Journal des modifications

Ce que chaque version a changé, en bref. L’historique complet de l’extension gratuite se trouve dans son journal des modifications sur GitHub et sur la page de l’extension sur wordpress.org ; le module liste ses modifications dans l’écran Extensions quand une mise à jour arrive.

Points forts des versions

• 3.0.0 : Hive est désormais une extension gratuite du répertoire des extensions WordPress, complète et sans interrupteur verrouillé ; les fonctions des offres payantes sont passées dans le module séparé ReportedIP Hive Pro, qui se met à jour depuis reportedip.com et installe l’extension gratuite si elle manque. Les sites en 2.1.x sont passés à la nouvelle version par une dernière mise à jour et ont conservé tous leurs réglages. Local Shield n’envoie aucune requête à reportedip.com, même avec une clé enregistrée, les blocs .htaccess ne sont écrits qu’après une action de l’exploitant, la vérification de fuite et le badge du pied de page restent désactivés tant qu’on ne les active pas, les avis peuvent être fermés, et une assertion de clé de sécurité ne sert qu’une fois. Schéma de base de données 25.
• 2.1.74 : Les compteurs des capteurs fonctionnent sur leur fenêtre configurée au lieu de s’additionner sur plusieurs jours, un service communautaire lent suspend les consultations en direct pendant deux minutes au lieu de ralentir chaque connexion, DuckDuckBot peut de nouveau explorer le site, une exécution vide de la file n’écrit plus de ligne de journal, et un blocage du pare-feu sur admin-ajax.php indique l’action AJAX.
• 2.1.73 : Un paquet de support dans État du système, sous forme d'un fichier JSON pour un contrôle de support, aussi via WP-CLI et MainWP. Un envoi Gravity Forms que le formulaire lui-même refuse ne consomme plus la vérification du formulaire. Les adresses bloquées ne remplissent plus le journal de lignes du pare-feu, un blocage posé par le plugin lui-même est levé quand le réseau se porte garant de l'adresse, Local Shield ne demande plus le quota du relais, les exports CSV sont correctement entourés de guillemets et les dates suivent la langue du site.
• 2.1.72 : Les adresses e-mail jetables sont refusées dans les commentaires et dans chaque formulaire de contact protégé, avec un réglage dédié qui bloque par défaut. Un formulaire ouvert plus de dix minutes n'est plus refusé : le navigateur remplace sa réponse au contrôle du formulaire avant qu'elle n'expire. Un robot prouvé par sa plage d'adresses publiée (OAI-SearchBot sur un chemin appât) n'est plus bloqué ni signalé, et un signalement que le réseau refuse parce qu'il se porte garant de l'adresse quitte la file aussitôt. Les actions groupées fonctionnent de nouveau après le filtrage d'une liste, et la Protection étendue de la page Outils tient en une carte avec un statut et un bouton.
• 2.1.69–2.1.71 : La page Protection en cinq onglets avec lignes d'interrupteurs, lignes de formule, détails repliés, une remise à la recommandation et un contrôle de la protection. Hive reste visible pour la vérification des mises à jour de wordpress.org, les installations sont donc comptées. Sur un réseau avec un domaine par site, les liens d'administration vers un autre domaine passent par la connexion de ce domaine au lieu de la page de blocage.
• 2.1.68 : Le jeu de règles hors ligne fourni bloque désormais aussi l'injection SQL basée sur les erreurs et l'injection SQL de second ordre via le contenu d'un trackback, ce qui protège aussi un site en mode Local Shield. Priority Sync commence avec Contributor : le jeu de règles Paranoia Level 2 et les flux de plages IP des bots, mis à jour chaque semaine ; le Level 3 et la mise à jour quotidienne restent réservés à Professional. L'Audit Trail n'enregistre l'identification du navigateur que si « Log user agents » est activé, le même interrupteur que pour le journal de sécurité.
• 2.1.67 : Blocages de groupe : une clé appartenant à un groupe sur reportedip.com reproduit la liste du groupe toutes les quinze minutes sous forme de blocages de type Group Ban, levés lorsqu'une entrée quitte la liste, sans toucher à la Whitelist ni aux blocages manuels. La page Community affiche le groupe et la réputation communautaire de l'adresse à partir de laquelle ce site se connecte. Un commentaire provenant d'un navigateur n'ayant jamais exécuté le script est refusé à l'entrée, comme sur tout autre formulaire protégé, et un lien dans le texte du commentaire compte comme un lien dans le champ « site web ».
