Dépannage et FAQ
Les problèmes les plus fréquents et leur solution, puis les questions courantes. Pour une demande de support, téléchargez le paquet de support sur System Status et joignez-le.
Dépannage
Vous vous êtes bloqué vous-même
Avec un accès shell, wp reportedip unblock <ip> --reset-attempts lève le blocage et
wp reportedip whitelist add <ip> évite le suivant. Sans WP-CLI, ajoutez votre adresse à la table de
la liste blanche via phpMyAdmin ou la console de base de données de votre hébergeur ; une adresse en liste
blanche l’emporte sur tout blocage :
INSERT INTO wp_reportedip_hive_whitelist (ip_address, ip_type, reason, added_by, is_active)
VALUES ('203.0.113.42', 'ipv4', 'Self-rescue: restore admin access', 1, 1);
Utilisez 'ipv6' ou 'cidr' comme type pour une adresse IPv6 ou une plage ; pour une
connexion IPv6 changeante, mettez le /64 en liste blanche comme 'cidr'. Vous pouvez aussi supprimer la
ligne : DELETE FROM wp_reportedip_hive_blocked WHERE ip_address = '203.0.113.42';. Remplacez
wp_ par votre préfixe de tables (sur un réseau, le préfixe de base). Si Extended Protection est activé et
que le blocage persiste, supprimez aussi wp-content/uploads/reportedip-hive/blocked-*.list ; le fichier
est reconstruit à la synchronisation suivante. Si l’adresse de connexion cachée est perdue,
define( 'REPORTEDIP_HIVE_DISABLE_HIDE_LOGIN', true ); dans wp-config.php rétablit
wp-login.php.
Bloqué par la 2FA
Utilisez l’un des codes de récupération. Un administrateur peut réinitialiser le second facteur de n’importe quel
utilisateur sous Utilisateurs → Two-Factor, ou avec wp reportedip 2fa reset <user_id>.
Un utilisateur soumis à l’obligation et sans méthode n’est pas bloqué après le délai de grâce, il est conduit à la
configuration ; les administrateurs et super-administrateurs suivent toujours ce chemin.
Rien n’est bloqué
Vérifiez si le mode report-only est activé, globalement ou pour le pare-feu : il journalise sans bloquer. Vérifiez que le blocage automatique est activé et que le niveau de protection n’est pas réglé trop haut.
De vrais visiteurs sont bloqués
Demandez le code de référence affiché sur la page de blocage et cherchez-le dans le journal pour voir quelle règle ou quel capteur s’est déclenché. Ajoutez les adresses ou plages de confiance à la liste blanche. Lorsque de nombreux visiteurs partagent une même adresse, derrière un NAT d’opérateur ou dans un bureau, relevez le seuil du capteur concerné. Si le site se trouve derrière un proxy et que tous les visiteurs apparaissent avec la même adresse, l’en-tête d’IP client manque, voir proxys de confiance.
Le pare-feu bloque une requête légitime
Trouvez la ligne sur Activity et cliquez sur Allow : une exception étroite est créée pour cette règle sur ce chemin, pour les deux couches. Voir exceptions.
Extended Protection indique « not running »
Cas typique sur nginx lorsque le .user.ini écrit n’est pas lu, par exemple parce que
user_ini.filename est vide. Tools → Server propose la ligne pour le pool PHP-FPM ou
php.ini et l’extrait nginx fastcgi_param, et indique si la garde s’est exécutée pour la requête en
cours. Le moteur dans WordPress protège le site dans tous les cas.
Quelque chose ne fonctionne plus après un interrupteur de verrouillage
Désactivez l’interrupteur suspect sous Firewall & Bots → Access Lockdown ; l’effet est
immédiat. Cas typiques : une application ou un service qui parle encore XML-RPC, un front-end headless ou une
extension d’édition qui appelle l’API REST sans connexion (ajoutez plutôt son espace de noms à la liste
d’autorisation), un service de podcast ou de newsletter qui lit le flux, un prestataire de paiement qui envoie vers
/wp-admin/. Le journal liste chaque refus avec son chemin.
