Capteurs et blocage
Seize capteurs surveillent le formulaire de connexion, XML-RPC, l’API REST, les formulaires et la requête elle-même. Un capteur qui atteint son seuil bloque l’adresse selon une échelle d’escalade, journalise l’événement et, dans le Community Network, le signale. Cette page liste chaque capteur avec sa valeur par défaut et explique ce qui décide d’un blocage.
Les seize capteurs d’attaque
Chaque capteur a son propre interrupteur et ses seuils sous Core protection → Detection & Thresholds, les capteurs de formulaires sous Forms. Trois lignes du tableau accompagnent les capteurs sans en être : les chemins appâts signalent au lieu de bloquer, Hide Login est un interrupteur d’accès, et l’échelle d’escalade est la réponse qu’alimente chaque capteur. Les seize font partie de l’extension gratuite.
| Capteur | Ce qu’il surveille | Par défaut |
|---|---|---|
| Force brute sur la connexion | Connexions échouées par adresse via wp_login_failed. | 5 en 15 min |
| Password spraying | Différents noms d’utilisateur essayés depuis une même adresse, l’attaque lente et discrète. | 5 en 10 min |
| Spam de commentaires | Chaque commentaire est noté sur une vingtaine de signaux : les liens et la part du texte qu’ils occupent, les domaines distincts, les domaines d’adresses jetables, les domaines de premier niveau typiques du spam, un domaine ou des chiffres dans le nom d’auteur, une écriture étrangère, la langue du texte face à celle du site, une formule élogieuse à côté d’un lien, une cible de lien ou un texte déjà reçus, un user agent ou un champ de formulaire absent. Plusieurs signaux doivent concorder. Un commentaire retenu part en spam (par défaut), est refusé ou est laissé à WordPress. Un commentaire en attente de modération n’est pas compté. | Score 7 ; 3 commentaires indésirables en 24 h bloquent l’adresse |
| Abus de XML-RPC | Appels XML-RPC par adresse via xmlrpc_call. | 10 en 60 min |
| Rafale REST | Requêtes REST anonymes par adresse. Les espaces de noms des bannières de consentement real-cookie-banner, complianz, borlabs-cookie et cookie-law-info sont ignorés. Les utilisateurs connectés ne comptent jamais. | 240 en 5 min |
| 404 et scanners | Rafales de réponses 404 et, immédiatement, une requête vers un chemin de sondage comme .env, .git/config ou wp-config.php.bak. | 12 en 2 min |
| Chemins appâts | Des chemins qu’aucun vrai visiteur ne demande (.env.backup, wp-config.old.php, ...). Un accès renvoie une 403 et met en file un signalement communautaire de gravité élevée, sans blocage local, si bien qu’une extension de sauvegarde qui écrit un tel fichier ne peut pas bloquer le site lui-même. Sur Apache, un bloc de marqueurs au-dessus de # BEGIN WordPress fait passer les vrais fichiers de ce nom par WordPress ; nginx reçoit un extrait. | 1 accès = 403 et signalement |
| Pare-feu applicatif | URI, paramètres, corps et user agent contre le jeu de règles actif. Voir Pare-feu et WAF. | Paranoia Level 1 |
| Bots vérifiés | Une requête qui se présente comme Googlebot, Bingbot ou un autre grand robot d’indexation est comparée aux plages publiées par ce robot, puis vérifiée par DNS inverse confirmé. Un faux est signalé ou bloqué ; un vrai robot n’est jamais bloqué. | Signalement en Local Shield, blocage dans le Community Network |
| Défense des inscriptions | Un seul jeu de règles pour chaque chemin d’inscription. Voir Règles d’inscription. | Limite de 3 en 60 min |
| Preuve d’exécution des formulaires | Un champ appât invisible plus un champ qu’ajoute un petit script, sur les formulaires de commentaire, d’inscription et de réinitialisation du mot de passe et sur Contact Form 7. Voir Formulaires et spam. | Activé |
| Vérification communautaire des formulaires | L’adresse d’un commentaire, d’une inscription ou d’une réinitialisation de mot de passe est vérifiée auprès de la communauté, au même niveau de protection que la connexion. Laisse passer en cas de délai dépassé ou de quota épuisé. Community Network uniquement. | Activée dans le Community Network |
| Énumération des utilisateurs | Bloque ?author=N, /wp-json/wp/v2/users et les recherches d’utilisateurs oEmbed, et renvoie la même erreur pour un mauvais nom d’utilisateur et un mauvais mot de passe. Les archives d’auteur peuvent rester publiques grâce à un interrupteur séparé. | 5 en 5 min |
| Mots de passe d’application | Connexions échouées par mot de passe d’application et par adresse, ce qui ferme le contournement de la 2FA par Basic Auth. | 5 en 15 min |
| Anomalie de connexion | Pays et réseau d’une connexion réussie comparés à l’historique de l’utilisateur sur 90 jours ; un nouveau peut révoquer les appareils de confiance, si bien que la connexion suivante redemande le second facteur. Nécessite les données de réputation du Community Network. | Activé |
| Règle des mots de passe | Longueur minimale et classes de caractères pour les rôles concernés, en option une vérification de fuite auprès de Have I Been Pwned (seuls les cinq premiers caractères de l’empreinte SHA-1 quittent le site). | 12 caractères ; vérification de fuite désactivée |
| Hide Login | Une adresse de connexion personnalisée à la place de wp-login.php ; l’ancienne adresse répond par une page de blocage ou une 404. Des accès répétés à l’ancienne adresse depuis une même adresse comptent comme un scan. | Désactivé ; slug de 3 à 50 caractères |
| Escalade des blocages | L’échelle qu’alimente chaque capteur, voir plus bas. | 5 min à 7 jours |
| Connexion WooCommerce | Les échecs sur la connexion de Mon compte et du paiement comptent pour le compteur de force brute. | Comme la force brute |
Les adresses du serveur lui-même ne sont jamais bloquées automatiquement, si bien qu’un préchargeur de cache ou une boucle WP-Cron ne peut pas bloquer le site. Une adresse de la liste blanche n’est bloquée par aucune couche.