• 2.1.66: La protection des formulaires arrive sur Forminator (Business), que le formulaire soit dans la page ou chargé ensuite. Un champ leurre rempli est désormais bloqué et signalé dès la première tentative au lieu de la troisième : personne ne voit ce champ, seule une machine le remplit, et attendre deux tentatives de plus offrait simplement deux envois gratuits. Celui dont le navigateur n'a jamais exécuté le script n'est pas concerné et reste seulement refusé. Une adresse de votre liste de confiance ne peut plus être bloquée par un contrôle qui agit aussi vite, et le signalement envoyé à la communauté nomme maintenant le formulaire ou les signaux au lieu d'indiquer « activité suspecte ».
• 2.1.65: La protection des formulaires arrive sur WPForms et WPForms Lite (Business), au chargement de la page comme en arrière-plan. Un envoi Elementor refusé n'envoie plus le courriel du formulaire : Elementor n'arrête un envoi que sur une erreur de champ, un refus donné seulement comme message laissait donc partir le courriel et signalait l'échec ensuite. Les inscriptions via Ultimate Member ne sont plus refusées quand une personne remplit le formulaire.
• 2.1.63 : la protection des formulaires s'étend à Gravity Forms (Business), y compris les formulaires envoyés en arrière-plan et les formulaires à plusieurs pages ; un envoi refusé est une erreur de validation visible par l'expéditeur, jamais une entrée silencieuse dans le dossier spam. La protection de Contact Form 7 est incluse dans tous les plans, Ultimate Member passe en Business. La règle de traversée du pare-feu reconnaît désormais aussi la forme doublement encodée derrière le correctif de modèles de WordPress 7.1.2.
• 2.1.62 : la piste d'audit enregistre qui a modifié quoi : huit groupes de déclencheurs (comptes, pages et articles, extensions et thèmes, réglages avec ancienne et nouvelle valeur, menus et widgets, éditeur de fichiers, réseau) avec l'utilisateur à l'origine, la voie de la requête et l'objet concerné, un interrupteur par groupe, 90 jours de conservation par défaut avec un nettoyage par blocs, un filtre par site pour les réseaux et une page Piste d'audit pour chaque administrateur de site. Chaque type d'événement vit dans un registre unique ; le filtre du journal des événements est consultable et sélectionne des groupes entiers, et le spam de formulaire est de retour dans les graphiques.
• 2.1.58–2.1.61 : la preuve d'exécution des formulaires peut exiger un calcul (Professional), un remplacement de captcha que vos propres formulaires utilisent via une petite API ; Contact Form 7 et Ultimate Member sont couverts sur Professional, Formidable Forms et Elementor Forms sur Business ; le filtre anti-spam des commentaires lit huit signaux de plus ; les réglages de formulaires ont leur propre carte et chaque réglage indique le plan auquel il appartient.
• 2.1.57 : la page Activité s’ouvre sur le journal des événements derrière une barre de filtres que l’on peut mettre en favori, la page Communauté se divise en Réglages, Communauté et Badges (badge de pied de page en un clic et générateur de bannières), le tableau de bord porte une seule ligne d’état et des domaines de protection repliés, et les signalements sur la file de rapports se taisent tant que rien ne peut l’envoyer. Une clé refusée ne compte plus comme échec dans la fenêtre de santé de l’API.
• 2.1.56 : les pages Réglages et Pare-feu ont été remplacées par une page Protection (une carte par domaine du registre, recherche, profondeur simple et experte, un service d’enregistrement partagé avec MainWP, la flotte et l’import) et par une page Outils pour le drop-in, la synchronisation des règles, les exceptions du WAF, l’import, l’export, la réinitialisation et le courriel de test. Le tableau de bord a reçu une bannière d’état, des cartes d’étape suivante issues de six détecteurs indicatifs et une ligne par domaine de protection. Les anciennes adresses redirigent.
• 2.1.54–2.1.55 : l’assistant d’installation est devenu un démarrage rapide d’une page qui lit la formule depuis la vérification de la clé et active une recommandation adaptée via le registre de configuration ; un passage ultérieur à une formule supérieure active ce que celle-ci recommande pour les valeurs non modifiées. Chaque réglage enregistré suit désormais une seule norme, et le tableau de bord affiche les dernières actualités de reportedip.com dans la langue de l’administrateur.
• 2.1.52–2.1.53 : défense des commentaires et des formulaires. Un filtre anti-spam noté sur une vingtaine de signaux (un commentaire en attente de modération n’est plus un verdict de spam), une preuve d’exécution résistante au cache sur les formulaires de commentaire, d’inscription et de réinitialisation, et la vérification de réputation communautaire étendue de la page de connexion à ces trois mêmes formulaires. Gratuit dans toutes les formules.
