Configurer la sécurité de WordPress : le démarrage rapide de ReportedIP Hive pas à pas
Avec ReportedIP Hive, la sécurité de WordPress se configure sur une seule page, en deux décisions : la façon dont le site se connecte et la formule sous laquelle il tourne. Tout le reste, du blocage des attaques par force brute à la durée de conservation des journaux, est préconfiguré et reste modifiable ensuite.
Ce guide parcourt le démarrage rapide écran par écran, indique ce qu’il active dans chaque formule et montre comment tester le résultat sur le trafic réel avant de bloquer le moindre visiteur. L’interface de Hive est en anglais, les libellés sont donc cités tels qu’ils s’affichent.
Que configure le démarrage rapide de ReportedIP Hive ?
Le démarrage rapide est une page unique intitulée Set up ReportedIP Hive. Il remplace l’assistant en dix étapes des anciennes versions et ne demande que deux choses : un mode de fonctionnement et, en mode Community Network, une Community Access Key. À partir de la clé, il lit la formule de votre compte et applique en une fois la recommandation correspondante.
Les erreurs de configuration comptent parmi les failles les plus répandues des applications web, et c’est pourquoi l’OWASP les classe dans son Top 10. Le démarrage rapide y répond par des réglages par défaut déjà sûrs sur une installation neuve, au lieu d’une page de réglages vide où il faudrait trouver chaque option soi-même.
Avant de commencer : les prérequis
- WordPress 5.9 ou plus récent et PHP 8.1 ou plus récent.
- Un compte administrateur. Sur un réseau multisite, le démarrage rapide ne s’exécute que dans l’administration du réseau.
- Pour le mode Community Network : un compte gratuit sur reportedip.com. Le démarrage rapide renvoie vers le formulaire d’inscription, vous pouvez donc créer le compte pendant la configuration.
Après l’activation de l’extension, WordPress vous envoie une fois vers le démarrage rapide, tant que la configuration n’est pas terminée et qu’aucune clé n’est enregistrée. Une activation groupée depuis la liste des extensions saute cette redirection. Vous retrouvez la page à tout moment sous System Status, carte Quickstart, bouton Open quickstart.
Le démarrage rapide étape par étape
Étape 1 : choisir Community Network ou Local Shield
Deux cartes occupent le haut de la page. Community Network porte la mention recommandée : le site vérifie les visiteurs en temps réel face aux données de réputation de milliers d’autres sites et partage en retour ses propres détections. Local Shield n’établit aucune connexion externe. Ce mode s’appuie uniquement sur les capteurs locaux, sans vérification de réputation, sans relais e-mail ou SMS et sans fil d’actualités.
Étape 2 : coller et vérifier la Community Access Key
En mode Community Network, collez la clé dans le champ Community Access Key et cliquez sur Check. L’extension la vérifie auprès de votre compte et lit la formule. Sans clé, le lien No key yet? Create a free account ouvre l’inscription avec l’adresse de votre site déjà renseignée. Si vous tentez de continuer en Community Network sans clé vérifiée, la page s’arrête et vous demande de vérifier la clé ou de passer en Local Shield.
La même carte précise ce que la connexion transmet : chaque requête identifie l’installation par son adresse et la version de l’extension, et les données des visiteurs se limitent à l’adresse IP et au type d’événement des menaces détectées.
Étape 3 : vérifier ce qui sera activé
La carte What gets switched on liste chaque réglage appliqué par la recommandation. Les éléments au-dessus de votre formule sont grisés et portent un badge de formule : vous voyez ce qu’une montée en gamme ajouterait, sans que rien ne soit activé. Local Shield reçoit toujours la recommandation Free.
| Formule | Ce que la recommandation active |
|---|---|
| Free | Protection contre la force brute avec blocage automatique au niveau Balanced |
| Free | Pare-feu contre les injections et les scanners |
| Free | Blocage par la réputation de la communauté à partir de 75 % de confiance |
| Free | Vérification des bots, protection contre le spam et les inscriptions abusives |
| Free | En-têtes de sécurité de base |
| Free | Journaux conservés 30 jours, adresses IP anonymisées après 7 jours |
| Professional | Hardening Mode pendant les vagues d’attaques |
| Professional | Blocage des nœuds de sortie Tor et en-tête HSTS |
| Professional | 2FA en boutique pour les clients WooCommerce |
| Professional | E-mails et SMS 2FA via le relais européen, journaux conservés 90 jours |
| Business | Piste d’audit et blocage de comptes, journaux conservés un an |
| Business | Protection des formulaires pour les extensions de formulaires prises en charge et actives sur le site |
La protection des formulaires pour Contact Form 7 fait partie de toutes les formules. Enterprise reçoit la recommandation Business.