Le sitemap des utilisateurs a disparu
wp-sitemap-users-1.xml disparaît tant que le blocage de l’énumération des utilisateurs est activé, ce
qui est le cas par défaut, car il liste les noms d’utilisateur que cette défense masque. Les moteurs de recherche
n’en ont pas besoin ; les archives d’auteur peuvent rester publiques grâce à leur propre interrupteur.
Les requêtes des bannières de consentement sont bloquées
Les espaces de noms real-cookie-banner, complianz, borlabs-cookie et
cookie-law-info sont ignorés par défaut. Ajoutez-en un autre avec le filtre
reportedip_hive_rest_bypass_routes.
Erreurs de connexion dans le Community Network
Le serveur doit pouvoir joindre reportedip.com en HTTPS ; certains hébergeurs bloquent les connexions
sortantes. Vérifiez la clé avec Test Connection sur la page Community et l’état dans votre
compte. Un service lent ne bloque jamais une
connexion : les consultations laissent passer.
Les vérifications quotidiennes s’épuisent
Augmentez cache_duration sous Operations → Performance & Footprint, fixez un
plafond horaire ou passez à une offre comprenant plus de vérifications. Le tableau de bord affiche le quota et la
file.
Le module Pro reste inactif
Le module ne fonctionne qu’à côté d’une extension gratuite active en version 3.0.0 ou plus récente et affiche un avis lorsqu’elle manque. Il lui faut aussi une clé avec une offre payante ; sans elle, les fonctions restent verrouillées et les mises à jour ne sont pas livrées.
Questions fréquentes
ReportedIP Hive est-il gratuit, et faut-il un compte ?
L’extension est gratuite sous licence GPL et fonctionne sans compte en Local Shield. Un compte gratuit ajoute la vérification communautaire et les jeux de règles synchronisés. Le module Pro s’adresse aux offres payantes.
Ralentit-elle mon site ?
Une adresse bloquée est refusée dès le début de la requête, avant le chargement des thèmes et de la plupart des extensions. Le contrôle de blocage est une seule requête indexée, la liste blanche est mise en cache par requête, et les signalements partent en arrière-plan via WP-Cron.
Puis-je l’utiliser à côté d’une autre extension de sécurité ?
Oui, mais désactivez les fonctions qui se recoupent. Deux extensions qui limitent toutes deux les tentatives de connexion ou demandent toutes deux un second facteur bloquent les utilisateurs deux fois ; gardez-en une de chaque.
Fonctionne-t-elle avec WooCommerce ?
Oui. Les formulaires de connexion et d’inscription de WooCommerce comptent comme wp-login.php et passent par les règles d’inscription. Le second facteur dans la boutique arrive avec le module Pro.
Fonctionne-t-elle derrière Cloudflare ?
Oui. Choisissez CF-Connecting-IP comme en-tête d’IP client et listez les plages de Cloudflare comme proxys de confiance, pour que l’en-tête ne puisse pas être falsifié.
Ai-je encore besoin d’un CAPTCHA ?
En général, non. La vérification invisible des formulaires arrête les envois automatisés sur les commentaires, les inscriptions, les réinitialisations de mot de passe et Contact Form 7 sans énigme pour vos visiteurs, et le module l’étend à d’autres extensions de formulaires.
Puis-je importer les réglages d’un autre site ?
Oui, sous Tools → Data, sous forme de fichier JSON de 512 Ko au maximum. La clé d’accès et les secrets 2FA ne font pas partie de l’export.
Recherche-t-elle des logiciels malveillants ?
Non. Hive n’analyse pas les fichiers et ne surveille pas leur intégrité. Utilisez un scanner en complément si le site en a besoin.
Où se trouve le code source ?
Sur GitHub et dans le dépôt de l’extension sur wordpress.org. Les problèmes de sécurité se signalent à abuse@reportedip.com, pas dans un ticket public.
Dernière mise à jour: · Maintenu par l’équipe ReportedIP