Hive Light : connexion WordPress protégée

Mise à jour du 16 octobre 2026 : depuis la version 3.0.0, Hive Light fait partie de ReportedIP Hive et n’est plus proposé comme extension séparée. Les installations existantes reçoivent ReportedIP Hive comme une mise à jour normale via WordPress.org et conservent liste blanche, blocages et réglages. Les informations à jour se trouvent dans la documentation de ReportedIP Hive.

ReportedIP Hive Light est une extension gratuite de protection de la connexion WordPress, présente dans le répertoire officiel des extensions de WordPress.org depuis le 17 mai 2026. Elle compte les échecs de connexion par adresse IP, bloque les attaquants sur une échelle croissante de 5 minutes à 7 jours et fonctionne sans compte.

Vous l’installez depuis Extensions → Ajouter une extension dans votre administration WordPress. Cet article a été mis à jour le 29 septembre 2026 pour la version 1.3.7. L’interface de l’extension est en anglais, c’est pourquoi les noms de menus et de champs sont cités en version originale.

Qu’est-ce que ReportedIP Hive Light ?

Hive Light est l’édition WordPress.org de ReportedIP Hive. Elle remplit une seule mission : protéger la connexion WordPress standard contre les attaques par force brute et par pulvérisation de mots de passe. L’extension est sous licence GPL-2.0 ou ultérieure, ne coûte rien et ne réserve aucune fonction à une offre payante.

Élément	Valeur
Version actuelle	1.3.7
WordPress requis	6.1 ou ultérieur
Testé jusqu’à	WordPress 7.0
PHP requis	8.1 ou ultérieur
Licence	GPL-2.0 ou ultérieure
Prix	Gratuit

Le slug de l’extension est reportedip-hive, la fiche se trouve donc sur wordpress.org/plugins/reportedip-hive. Dans votre menu d’administration, l’extension s’affiche sous le nom ReportedIP Hive Light.

Comment Hive Light arrête-t-elle les connexions par force brute ?

L’extension s’appuie sur deux actions WordPress. Elle n’a besoin d’aucun fichier de règles ni d’aucun accès à la configuration du serveur.

wp_login_failed enregistre chaque échec de connexion et l’ajoute au compteur de l’IP source. Le compteur écrit de manière atomique dans la base de données, les requêtes parallèles ne passent donc pas au travers.
wp_authenticate_user refuse les adresses bloquées avant que WordPress ne vérifie le mot de passe. Un attaquant bloqué n’a plus aucun essai.

Un second contrôle détecte la pulvérisation de mots de passe, où une adresse essaie de nombreux noms d’utilisateur différents. La page de l’OWASP sur le password spraying explique pourquoi ce schéma échappe aux verrouillages par compte. Hive Light compte donc par adresse IP.

Lorsqu’une adresse dépasse le seuil que vous avez défini, elle est bloquée pendant 5 minutes. Chaque récidive la fait monter d’un échelon : 15 minutes, 30 minutes, 24 heures, 48 heures et enfin 7 jours. La page de blocage répond avec un code HTTP 403 et des en-têtes no-cache, afin que WP Rocket, W3 Total Cache, WP Super Cache et LiteSpeed ne servent pas un formulaire de connexion en cache à un visiteur bloqué.

Les échecs de connexion sur les formulaires WooCommerce sont également comptés, car WooCommerce déclenche la même action wp_login_failed. Hive Light ne surveille pas les mots de passe d’application.

Que pouvez-vous gérer dans l’administration ?

Le menu ReportedIP Hive Light comporte quatre pages :

Dashboard : blocages actifs, blocages et tentatives des dernières 24 heures, taille de la whitelist et attaques repoussées sur 24 heures, 7 jours, 30 jours et depuis le début.
Settings : les onglets Connection, Protection et Privacy.
Blocked IPs : la liste des blocages avec une action groupée pour débloquer des adresses, y compris la vôtre.
Whitelist : adresses et plages CIDR de confiance, chacune avec une date d’expiration facultative.

Un assistant de configuration en quatre étapes s’ouvre à la première activation. La connexion est protégée dès que l’extension est active ; l’assistant ne fait que confirmer le mode de fonctionnement et les seuils.

Hive Light envoie-t-elle des données à reportedip.com ?

Pas par défaut. Hive Light démarre en mode Local Shield : compteurs, blocages et journaux restent dans votre propre base de données, et l’extension n’émet aucune requête sortante.

Le mode Community Network est facultatif et nécessite une Community Access Key gratuite, obtenue avec un compte ReportedIP. Dans ce mode, l’extension fait deux choses de plus :

Lors d’une tentative de connexion, elle interroge la base communautaire sur l’IP source. Les adresses dont le score de confiance atteint 75 ou plus sont refusées. Si l’API ne répond pas en 2 secondes, la connexion se poursuit.
Lorsque l’extension bloque une adresse, elle place un signalement dans une file d’attente. Une tâche cron envoie la file toutes les 15 minutes.