Escalade des blocages
Les récidivistes paient plus cher. L’échelle par défaut est 5 min, 15 min, 30 min, 24 h, 48 h, 7 jours. Après 30 jours calmes, une adresse repart au premier palier. Un visiteur qui a franchi un seuil par erreur, derrière un NAT d’opérateur ou après une faute de frappe, revient en quelques minutes ; un attaquant obstiné atteint le septième jour. Une rafale bruyante peut faire monter plusieurs paliers d’un coup. L’échelle, la fenêtre de remise à zéro et l’interrupteur se trouvent sous Blocking & Escalation ; échelle désactivée, la durée de blocage fixe s’applique.
Le mode report-only journalise et signale chaque détection sans rien bloquer, ce qui aide à régler les seuils sur un site très fréquenté. Le formulaire de liste blanche propose l’aide Add my IP ; pour une connexion IPv6 changeante, ajoutez votre plage /64 plutôt qu’une seule adresse.
Réputation communautaire
Dans le Community Network, l’adresse d’une tentative de connexion, ainsi que celle d’un commentaire, d’une inscription ou d’une réinitialisation de mot de passe, est vérifiée auprès de la communauté. À partir du niveau de protection (75 % par défaut, jamais moins de 25 %), elle est refusée et bloquée localement pendant 24 heures. Les adresses que la communauté connaît comme infrastructure, votre propre serveur et les adresses de la liste blanche ne sont jamais refusés ainsi. Si le service ne répond pas, un seul délai dépassé suspend les consultations en direct pendant deux minutes, et le site laisse passer entre-temps. Confidence Score explique le calcul de la valeur.
Mode de durcissement pendant les vagues d’attaque
Fait partie du module Pro à partir de l’offre Professional. Lorsque plusieurs adresses attaquent la connexion en
même temps, le mode de durcissement resserre pour une heure, sur tout le réseau, les seuils de connexions échouées
et de réputation, et prolonge la fenêtre tant que la vague dure. Il est actif à partir de l’offre Professional et
se règle sous Advanced → Attack Response ; wp reportedip hardening l’affiche,
le démarre ou l’arrête à la main.
Nœuds de sortie Tor
Fait partie du module Pro à partir de l’offre Professional, dans le Community Network. L’interrupteur sous
Blocking & Escalation est désactivé par défaut. La liste des nœuds de sortie arrive comme jeu de
règles signé et est actualisée deux fois par jour ; l’indicateur communautaire couvre les adresses que la liste
n’a pas encore rattrapées. Les blocages Tor durent 24 heures (filtre reportedip_hive_tor_block_hours),
ne sont jamais signalés, car exploiter un nœud de sortie ne prouve aucun abus, et ne touchent jamais une adresse
de la liste blanche.
Bans de groupe
Fait partie du module Pro à partir de l’offre Professional, dans le Community Network. Une Community Access Key peut appartenir à un groupe de votre compte. L’extension récupère la liste du groupe toutes les quinze minutes et la reproduit sous forme de blocages du type Group Ban, jusqu’à l’échéance indiquée par le service. Une entrée qui quitte la liste est levée, et la liste blanche du groupe arrive sous forme d’entrées de liste blanche d’origine Group. La liste blanche l’emporte comme toujours, et un blocage posé à la main n’est jamais touché. Les bans de groupe ne sont pas un capteur.
Le tableau de bord affiche une carte du groupe, et Activity → IP Lists → Group montre
chaque adresse de la liste avec le membre qui l’a signalée et ce que ce site en a fait : bloquée par le groupe,
déjà bloquée, en liste blanche, le serveur lui-même, mode report-only, fenêtre terminée ou levée à la main. Chaque
synchronisation qui change quelque chose écrit une ligne group_list_synced. Une offre sans groupes, une
clé qui quitte son groupe, Local Shield ou un module désactivé retirent tout ce que le groupe a posé sur le site.
Dernière mise à jour: · Maintenu par l’équipe ReportedIP