ReportedIP Hive 2.1.54 : preuve d’exécution des formulaires et démarrage rapide sur une page
ReportedIP Hive 2.1.53 est sorti le 10 septembre 2026 avec une preuve d’exécution des formulaires qui arrête les scripts envoyant directement aux formulaires de commentaire, d’inscription et de réinitialisation du mot de passe. La version 2.1.54 a suivi le 13 septembre avec un démarrage rapide sur une seule page à la place de l’assistant de configuration en dix étapes. Les deux sont gratuits dans toutes les formules et ont changé la façon dont un nouveau site est configuré et dont ses formulaires sont protégés.
La version actuelle est la 2.1.67. Les sections suivantes indiquent où un menu, une formule ou un comportement a changé depuis. Le fonctionnement détaillé de la protection des formulaires aujourd’hui est expliqué dans le guide du honeypot de formulaire. L’interface de Hive est en anglais, les libellés sont donc cités tels quels.
Quoi de neuf dans Hive 2.1.53 et 2.1.54 ?
| Fonction | Version | Formule |
|---|---|---|
| Preuve d’exécution des formulaires | 2.1.53 | Free |
| Vérification communautaire sur les formulaires | 2.1.53 | Free |
| Démarrage rapide sur une page | 2.1.54 | Free |
| Recommandation appliquée lors d’un changement de formule | 2.1.54 | Professional et au-delà |
| Tableau de bord de sécurité allégé | 2.1.54 | Free |
La vérification communautaire nécessite le mode Community Network, qui fonctionne avec un compte gratuit. Aucune fonction gratuite avant ces versions n’est passée derrière une formule payante.
Comment la preuve d’exécution arrête-t-elle les scripts de spam ?
Beaucoup de scripts de spam ne chargent jamais un formulaire. Ils envoient leurs données directement à l’adresse qui le traite. Depuis la 2.1.53, les formulaires de commentaire, d’inscription et de réinitialisation du mot de passe portent une ancre cachée et un second champ que seul un navigateur exécutant le script de la page ajoute. Un envoi sans les deux n’a jamais affiché le formulaire. Sur le site pour lequel la fonction a été conçue, chaque commentaire de spam de la nuit précédente est arrivé ainsi.
Rien de propre à un visiteur n’est écrit dans la page, les caches de page continuent donc de fonctionner. Un thème qui écrit son propre formulaire de commentaire sans les hooks WordPress habituels est jugé avec indulgence, car le site mesure lui-même si ses formulaires portent l’ancre. Une preuve manquante ne compte jamais seule pour l’échelle de blocage : un lecteur dont JavaScript est désactivé n’est jamais bloqué.
Dans la 2.1.53, un commentaire sans preuve n’était qu’un signal de score et pouvait encore arriver en modération. Depuis la 2.1.67, le formulaire de commentaire refuse un tel envoi avec un message clair, comme l’inscription et la réinitialisation du mot de passe l’ont toujours fait. Un commentaire venant d’une page en cache sans aucun champ de protection est toujours seulement noté. L’inscription et la réinitialisation peuvent être exclues avec leur propre interrupteur, et le mode rapport seul journalise chaque refus sans rien refuser.
Dans la 2.1.53, les réglages se trouvaient sous Firewall → Spam Defence. Depuis la 2.1.59, ils forment la carte Form Protection sous ReportedIP Hive → Protection. La constante REPORTEDIP_HIVE_DISABLE_FORM_PROOF dans wp-config.php désactive toujours toute la couche.
Quels formulaires la preuve d’exécution couvre-t-elle aujourd’hui ?
La 2.1.53 protégeait trois formulaires WordPress. Les versions suivantes ont étendu la preuve aux extensions de formulaires et ajouté une seconde vérification :
| Formulaires | Formule | Depuis la version |
|---|---|---|
| Formulaire de commentaire, inscription, réinitialisation du mot de passe | Toutes les formules, Free compris | 2.1.53 |
| Contact Form 7 | Toutes les formules, Free compris | 2.1.58 |
| Vérification par calcul | Professional et au-delà | 2.1.58 |
| Gravity Forms, WPForms, Forminator, Formidable Forms, Elementor Forms, Ultimate Member | Business et au-delà | 2.1.58–2.1.66 |
Contact Form 7 a démarré dans Professional et est gratuit depuis la 2.1.63. La vérification par calcul comble la faille que laisse la preuve simple : un script qui lit la page une fois et copie ce qu’il y trouve. Depuis la 2.1.64, le navigateur doit résoudre une tâche fraîche fournie par le site lui-même avant l’envoi, une réponse copiée ne passe donc plus. Les détails par extension figurent dans les guides pour Gravity Forms et pour WPForms et Forminator.
Comment la vérification communautaire protège-t-elle les formulaires ?
La page de connexion vérifie l’adresse d’un visiteur auprès du réseau communautaire depuis la première version de Hive. Les commentaires, les inscriptions et les réinitialisations de mot de passe ne le faisaient pas : une adresse que le réseau connaissait déjà comme abusive pouvait continuer à publier tant qu’elle restait sous le score local du site. Depuis la 2.1.53, les trois formulaires appliquent la même vérification au niveau de protection de la page de connexion. Un visiteur à qui le site refuserait une connexion ne peut pas se rabattre sur le formulaire de commentaire : il en apprend la raison, et l’adresse est bloquée pour la même durée qu’après une connexion refusée.
