Informations sur la Threat Intelligence au sein de la communauté WordPress : Hive vs Hive Light
Les informations sur les menaces issues de la communauté WordPress ne sont utiles que si elles vous parviennent avant la vérification du mot de passe : une adresse IP ayant attaqué un autre site protégé sera bloquée lors de votre Login avant même que WordPress ne procède à la moindre vérification. Ce guide explique les deux modes de fonctionnement — Local Shield, entièrement hors ligne, et Community Network, accessible sur inscription — et compare les deux éditions qui les mettent en œuvre : ReportedIP Hive (Full Edition, version 2.1.37) et ReportedIP Hive Light (version 1.3.7 sur WordPress.org).
Ce que signifie « la Threat Intelligence communautaire » pour WordPress
Les renseignements communautaires sur les menaces consistent en un partage de données relatives aux attaquants : chaque site protégé signale les adresses IP qui l’attaquent, et tous les autres sites peuvent vérifier si leurs visiteurs proviennent de ce groupe. Lorsqu’un site est victime d’une attaque par Brute Force et signale l’attaquant, des milliers d’autres sites peuvent refuser cette même adresse IP avant même la première vérification du mot de passe.
C’est l’ampleur du phénomène qui fait toute la différence. Entre mai et juillet 2026, le réseau ReportedIP a enregistré 1,69 million d’attaques contre des sites WordPress, et en juillet 2026, la Community Blacklist répertoriait plus de 20 000 adresses IP considérées comme des menaces à haut risque. Un site isolé ne perçoit qu’une partie d’un botnet ; le réseau, lui, voit la campagne dans son ensemble.
Local Shield : le mode par défaut entièrement hors ligne
Les deux versions démarrent en mode « Local Shield » ; dans ce mode, aucune des deux n’envoie la moindre requête HTTP sortante. Chaque compteur, chaque décision de blocage et chaque entrée de journal reste sur votre propre serveur : pas de compte, pas d’API Key, rien à accepter. Les plugins ne contactent pas ReportedIP, sauf si vous leur demandez explicitement de le faire.
Dans la Full Edition, Local Shield inclut toujours les 16 capteurs, la suite complète de 2FA, le blocage progressif et le Dashboard. Dans Hive Light, il inclut le compteur par adresse IP et l’échelle de blocage. Les sites disposant d’une architecture « air-gapped » ou strictement hors ligne ne perdent aucune protection locale en restant en permanence dans ce mode.
Community Network : l’attaquant d’un site est l’ennemi de tous
L’activation de Community Network nécessite une Community Access Key gratuite obtenue sur ReportedIP.com et ajoute deux fonctionnalités : des vérifications de réputation des adresses IP avant authentification par rapport à la base de données communautaire, et l’envoi de Threat Reports anonymisés vers le réseau. Les requêtes sont mises en cache — 24 heures pour les adresses IP sûres, 2 heures pour celles connues pour être malveillantes — afin que l’empreinte de l’API reste réduite.
Les Reports sont traités par lots et non en continu : une tâche cron toutes les 15 minutes les envoie par groupes de 20, protégés par un verrou temporaire de 5 minutes contre les processus concurrents. Le budget API horaire est réparti en trois compartiments indépendants — requêtes de réputation, soumissions de rapports et synchronisation des quotas — afin qu’un pic de requêtes ne puisse jamais bloquer la file d’attente des rapports. Si l’API est inaccessible, rien ne se bloque : le blocage local et la réputation mise en cache continuent de fonctionner, et les Reports en file d’attente effectuent jusqu’à 3 tentatives avant d’apparaître dans l’onglet « File d’attente API ».
Ce qui passe réellement par le câble
En mode « Community », un rapport contient l’adresse IP de l’attaquant, un code entier indiquant la catégorie de l’événement et l’horodatage ; les événements de Login incluent un hachage SHA-256 du nom d’utilisateur saisi, salé avec wp_salt(). Les noms d’utilisateur, mots de passe, contenus de commentaires, domaines et coordonnées en clair ne quittent jamais le serveur, et les agents utilisateur sont tronqués à 50 caractères, même dans les journaux locaux.
La base juridique du traitement des adresses IP des attaquants est l’article 6, paragraphe 1, point f), du RGPD — intérêt légitime en matière de sécurité des réseaux et de l’information. Les deux versions indiquent clairement dans leurs paramètres chaque appel externe, et le partage au sein de la communauté reste strictement facultatif.
ReportedIP Hive vs. ReportedIP Hive Light
Les deux éditions sont gratuites, sous licence GPL-2.0, et partagent le même modèle à deux modes ; la différence réside dans leur champ d’application. Hive Light se concentre délibérément sur une seule tâche, qu’elle accomplit à la perfection : la protection contre les attaques Brute-Force lors du Login. Elle s’installe depuis le répertoire des plugins de WordPress.org et se met à jour via l’écran standard « Mises à jour ». La Full Edition est une suite de sécurité complète, distribuée via les versions GitHub Releases et dotée d’un vérificateur de mises à jour intégré.
