Hardening Mode : des défenses WordPress qui se resserrent lors d’une attaque coordonnée
Le Hardening Mode de ReportedIP Hive défend WordPress contre les attaques coordonnées : quand de nombreuses adresses attaquent la connexion ensemble, il resserre les limites de connexion et de réputation sur tout le site jusqu’à la fin de la vague. Un botnet qui répartit ses tentatives pour rester sous la limite de chaque adresse est arrêté en pleine course.
Ce guide explique ce que détecte le Hardening Mode, ce qui change pendant qu’il est actif, comment le voir et comment le piloter. La fonction fait partie de la formule Professional. L’interface de Hive est en anglais, les libellés sont donc cités tels qu’ils s’affichent.
Qu’est-ce qu’une attaque coordonnée contre WordPress ?
Une attaque par force brute classique vient d’une seule adresse et déclenche vite le capteur des échecs de connexion. Une attaque coordonnée vient de centaines ou de milliers d’adresses à la fois, chacune n’essayant que quelques mots de passe. Chaque adresse reste sous la limite, si bien que la protection par adresse ne se déclenche jamais, alors que le site reçoit au total des milliers de tentatives. MITRE ATT&CK décrit le credential stuffing (T1110.004) comme une forme répandue : des couples identifiant et mot de passe divulgués testés sur de nombreux sites via des adresses changeantes.
Comment le Hardening Mode détecte-t-il l’attaque ?
Hive observe le site entier, pas seulement des adresses isolées. Il reconnaît deux schémas :
- Une rafale : de nombreuses adresses différentes échouent à se connecter au même court instant.
- Une vague répartie : assez d’adresses différentes s’additionnent sur une fenêtre glissante plus longue, le schéma typique d’un botnet qui change lentement d’adresses.
La vérification s’exécute en temps réel pendant la connexion : Hive réagit pendant l’attaque et non après. Une tâche de fond répète la vérification comme filet de sécurité. Les échecs de connexion sur wp-login.php, sur les connexions WooCommerce de Mon compte et du paiement ainsi que via les mots de passe d’application sont tous comptés.
Ce qui change quand le Hardening Mode est actif
- La limite d’échecs de connexion devient plus stricte. Moins de mauvais mots de passe suffisent pour un blocage : chaque adresse du botnet est refusée après très peu d’essais.
- La limite de réputation baisse. Les adresses déjà connues du réseau communautaire sont refusées à partir d’un score de confiance plus bas : les adresses limites de la même vague restent elles aussi dehors.
- La valeur la plus stricte l’emporte toujours. Si vos propres réglages sont déjà plus stricts que les valeurs de durcissement, ils restent en vigueur. Le Hardening Mode n’assouplit jamais rien.
La fenêtre dure le temps configuré. Si l’attaque continue, Hive la prolonge ; une fois la vague passée, les limites normales reviennent d’elles-mêmes. Les vrais utilisateurs ne remarquent presque rien : qui saisit le bon mot de passe entre comme d’habitude, seules les erreurs répétées sont sanctionnées plus vite.
Comment voir que le Hardening Mode est actif
Pendant une fenêtre de durcissement, les administrateurs voient dans la barre d’administration de WordPress une entrée rouge Hardening Mode avec l’heure jusqu’à laquelle elle vaut et un lien vers les réglages. Sur la page Tools, onglet Rules, la section Hardening Mode on Coordinated Attack affiche le même état avec un bouton Deactivate now.
Chaque événement enregistré pendant la fenêtre porte un badge Hardening dans l’Event Log, et le filtre During Hardening only montre exactement ce qui s’est passé pendant que les limites plus strictes s’appliquaient. Le début de chaque fenêtre est journalisé comme Hardening Mode Activated avec une gravité élevée.
Comment configurer et piloter le Hardening Mode
À partir de la formule Professional, le Hardening Mode est activé par défaut et ne demande aucune configuration. L’interrupteur principal Enable automatic hardening on coordinated-attack detection se trouve sur la page Tools, onglet Rules, pour qui préfère s’en remettre aux seules limites par adresse.
Les détails se trouvent sur la page Protection, dans la carte Attack Response. Dans la vue normale, elle suit la recommandation ; le mode expert affiche les réglages un par un, dont le Hardening duration (minutes), les limites de connexion et de réputation pendant le durcissement et les réglages de la détection des attaques réparties.
