Réglages de protection

Tous les réglages de Hive se trouvent sur une seule page, ReportedIP Hive → Protection. Cette page en explique la structure, les valeurs par défaut les plus importantes, les interrupteurs de verrouillage d’accès, les en-têtes de sécurité, les réglages de proxy et le registre de disponibilité, qui surveille les parties d’une installation qui tombent en panne sans bruit.

Les cinq onglets

Chaque domaine affiche un court état, ses interrupteurs courants sous forme de lignes et ses réglages experts derrière Show technical details. Le mode expert, dans l’en-tête de la page, ouvre les détails par défaut. Un champ de recherche couvre tous les onglets. Chaque onglet propose Save changes et Restore defaults ; ce dernier écrit la recommandation de votre offre. Check protection exécute aussitôt le registre de disponibilité et affiche le résultat sur la page. Une fonction du module Pro dont votre site ne dispose pas apparaît comme une ligne indiquant l’offre concernée, pas comme un interrupteur.

Ce qui n’est pas un réglage se trouve sur Tools : l’onglet Server (Extended Protection et les extraits pour le serveur web), Rules (synchronisation des règles et exceptions du pare-feu), Data (import, export, réinitialisation, comportement à la désinstallation) et Diagnostics (e-mail de test, autotest de la vérification des formulaires). Tools figure dans le menu en mode expert et reste toujours accessible par son adresse.

Chaque option possède une entrée dans un registre de réglages avec sa plage, son offre et une description d’une phrase. La page Protection, le démarrage rapide, l’import JSON, MainWP et la gestion de flotte du module Pro écrivent tous par ce registre, si bien qu’une valeur est contrôlée de la même façon d’où qu’elle vienne.

Les valeurs par défaut les plus importantes

Tous les noms d’option portent le préfixe reportedip_hive_.

Interrupteurs de verrouillage d’accès

Des interrupteurs sous Firewall & Bots → Access Lockdown désactivent les parties de WordPress dont un site ne se sert pas. Tous sont désactivés par défaut et l’effet est immédiat quand vous les remettez en place.

• Accès à l’API REST : ouvert, visiteurs connectés uniquement, ou rôles choisis. Les espaces de noms de la liste d’autorisation restent publics dans tous les modes, avec au départ ceux qui casseraient sinon (oembed/1.0, wp-site-health/v1, les espaces de noms courants des bannières de consentement et des formulaires, la Store API de WooCommerce) ; reportedip-hive/v1 reste toujours ouvert pour que les routes 2FA fonctionnent. Les invités reçoivent 401, les utilisateurs connectés hors de la liste des rôles 403.
• XML-RPC : refuse xmlrpc.php, désactive les pingbacks, supprime l’en-tête X-Pingback et retire les liens RSD et WLW. Les mots de passe d’application via REST ne sont pas concernés.
• Flux : les flux RSS, Atom et de commentaires répondent 404 et leurs liens quittent l’en-tête de la page.
• wp-admin pour les visiteurs : refuse /wp-admin/ aux visiteurs non connectés, ainsi que les alias /admin et /dashboard. admin-ajax.php et admin-post.php restent accessibles. Hide Login ferme également wp-admin aux visiteurs.
• Exécution de PHP dans les uploads : un bloc de marqueurs dans le .htaccess des uploads refuse les noms de fichiers de type PHP, y compris shell.php.jpg. Apache uniquement ; nginx et les serveurs inconnus reçoivent l’extrait à coller.
• Empreintes logicielles : retire la balise generator de WordPress et les numéros de version que les extensions inscrivent dans la page. Les versions restent déductibles des adresses des fichiers, il s’agit donc d’une mesure cosmétique. Désactiver en même temps l’affichage des erreurs PHP fait partie du module Pro.

Le sitemap des utilisateurs (wp-sitemap-users-1.xml) disparaît tant que Block user enumeration est activé, ce qui est le cas par défaut, car il publiait la liste que cette défense masque. Les refus sont journalisés une fois par adresse et par événement avec un délai de cinq secondes (rest_denied, xmlrpc_denied, feed_denied, admin_guest_denied). Ils ne font jamais monter l’échelle de blocage et ne sont jamais signalés : il s’agit de contrôle d’accès, pas de détection d’attaques.

En-têtes de sécurité

Des en-têtes de réponse sur chaque requête publique. Un en-tête que votre serveur ou une autre extension envoie déjà n’est pas modifié.

• De base, gratuits : X-Content-Type-Options, X-Frame-Options, Referrer-Policy.
• Avancés, Professional avec le module Pro : HSTS (preload en option), Permissions-Policy, un générateur de Content-Security-Policy (d’abord en report-only) et le trio cross-origin COOP, CORP et COEP.

L’onglet Server de Tools peut exporter les en-têtes configurés sous forme de lignes nginx add_header ou Apache Header.

Cloudflare, proxys inverses et répartiteurs de charge

Derrière un proxy, l’adresse qui se connecte est celle du proxy, et l’adresse du visiteur circule dans un en-tête. Choisissez cet en-tête sous Core protection → Detection & Thresholds → Client IP header : CF-Connecting-IP, X-Forwarded-For, X-Real-IP, Client-IP, True-Client-IP ou X-Cluster-Client-IP. Listez ensuite les adresses du proxy sous Trusted proxy ranges, une adresse ou plage CIDR par ligne, par exemple les plages publiées par Cloudflare.

Avec cette liste, l’en-tête ne compte que pour les requêtes venant d’un proxy listé : personne qui atteint directement le serveur d’origine ne peut se faire passer pour une adresse de la liste blanche ou se défaire d’un blocage. Une liste vide accepte l’en-tête de n’importe quel pair et déclenche un avertissement de disponibilité. La garde avant WordPress applique le même contrôle.