La vérification échoue en mode ouvert. Un quota journalier épuisé, une limitation de débit, un délai dépassé ou un réseau injoignable valent « pas d’avis », et l’envoi est jugé sur les seuls signaux locaux. Elle ne fonctionne qu’en mode Community Network et est activée par défaut, avec les mêmes exceptions que la vérification à la connexion : adresses en liste blanche, serveur du site lui-même et infrastructures signalées comme telles par le réseau. Depuis la 2.1.60, l’interrupteur Community threat check on forms se trouve dans la vue simple de la carte Form Protection. La façon dont le réseau évalue une adresse est décrite dans le guide du renseignement communautaire.
Qu’est-ce qui a remplacé l’assistant de configuration de Hive ?
Hive 2.1.54 a retiré l’assistant de configuration en dix étapes. Le démarrage rapide qui l’a remplacé pose deux questions : quel mode utiliser, Community Network ou Local Shield, et, pour Community Network, la Community Access Key. La vérification de la clé lit la formule du compte et applique une recommandation pour cette formule.
- Trois interrupteurs restent visibles : la 2FA pour les administrateurs avec un délai de grâce de 7 jours, le badge de pied de page « Protected by ReportedIP » et les mails d’alerte à l’adresse de l’administrateur.
- Tous les autres réglages, des seuils des capteurs à la durée de conservation des journaux, sont préconfigurés pour la formule détectée.
- Le lien expert applique la même recommandation et ouvre tous les réglages au lieu du tableau de bord.
- Les anciens liens vers
page=reportedip-hive-wizardredirigent vers le démarrage rapide.
Depuis la 2.1.59, le démarrage rapide nomme les extensions de formulaires qu’il trouve sur le site. Il active la protection de Contact Form 7 dans toutes les formules et celle des autres extensions de formulaires à partir de Business. Le guide du démarrage rapide détaille chaque étape, et la documentation du démarrage rapide liste ce qu’il configure.
Qu’active un changement de formule ?
Depuis la 2.1.54, une montée en gamme applique la recommandation de la nouvelle formule à chaque réglage que l’administrateur n’a pas modifié à la main, et une bannière liste les changements. Dans la 2.1.54, cela signifiait dans Professional le blocage de Tor, l’en-tête HSTS, 90 jours de journaux et la connexion à deux facteurs pour les clients WooCommerce, et dans Business le journal d’audit avec un an de journaux. Depuis la 2.1.67, Professional active en plus la vérification par calcul, et Business les six interrupteurs des extensions de formulaires. Les formules sont comparées sur la page des tarifs.
Qu’est-ce qui a changé dans le tableau de bord et les menus ?
Dans la 2.1.54, les statistiques d’appels API et la carte des domaines sous licence sont passées sur la page Community, où se trouvait déjà le quota. Les tuiles d’actions rapides qui répétaient le menu principal ont disparu, et la liste d’activité affiche les cinq derniers événements. En bas, le tableau de bord affiche les trois derniers articles d’actualité de reportedip.com dans la langue de l’administrateur, uniquement en mode Community Network. Un site en Local Shield n’envoie aucune requête sortante pour cela.
Huit options modifiables dans wp-admin, mais absentes de l’export, de l’import, de MainWP et du tableau de bord de flotte cloud, se comportent désormais comme tous les autres réglages. Depuis la 2.1.56, les anciennes pages Settings et Firewall ne font plus qu’une, ReportedIP Hive → Protection. Ce qui n’est pas un réglage, comme Extended Protection, les exceptions WAF, l’import et l’export et le mail de test, se trouve sur la page Tools, que le menu affiche en mode expert.
Comment obtenir ces changements aujourd’hui ?
Chaque version depuis la 2.1.54 les contient, et un site qui avait déjà terminé sa configuration a gardé ses réglages lors de la mise à jour. Hive installe ses propres mises à jour via les mises à jour automatiques de WordPress. Pour une nouvelle installation, téléchargez le ZIP actuel depuis la page produit de Hive. Les limites des formules figurent sous fonctions par formule dans la documentation.
L’OWASP répertorie le spam de formulaires comme une menace automatisée à part entière, OAT-017 Spamming, avec les contre-mesures qu’il recommande.
Questions fréquentes
La preuve d’exécution des formulaires est-elle gratuite ?
La preuve d’exécution des formulaires est gratuite dans toutes les formules pour le formulaire de commentaire, l’inscription, la réinitialisation du mot de passe et Contact Form 7. La vérification par calcul qui s’y ajoute nécessite Professional. Gravity Forms, WPForms, Forminator, Formidable Forms, Elementor Forms et Ultimate Member sont couverts à partir de Business. Aucune formule n’utilise de captcha ni de service tiers.
Que deviennent les formulaires si le réseau communautaire est injoignable ?
Les formulaires continuent de fonctionner quand le réseau communautaire est injoignable. Hive considère un délai dépassé, une limitation de débit, un quota journalier épuisé ou une erreur réseau comme « pas d’avis » et juge l’envoi sur les seuls signaux locaux : preuve d’exécution, honeypot et filtre anti-spam des commentaires. La perte de la vérification communautaire n’empêche jamais un site d’accepter un commentaire ou une inscription.
La mise à jour vers la 2.1.54 a-t-elle modifié les réglages existants ?
La mise à jour vers la 2.1.54 a conservé les réglages de chaque site qui avait déjà terminé sa configuration. Le démarrage rapide n’apparaît que sur une nouvelle installation ou sur une installation qui n’a jamais terminé l’ancien assistant. Un changement de formule ultérieur ne modifie que les réglages que l’administrateur n’a jamais édités à la main, et la bannière après la montée en gamme liste chacun d’eux.