| Hive Light 1.3.7 | Hive Full Edition 2.1.37 | |
|---|---|---|
| Distribution | Répertoire WordPress.org | GitHub Releases, vérificateur de mises à jour intégré |
| Champ d’application | Protection contre les attaques Brute-Force lors du Login uniquement | 16 capteurs : Logins, attaques par « password spray », XML-RPC, rafales REST, spam dans les commentaires, scanners de pages 404, User Enumeration, Web Application Firewall, etc. |
| Authentification à deux facteurs | Aucun | 4 méthodes : Authenticator App, e-mail, SMS, Passkeys, y compris les clés matérielles YubiKey |
| Blocage | Échelle fixe : 5 min, 15 min, 30 min, 24 h, 48 h, 7 jours | Escalade progressive et Hardening Mode contre les attaques coordonnées (PRO) |
| Multisite | Site unique | Activation du réseau, un état de menace commun |
| Mode « Local Shield » | Oui, par défaut | Oui, par défaut |
| Mode « Community Network » | Oui, inscription volontaire | Oui, inscription volontaire |
| Dashboard | Onglets « Paramètres » et liste des adresses IP bloquées, pas de Dashboard | Dashboard complet avec journaux, graphiques et exportations |
| Prix | Gratuit, sous licence GPL-2.0 | Gratuit, sous licence GPL-2.0 ; l’abonnement PRO facultatif permet de bénéficier d’un service de Mail Relay géré pour les e-mails et le SMS Relay |
En arrière-plan, Hive Light s’intègre à wp_login_failed pour incrémenter un compteur atomique par adresse IP et wp_authenticate_user pour bloquer les adresses IP connues pour être malveillantes avant même que l’authentification du cœur de WordPress ne s’exécute — l’attaquant n’atteint donc jamais l’étape de vérification du mot de passe. La réponse bloquée est un code HTTP 403 avec des en-têtes « no-cache » explicites ; ainsi, WP Rocket, W3 Total Cache, WP Super Cache et LiteSpeed affichent la page de blocage au lieu d’un formulaire de Login mis en cache. La version « Full Edition » applique ce même blocage sans risque pour le cache sur l’ensemble de ses 16 Attack Sensors.
Quelle édition et quel mode conviennent le mieux à votre site ?
- Il vous suffit d’une protection par Login, sans aucune configuration. Hive Light en mode Local Shield. Il fonctionne dès que vous l’activez.
- Votre site ne doit appeler aucun Endpoint externe. Quelle que soit la version, il doit fonctionner en mode « Local Shield » — c’est le mode par défaut, et il s’agit d’un mode définitif, et non d’une version d’essai.
- Vous souhaitez bénéficier d’une réputation partagée tout en minimisant votre empreinte. Hive Light en mode « Community Network » : une Community Access Key gratuite, les requêtes mises en cache, les Reports regroupés par lots.
- Vous avez besoin de l’authentification à deux facteurs (2FA), d’un pare-feu, d’une couverture Multisite ou d’une protection WooCommerce. La Full Edition — qui comprend quatre méthodes d’authentification à deux facteurs, le WAF, l’activation réseau et le Hardening Mode — n’est pas incluse dans Hive Light, conformément à sa conception.
Aucun de ces deux choix ne vous oblige à rester dans un mode particulier : vous pouvez passer d’un mode à l’autre à tout moment sans perdre vos données locales, et l’étape « Se connecter » de l’assistant affiche les deux modes côte à côte avant que quoi que ce soit ne soit envoyé.
Passer de Hive Light à la Full Edition
Commencez par la version Light si vous hésitez : la mise à niveau se fait sans perte de données. Les deux éditions partagent le même schéma de base de données wp_reportedip_hive_ ; ainsi, une installation qui dépasse les limites de la Light Edition conserve sa table de blocage et son historique des tentatives lorsque la Full Edition prend le relais. Une Community Access Key délivrée pour une édition fonctionne également pour l’autre.
Foire aux questions
Hive Light est-il une version d’essai limitée de la Full Edition ?
Non. Hive Light est un plugin complet en soi : aucun de ses éléments n’est verrouillé, restreint ou intrusif. Il s’agit du noyau de protection de connexion sous forme de plugin WordPress.org autonome ; la Full Edition est un téléchargement distinct qui ajoute les 15 autres capteurs, l’authentification à deux facteurs (2FA) et la prise en charge Multisite — elle est également gratuite et sous licence GPL-2.0.
Le mode « Local Shield » envoie-t-il des données à ReportedIP.com ?
Non. En mode « Local Shield », les deux éditions n’effectuent aucune requête sortante : ni données de télémétrie, ni requêtes de vérification de version vers l’API communautaire, ni consultations de réputation. Les données ne sont transférées qu’une fois que vous avez activé le mode « Community Network » à l’aide d’une clé d’accès.
Hive Light et la Full Edition utilisent-elles le même Community Network ?
Oui. Les deux versions utilisent le même pool de réputation, qui contient plus de 20 000 adresses IP de menaces hautement fiables, et utilisent la même Community Access Key gratuite. Un site « Light » signale les attaquants qu’il détecte et bénéficie des informations transmises par tous les sites « Full Edition », et inversement.
Puis-je changer de mode ultérieurement sans perdre de données ?
Oui. Le fait de basculer entre « Local Shield » et « Community Network » n’a pour seule conséquence que de modifier la manière dont les requêtes et les Reports sont générés ; les compteurs, les blocages et les journaux locaux ne sont pas affectés, quel que soit le mode sélectionné.
Guides connexes
- Hive Light sur WordPress.org : protection gratuite du Login
- Les 16 capteurs qui génèrent les Reports
- Multisite : un bloc appliqué à l’ensemble du réseau
La documentation du plugin WordPress explique comment configurer les différents modes. Consultez l’intégralité des guides du plugin ReportedIP Hive ou découvrez le client API sur GitHub.