• 2.1.51 : Cinq nouvelles protections. Protection lors de l’inscription (noms d’utilisateur interdits, règles relatives aux e-mails, Rate Limit pour le nombre d’inscriptions par adresse IP, blocage des connexions pour les noms d’utilisateur inexistants), commutateurs de verrouillage d’accès pour REST, XML-RPC, les flux, wp-admin, PHP dans les téléchargements et les empreintes de version, ainsi qu’un registre de préparation du système comprenant douze détecteurs, le tout gratuit sur toutes les formules. Blocage d’un compte et gestionnaire de sessions sous Utilisateurs → Sessions sur la formule Business ; déclencheurs adaptatifs de renforcement à deux facteurs par rôle sur la formule Professional. Soixante-dix options ont été transférées dans le registre des paramètres (169 au total, toutes décrites, dont 71 gérables à distance) ; l’importation des paramètres ne peut plus contourner le filtre de nettoyage, et Hardening Mode limite désormais également les seuils sur les interfaces de Login WooCommerce et par mot de passe d’application.
• 2.1.48–2.1.50 : Gestion de flotte cloud (Business) via trois routes REST signées Ed25519 avec une fenêtre de validité, des identifiants de requête à usage unique et une liaison à l’audience ; activation optionnelle et désactivée par défaut. Un seuil plancher de 25 % sous le seuil de blocage basé sur la confiance de la communauté, la migration v16 supprimant les valeurs de seuil plancher stockées, et une gestion complète des adresses IP sur WP-CLI (whitelist, block, unblock, blocked list, attempts reset) parallèlement à wp reportedip status.
• 2.1.42–2.1.47 : l’audit de sécurité et de conformité : admin-ajax.php réalisé à l’intérieur de la barrière de blocage et du pare-feu, des codes TOTP à usage unique, une exception WAF qui ne masque plus les règles qu’elle recouvre, des sondes encodées en pourcentage détectées par trois capteurs supplémentaires, et quarante-deux gestionnaires AJAX sur un seul garde d’autorisation partagé. Sans oublier une identité d’installation de type wp.org sur chaque requête API, une fiche des domaines sous licence sur le Dashboard, le registre des paramètres canoniques avec son protocole distant versionné, et les mises à jour de plugins à nouveau visibles pour MainWP et ManageWP.
• 2.1.37–2.1.41 : Blocage optionnel des nœuds de sortie Tor (Professional, ensemble de règles signé tor_exits ), des plages de sources de proxys de confiance contre le Spoofing d’en-têtes transférées, un widget de sécurité sur le Dashboard wp-admin, un veto « ne jamais bloquer » pour les infrastructures vérifiées par la communauté, une recherche d’adresse IP plus complète avec wp reportedip lookup, des hooks d’intégration stables (reportedip_hive_threshold_exceeded), des compteurs de tentatives à l’abri des conflits d’accès (schéma v15), ainsi qu’un pare-feu plus strict : les exemptions pour les robots d’indexation nécessitent un signal vérifiable, les groupes de règles de Payload bloquent dès la première occurrence, les versions de publication intègrent à nouveau les ensembles de règles groupés, et quatre règles comblent la faille CVE-2026-64638 (XSS2Shell). Le domaine a été transféré vers ReportedIP.com.
• 2.1.33–2.1.36 : Prise en charge officielle de YubiKey / des clés de sécurité matérielles : procédures WebAuthn complètes sur les trois surfaces de vérification, gestionnaire multi-clés avec détection de modèle basée sur l’attestation (Business), détection des clés clonées via une régression du compteur de signatures avec des alertes par e-mail sur tous les forfaits, Ed25519 lorsque libsodium est disponible, et une section 2FA du profil réécrite en langage clair avec une méthode par défaut sélectionnable par l’utilisateur.
• 2.1.26–2.1.32 : Contrôle croisé des robots d’indexation vérifiés (un agent utilisateur Googlebot usurpé n’achète rien), un mécanisme central de protection « ne jamais bloquer un robot vérifié », des blocages basés sur la réputation de la communauté couvrant toutes les surfaces, prévention de l’auto-blocage pour les adresses du serveur lui-même, Block Escalation pondérée en fonction du volume, et amélioration des performances : 36 → 11 requêtes par demande, lecture d’un en-tête de Blocklist de 8 Ko et TTFB du Dashboard passant de 920 à 278 ms (schéma v13).