Un signalement contient l’adresse IP, un numéro de catégorie de menace et un court motif. Les noms d’utilisateur restent sur votre serveur et n’y sont stockés que sous forme de hachage SHA-256 salé avec wp_salt(). Les mots de passe, noms de domaine et en-têtes de requête ne sont jamais transmis. Revenir à Local Shield coupe immédiatement tout trafic sortant.

La base juridique du traitement des adresses IP est l’article 6, paragraphe 1, point f du RGPD, l’intérêt légitime à la sécurité du réseau. La clé gratuite comprend 1 000 vérifications et 50 signalements par jour.

Hive Light ou Full Edition : quelle édition vous faut-il ?

Les deux éditions sont gratuites et sous licence GPL-2.0 ou ultérieure. Hive Light vient de WordPress.org et protège la connexion. La Full Edition se télécharge depuis la page produit et protège tout le site avec 16 capteurs d’attaque, un pare-feu applicatif web et quatre méthodes 2FA.

Si votre site a besoin de	Édition
Protection de la connexion uniquement	Hive Light
Mises à jour via WordPress.org	Hive Light
Aucune requête sortante par défaut	Les deux éditions
2FA par application d’authentification, e-mail ou passkey	Full Edition
Protection de XML-RPC, des commentaires et de l’API REST	Full Edition
Réseaux multisite	Full Edition
Codes SMS via le relais européen	Full Edition avec Hive Pro
2FA dans la boutique WooCommerce	Full Edition avec Hive Pro
Durcissement automatique lors d’attaques coordonnées	Full Edition avec Hive Pro

Hive Pro est un abonnement payant pour la Full Edition, et la page des tarifs présente toutes les offres. Hive Light n’a elle-même aucune offre payante.

Comment passer de Hive Light à la Full Edition ?

Les deux éditions partagent le même slug d’extension et le même préfixe de code, elles ne peuvent donc pas fonctionner en même temps. Si la Full Edition est déjà active, Hive Light se désactive d’elle-même et affiche un avis.

Désactivez Hive Light dans Extensions.
Téléchargez la Full Edition depuis la page produit de Hive et envoyez le fichier ZIP via Extensions → Ajouter une extension → Téléverser une extension.
Activez la Full Edition et lancez son assistant de configuration.

Les deux éditions utilisent les mêmes noms de tables, les IP bloquées et les entrées de la whitelist restent donc dans la base de données. La section sur la mise à niveau de la documentation donne les détails.

Quels hooks Hive Light propose-t-elle aux développeurs ?

Quatre filtres modifient le comportement de l’extension :

reportedip_hive_is_whitelisted laisse passer sans contrôle les adresses de confiance, comme des runners CI ou des sondes de supervision.
reportedip_hive_get_client_ip remplace la détection d’IP lorsque votre reverse proxy utilise un en-tête que les réglages ne proposent pas.
reportedip_hive_event_category_map modifie les catégories de menace avant qu’un signalement soit mis en file d’attente.
reportedip_hive_api_endpoint dirige l’extension vers une autre adresse d’API.

Les actions reportedip_hive_log, reportedip_hive_ip_blocked et reportedip_hive_report_queued vous permettent de transmettre blocages et signalements à votre propre journalisation.

Questions sur Hive Light

Hive Light est-elle vraiment gratuite ?

Hive Light est gratuite sous licence GPL-2.0 ou ultérieure, sans offre payante et sans fonction verrouillée. Le mode Local Shield fonctionne sans aucun compte. La Community Access Key facultative est elle aussi gratuite et comprend 1 000 vérifications de réputation et 50 signalements par jour. Les offres payantes concernent uniquement la Full Edition, distincte.

Hive Light peut-elle me bloquer l’accès à mon propre site ?

Hive Light peut bloquer votre propre adresse IP si vous échouez trop souvent à la connexion. Le premier blocage dure 5 minutes. Vous pouvez attendre, ou vous connecter depuis un autre réseau et retirer l’adresse sous Blocked IPs. Ajouter à l’avance la plage de votre bureau à la Whitelist évite le problème.

Hive Light fonctionne-t-elle derrière Cloudflare ?

Hive Light fonctionne derrière Cloudflare dès que vous réglez le Trusted Proxy Header de l’onglet Connection sur CF-Connecting-IP. Ne le réglez que si chaque requête passe par le proxy, car un en-tête envoyé directement à votre serveur peut être falsifié. Sans ce réglage, tous les visiteurs apparaissent avec des adresses Cloudflare.

Hive Light sur WordPress.org : protection gratuite de la connexion WordPress