Le Hardening Mode n’a pas besoin de Community Network. En Local Shield, la limite de connexion plus stricte s’applique aussi ; la partie réputation n’agit que là où le site interroge le réseau communautaire sur les adresses.
Démarrer et arrêter en ligne de commande
Les agences et hébergeurs disposant d’un accès shell pilotent le Hardening Mode avec WP-CLI : wp reportedip hardening status indique si une fenêtre est active et jusqu’à quand, wp reportedip hardening activate --minutes=120 en démarre une à la main, par exemple pendant une campagne d’attaque connue, et wp reportedip hardening deactivate y met fin. Chaque activation et désactivation est journalisée avec son déclencheur : automatique, administrateur, ligne de commande ou expiration.
Des événements pour la surveillance et les alertes
Les événements coordinated_attack_detected, hardening_mode_activated, hardening_mode_extended et hardening_mode_deactivated apparaissent dans l’Event Log : une surveillance qui lit le journal peut donc alerter votre équipe au début d’une vague. Sur un réseau multisite, une fenêtre de durcissement couvre tous les sites du réseau.
Que faire pendant une vague en cours
Le Hardening Mode gère l’attaque seul, mais une vague est une bonne occasion de vérifier le reste de la configuration :
- Ouvrez l’Event Log avec le filtre During Hardening only et regardez les noms d’utilisateur essayés. Si de vrais noms de compte apparaissent, ce sont ces comptes qui sont visés.
- Vérifiez sur la page 2FA Status que chaque administrateur et rédacteur a un second facteur. Un botnet qui devine le bon mot de passe échoue quand même à la deuxième étape.
- Assurez-vous que le réseau du bureau et votre surveillance sont sur la liste blanche, pour qu’une limite plus stricte ne touche pas votre propre équipe.
- Si votre site n’utilise pas XML-RPC, désactivez-le avec le réglage Disable XML-RPC de la page Protection ; beaucoup de vagues essaient aussi des mots de passe par cette interface.
- Après la vague, renommez ou supprimez les comptes aux noms faciles à deviner comme admin, et demandez aux utilisateurs aux mots de passe faibles de les changer.
Les autres sites profitent de votre vague
En mode Community Network, chaque adresse que Hive bloque pendant la vague est signalée au réseau de façon anonymisée. Le même botnet attaque généralement de nombreux sites en parallèle : les adresses que votre site repère dans les premières minutes aident d’autres sites à les refuser avant même que leurs propres limites ne soient atteintes.
Questions sur le Hardening Mode
Le Hardening Mode peut-il bloquer de vrais utilisateurs ?
Les utilisateurs qui saisissent le bon mot de passe se connectent normalement pendant une fenêtre de durcissement. Seuls des mots de passe erronés répétés depuis la même adresse entraînent un blocage plus tôt que d’habitude. Les adresses de la liste blanche ne sont jamais bloquées : le réseau du bureau et votre propre surveillance restent épargnés.
Combien de temps dure une fenêtre de durcissement ?
Elle dure le temps défini dans la carte Attack Response et se prolonge automatiquement tant que l’attaque continue. Une fois la vague passée, les limites normales reviennent sans intervention. Un administrateur peut clore la fenêtre plus tôt avec Deactivate now ou avec la commande WP-CLI.
Le Hardening Mode protège-t-il aussi les connexions WooCommerce ?
Les échecs de connexion sur la page Mon compte et au paiement de WooCommerce comptent pour la détection, et les limites plus strictes s’y appliquent aussi. Il en va de même pour les mots de passe d’application, que les attaquants utilisent pour contourner le formulaire de connexion normal.
Le Hardening Mode est-il disponible dans la formule gratuite ?
Le Hardening Mode fait partie de la formule Professional et supérieures, où il est activé par défaut. Dans la formule gratuite, les capteurs par adresse et l’échelle de blocage progressive protègent la connexion, et le démarrage rapide cite le Hardening Mode parmi ce qu’ajoute une clé Professional.
Pour aller plus loin
- Le blocage IP progressif
- Les 16 capteurs d’attaque
- Le renseignement communautaire sur les menaces
- La 2FA WooCommerce dans votre thème
La documentation de Hive détaille l’escalade des blocages et les commandes WP-CLI.