• 2.1.25 : Le WAF bloque la classe d’attaques par confusion de routes REST du cœur de WordPress sur tous les forfaits (règles structurelles, pas de correspondance de jetons), inspecte une copie décodée du corps de la requête (ce qui empêche le contournement par Payload encodé), et les blocages de Paranoia-Level 2/3 affichent leur catégorie de référence spécifique.
• 2.1.22–2.1.24 : L’authentification à deux facteurs (2FA) imposée par défaut entraîne désormais une inscription obligatoire au lieu d’un verrouillage (les administrateurs et super-administrateurs ne peuvent jamais être définitivement bloqués) ; l’envoi en double du défi 2FA ne bloque plus les utilisateurs sur le message « session expirée » ; la sonde RCE PHPUnit eval-stdin.php (CVE-2017-9841) est bloquée sur toutes les formules.
• 2.1.14–2.1.20 : Exactitude de l’hébergement de production : dates et heures cohérentes avec l’UTC (le blocage automatique échouait silencieusement sur les serveurs de bases de données non UTC), Hide Login fonctionne derrière les caches de page et sur les sites utilisant la barre oblique finale ou Nginx, la Extended Protection se configure automatiquement sur nginx + PHP-FPM et ignore l’inspection du corps de la requête pour les éditeurs connectés, la santé de l’API utilise une fenêtre glissante, et l’interrogation du quota de relais sur les chemins fréquents a été supprimée.
• 2.1.9–2.1.13 : WAF Exceptions gérées par le backend avec une action « Autoriser » en un clic (schéma v10), journalisation des blocages intuitive (valeur correspondante, cible, méthode, URI, agent utilisateur), le provisionnement MainWP permet de basculer les sites en mode « Communauté », et le Dashboard de sécurité est devenu une vue analytique complète (sept familles de menaces, graphique des groupes de règles WAF, principaux attaquants).
• 2.1.0–2.1.8 : Lancement du pare-feu : un cadre de diffusion des règles (Rule Delivery Framework) fourni par le serveur et signé avec Ed25519, alimentant un Web Application Firewall inspectant les requêtes (moteur gratuit + configuration de base « Paranoia-Level-1 », niveaux PRO 2/3 via Priority Sync), Verified Bot Detection, Disposable-Email Blocking, Comment Honeypot, Security Headers (de base gratuits, avancés en version PRO), Protection & Hardening Score sur le Dashboard, codes de référence pour les pages de blocage (X-RIP-Ref), l’Audit Event Trail d’entreprise (schéma v9), l’intégration MainWP et un espace d’administration du pare-feu, suivis de corrections de False Positives pour les robots d’indexation légitimes et de la suppression sans risque des éléments « drop-in ».
• 2.0.x : activation multisite à l’échelle du réseau (Network: true), gestion des niveaux par blog, bannières de mise à niveau, renforcement des moniteurs de mots de passe d’application et d’anomalies géographiques, ouverture du Frontend 2FA en interface utilisateur WooCommerce pour la version PRO+, Hardening Mode contre les attaques coordonnées, détection et signalement des chemins leurres.
• 1.5.2 : Compatibilité avec les plugins de cache sur la page 403 ; la limitation de l’authentification à deux facteurs (2FA) évolue vers un véritable blocage par escalade ; init priorité 1.
• 1.5.1 : Clarté de l’onglet de blocage (Signaler uniquement > Blocage automatique > stratégie de durée) ; permutation en ligne des éditeurs à longueur fixe et à échelle.
• 1.5.0 : Progressive Block Escalation (échelle de 5 m → 7 j) ; les Endpoints de la bannière de cookies sont contournés par défaut ; assouplissement des paramètres par défaut pour les pages 404 et le spam dans les commentaires.
• 1.2.4 : le bouton « Réessayer » de la file d’attente API déclenche désormais réellement l’appel API.
• 1.2.0 : Sept nouveaux capteurs : surveillance des mots de passe d'application, surveillance des pics REST, blocage de l'User Enumeration, détecteur de 404/scans, anomalie géographique, force des mots de passe, masquage de l'URL de connexion.
• 1.1.0 : Système d’envoi d’e-mails centralisé avec modèle personnalisé.
• 1.0.0 : Première version publique : blocage d'adresses IP, 2FA à 4 méthodes, Setup Wizard, tableaux de listes.

Dernière mise à jour: 16. octobre 2026 · Maintenu par l’équipe ReportedIP