le module complémentaire qui s’installe par-dessus Hushfort Security, l’extension de sécurité WordPress gratuite.

La Protection des inscriptions de Hushfort couvre les inscriptions WordPress et WooCommerce, ainsi que les autres formulaires d’inscription :

• 3 inscriptions par heure par IP (IPv6 /64) et 10 par heure par réseau (/24, IPv6 /48) par défaut.
• Un plafond de 50 par heure pour tout le site, avec un disjoncteur qui reste ouvert 60 minutes. Par défaut, il met les nouveaux comptes en attente sans envoyer d’e-mails ; vous pouvez choisir de fermer les inscriptions à la place.
• Blocage des adresses e-mail jetables et détection des variantes Gmail (points, +étiquettes, googlemail).
• Champs pièges invisibles sur les inscriptions WordPress et WooCommerce.
• Limitation des e-mails de bienvenue, pour que les fausses inscriptions n’épuisent pas votre quota d’envoi.
• Un assistant de nettoyage avec aperçu et une sauvegarde restaurable pendant 30 jours.
• Les comptes en attente sont supprimés automatiquement au bout de 7 jours.

La validation de commande n’est jamais bloquée. Vous pouvez d’abord l’utiliser en mode Surveillance, pour voir l’effet avant qu’elle n’agisse.