Sécurité de la connexion et 2FA

Un second facteur protège un compte quand son mot de passe a fuité. Hive apporte dans l’extension gratuite les applications d’authentification, les codes par e-mail, les passkeys et les clés matérielles, avec les codes de récupération, les appareils de confiance et l’obligation par rôle. Le module Pro ajoute les codes par SMS, le relais géré pour les codes, la vérification dans une boutique WooCommerce et les règles adaptatives. Les capteurs de connexion eux-mêmes sont décrits sous Capteurs et blocage.

Les méthodes

Les secrets sont chiffrés au repos avec libsodium, OpenSSL servant de solution de repli. Sur sa page de profil, chaque utilisateur voit ses méthodes sous forme de cartes, en ajoute ou en retire une, et choisit la méthode que la connexion propose en premier.

Obligation par rôle

Sous Core protection → Two-Factor Authentication, vous choisissez les méthodes proposées par le site et les rôles tenus d’en utiliser une ; les administrateurs sont présélectionnés. Un utilisateur soumis à l’obligation reçoit un assistant de configuration à sa prochaine connexion et un délai de grâce de 7 jours. Une fois le délai et les reports épuisés, l’utilisateur est connecté et conduit directement à la configuration, sans bouton pour passer. La règle plus stricte Block sign-in existe, mais les administrateurs et super-administrateurs passent toujours par la configuration, si bien qu’un site ne perd jamais son dernier administrateur.

Les utilisateurs non soumis à l’obligation voient une bannière de rappel. Les administrateurs, éditeurs et gestionnaires de boutique qui l’ignorent pendant cinq connexions doivent terminer la configuration avant de continuer. La réinitialisation du mot de passe demande aussi le second facteur, et les codes par e-mail n’y sont pas acceptés : une boîte mail volée ne suffit donc pas pour prendre un compte.

Passkeys et YubiKeys

La série YubiKey 5 (USB-A, USB-C, Lightning et NFC), la Security Key by Yubico et tout autre authentificateur CTAP2 fonctionnent sur la vérification de wp-login, la réinitialisation du mot de passe et la vérification dans la boutique. Les anciennes clés qui ne parlent que U2F ne sont pas prises en charge.

• Configuration : sous Utilisateurs → Profil → Two-Factor Authentication, choisissez Add security key, donnez-lui un nom, insérez la clé et touchez-la quand le navigateur le demande. Sur un téléphone, posez une clé NFC contre le dos de l’appareil. Aucun code PIN FIDO2 n’est nécessaire.
• Une clé par compte est gratuite. Business permet plusieurs clés par compte, si bien qu’une seconde YubiKey peut attendre en lieu sûr, avec la détection du modèle (« YubiKey 5 Series with NFC ») et un e-mail à chaque ajout ou retrait de clé.
• Clé perdue : connectez-vous avec un code de récupération, ou la clé de secours avec Business, puis retirez la clé perdue sur la page de profil.
• Clés clonées : chaque connexion fait avancer le compteur de signatures de la clé. Une connexion dont le compteur n’avance pas est refusée, journalisée et signalée par e-mail au titulaire du compte, avec toutes les offres.
• Algorithmes : ES256 sur chaque clé, RS256, et Ed25519 sur les YubiKey à partir du firmware 5.2.3 si le serveur dispose de libsodium. WebAuthn exige HTTPS.

Protection contre les essais

Les mauvais codes ralentissent l’essai suivant : après 3 pendant 30 secondes, après 5 pendant 5 minutes, après 10 pendant 30 minutes, après 15 pendant une heure. Au-delà, l’adresse est bloquée comme pour tout autre capteur (événement 2fa_brute_force), avec escalade et, dans le Community Network, un signalement.

2FA dans la boutique WooCommerce

Fait partie du module Pro à partir de l’offre Professional. Les clients qui se connectent via Mon compte, la page de paiement classique ou les blocs Panier et Paiement de WooCommerce confirment le second facteur sur une page de votre thème au lieu de wp-login.php. Le panier et le paiement survivent au détour, et le cookie d’appareil de confiance est partagé avec la connexion à wp-admin.

• Adresses : vérification reportedip-hive-2fa et configuration reportedip-hive-2fa-setup par défaut, toutes deux modifiables et contrôlées contre les conflits. Sur un réseau, chaque site peut définir sa propre adresse.
• Autres extensions 2FA : lorsque Solid Security, l’extension Two-Factor ou la 2FA de Wordfence gère le formulaire de connexion, Hive le signale et laisse sa vérification en boutique désactivée, pour que personne ne soit sollicité deux fois.
• Changement d’offre : avec une offre inférieure, la vérification en boutique se met en pause ; réglages et inscriptions restent et reviennent avec l’offre.

Step-up adaptatif

Fait partie du module Pro à partir de l’offre Professional. L’obligation demande le second facteur à chaque connexion ; le step-up adaptatif ne le redemande à un utilisateur qui a une méthode que lorsque quelque chose a changé dans la connexion. La matrice sous Advanced → Adaptive Step-Up comporte une ligne par rôle et une colonne par déclencheur.

• Nouveau pays, nouvelle adresse IP, nouveau réseau (/24 ou IPv6 /64) ou nouvel appareil, chacun comparé à l’historique de l’utilisateur. Le pays nécessite le Community Network.
• Tous les N jours depuis la dernière vérification et toutes les N connexions.
• Plus de N sessions simultanées pour cet utilisateur.

Une vérification déclenchée ignore le cookie d’appareil de confiance : l’appareil est de confiance, pas les circonstances. La liste d’autorisation d’IP de la 2FA et le filtre reportedip_2fa_bypass s’appliquent toujours. Un utilisateur sans méthode n’est jamais bloqué ; le contournement est journalisé et l’utilisateur reçoit un rappel. La première connexion après l’activation d’un déclencheur ne demande jamais rien, et la ligne des administrateurs ne peut être armée qu’après qu’un administrateur a réussi une vérification sur le site.

Comment les codes sont envoyés

Par défaut, les e-mails passent par wp_mail(), votre extension SMTP s’applique donc. Avec le module Pro à partir de l’offre Professional, les codes 2FA, les alertes de sécurité et les autres e-mails de l’extension passent par le relais géré de reportedip.com avec SPF, DKIM et DMARC en place, et les codes SMS par le relais SMS. Quand le quota mensuel et les éventuels compléments sont épuisés, l’e-mail repasse par wp_mail() ; les autres méthodes continuent de fonctionner. Quotas et paquets sont décrits sous Module Pro et offres.

Dernière mise à jour: 16. octobre 2026 · Maintenu par l’équipe ReportedIP