Disponibilité du système

Des détecteurs surveillent ce qui tombe en panne sans bruit. Les problèmes ouverts apparaissent sur System Status avec leur gravité, leur première apparition, un lien vers le réglage concerné et un lien vers cette page. Les problèmes critiques et les avertissements affichent en plus un avis sur les pages de l’extension, le widget de wp-admin indique leur nombre et wp reportedip status les liste dans son champ issues. Avertissements et suggestions peuvent être mis de côté pendant sept jours ; les problèmes critiques restent jusqu’à leur résolution.

• File de la garde non inscriptible (critique). Extended Protection est activé, mais la garde avant WordPress ne peut pas écrire sa file d’événements, si bien que ses blocages ne sont jamais importés ni escaladés. Corrigez les droits du répertoire indiqué dans le message ou désactivez Extended Protection.
• Tâches planifiées bloquées (critique). Toutes les tâches cron de Hive ont plus de 24 heures de retard : file des signalements, synchronisation des règles et nettoyage sont figés. Le plus souvent une boucle WP-Cron défaillante ; mettez en place un cron système et définissez DISABLE_WP_CRON.
• WP-Cron désactivé sans remplacement (avertissement). DISABLE_WP_CRON est défini, ALTERNATE_WP_CRON ne l’est pas, et aucun déclencheur externe n’a tourné depuis plus d’une heure.
• En-tête d’IP client sans plages de proxy (avertissement). L’en-tête est accepté de n’importe quel pair, un visiteur direct pourrait donc falsifier une adresse. Ajoutez vos plages de proxy sous Detection & Thresholds.
• Schéma de base de données obsolète (critique). Le schéma enregistré est en retard sur l’extension, en général après une migration interrompue. Recharger une page de l’extension relance la migration.
• Connexion communautaire dégradée (avertissement). De nombreuses requêtes récentes vers reportedip.com ont échoué. Vérifiez le HTTPS sortant et la clé d’accès.
• Quota du relais e-mail épuisé (avertissement, module Pro). Les e-mails 2FA repassent par wp_mail() jusqu’à la remise à zéro mensuelle ou un paquet complémentaire.
• Quota du relais SMS épuisé (avertissement, module Pro). Les utilisateurs dont le SMS est la seule méthode devraient en ajouter une seconde.
• Échec de l’envoi des e-mails (avertissement). WordPress a signalé des erreurs wp_mail_failed répétées, les codes et les alertes n’arrivent donc pas. Vérifiez la configuration SMTP. Les adresses des destinataires sont retirées du message enregistré.
• Aucun moteur de chiffrement (critique). Ni libsodium ni OpenSSL ne sont disponibles, les secrets 2FA ne peuvent donc pas être chiffrés. Demandez à l’hébergeur d’activer l’un des deux.
• Entrées en échec dans la file des signalements (avertissement). Des signalements ont épuisé leurs nouvelles tentatives. Relancez-les dans l’onglet API Queue de la page Activity.
• Retard dans la file des signalements (avertissement). Les signalements en attente s’accumulent, ce qui désigne le cron ou la connexion. Les deux contrôles de file restent muets en Local Shield et sans clé.
• Adresse de connexion encore publique (suggestion). Hide Login est désactivé. La carte prend un slug et l’active en une étape.
• 2FA de la boutique disponible mais désactivée (suggestion, module Pro). Le site utilise WooCommerce et l’offre comprend la vérification client intégrée au thème.
• Extended Protection possible mais inactif (suggestion). Le serveur prend en charge la garde avant WordPress, les requêtes bloquées pourraient donc s’arrêter avant le démarrage de WordPress.
• Local Shield au lieu de la communauté (suggestion). Le site se protège lui-même, mais n’interroge pas le réseau et n’y contribue pas.
• Extension de formulaires pas encore couverte (suggestion). Une extension de formulaires prise en charge est active et Hive pourrait la vérifier, mais son interrupteur est désactivé. Une suggestion par extension.
• Groupes inclus mais inutilisés (suggestion, module Pro). L’offre comprend des groupes et cette clé n’appartient à aucun. La carte ouvre Groups dans votre compte ; la page Groupes les explique.
• Votre propre second facteur manque (suggestion). La 2FA est activée sur le site et le compte qui consulte la page n’a aucune méthode. Signalé par personne.
• Badge du pied de page désactivé. N’est plus signalé depuis la 3.0.0 : le badge est facultatif et reste désactivé tant que vous ne l’activez pas.

Paquet de support. System Status propose aussi un fichier JSON pour une vérification par le support : versions, réglages qui diffèrent des valeurs par défaut, disponibilité, cron, état de l’API, file des signalements, événements d’une période choisie (1, 7, 14 ou 30 jours) et blocages actifs. Il ne contient ni clé d’accès, ni mot de passe, ni nom d’utilisateur, ni adresse e-mail, et les adresses IP sont réduites à leur réseau, sauf si vous demandez les adresses complètes. Le même fichier s’obtient avec wp reportedip support-bundle et depuis l’extension MainWP.

Score de protection

Deux jauges du tableau de bord notent la couverture de détection et le durcissement de 0 à 100, avec une note de A+ à F. Chaque élément mène à l’interrupteur qui l’améliore. Les fonctions que votre offre ne comprend pas comptent dans le potentiel affiché, pas contre le score, si bien que l’extension gratuite peut atteindre la meilleure note.

Dernière mise à jour: 16. octobre 2026 · Maintenu par l’équipe ReportedIP