Étape 4 : décider des trois interrupteurs visibles
Trois réglages restent sous forme d’interrupteurs sous la liste, parce qu’ils changent ce que voient les administrateurs ou les visiteurs. Les trois sont activés par défaut.
- 2FA for administrators. Un délai de grâce de 7 jours s’applique, les codes arrivent par application, e-mail, passkey ou SMS, et votre propre inscription commence juste après le démarrage rapide.
- Badge « Protected by ReportedIP » en pied de page. Il montre aux visiteurs que le site est protégé et aide le réseau à grandir.
- Alert mails. Ces e-mails partent vers l’adresse d’administration du site lors d’événements critiques.
Étape 5 : activer la protection ou ouvrir le mode expert
Switch protection on enregistre la recommandation et ouvre le tableau de bord. I will set everything up myself (expert mode) enregistre la même recommandation comme point de départ, active le mode expert pour votre utilisateur et ouvre la page Protection avec tous les champs visibles. Les deux chemins mènent à la même protection, le mode expert affiche seulement davantage de réglages.
Comment reprendre les réglages d’un autre site ?
Sous les boutons, le lien Already have an export file? Import settings from JSON accepte l’export de réglages d’une autre installation Hive. Après Import and finish, le site tourne avec les valeurs importées et ouvre le tableau de bord. C’est la façon la plus rapide de donner des réglages identiques à un groupe de sites clients. L’export lui-même se crée sous System Status, section Settings import & export.
Ce qu’affiche le tableau de bord de sécurité après la configuration
Le Security Dashboard s’ouvre sur un bandeau qui indique la date de mise en route de la protection et la recommandation de formule appliquée. Viennent ensuite quatre tuiles : attaques bloquées sur les 30 derniers jours, blocages du jour, adresses IP actuellement bloquées et nombre de couches de protection actives.
Deux scores évaluent la configuration sous deux angles. Le Detection Score compte les capteurs actifs, du suivi des échecs de connexion au blocage par la communauté, et indique combien de points une formule supérieure ajouterait. Le Hardening Score compte les mesures qui réduisent la surface d’attaque, par exemple une URL de connexion masquée, la 2FA imposée à un rôle, les en-têtes de sécurité ou la désactivation de XML-RPC. Le site de démonstration ci-dessus n’en a presque aucune d’activée, d’où la note F. Les boutons Mozilla Observatory et securityheaders.com permettent de vérifier le résultat avec un outil externe.
Plus bas se trouvent Next steps, les Protection areas, le graphique Security Events sur 7, 30 ou 90 jours, la répartition des menaces et Recent Activity avec les cinq derniers événements des dernières 24 heures. Les sites en Community Network voient aussi les trois derniers articles sous News from reportedip.com.
Où trouver ensuite les IP bloquées, les journaux et les réglages
| Entrée de menu | Ce que vous y trouvez |
|---|---|
| Activity | Event Log, IP Lookup et Audit Trail |
| Activity, onglet IP Lists | Les adresses bloquées, la liste blanche et les entrées de groupe |
| Protection | Tous les réglages de protection, regroupés en cartes |
| Community | Clé, formule, quota et statistiques d’API |
| System Status | Contrôles de l’environnement, le lien vers le démarrage rapide et l’import et l’export des réglages |
| 2FA Status | L’inscription 2FA de chaque utilisateur |
| Tools | Onglets Server, Rules, Data et Diagnostics, visibles en mode expert |
Dans la liste des adresses bloquées, vous pouvez débloquer une adresse ou la déplacer vers la liste blanche, et importer depuis un fichier CSV une liste d’adresses à bloquer.
Comment tester la configuration sans bloquer de vrais visiteurs
Ouvrez Protection, carte Blocking & Escalation, et activez le Report-only mode. Hive enregistre alors chaque événement exactement comme il l’aurait bloqué, mais ne refuse personne. Surveillez l’Event Log pendant quelques jours de trafic normal. Si aucun client, rédacteur ou service de surveillance n’y apparaît comme blocage potentiel, désactivez le mode et les mêmes règles se mettent à bloquer.
Les adresses de confiance, comme le réseau de votre bureau ou un service de surveillance de disponibilité, ont leur place sur la liste blanche avant que vous n’activiez le blocage.
Questions sur le démarrage rapide de la sécurité WordPress
Puis-je relancer le démarrage rapide plus tard ?
Vous ouvrez le démarrage rapide à tout moment depuis System Status, carte Quickstart, bouton Open quickstart. Le relancer permet de changer le mode, la Community Access Key et la protection recommandée, tandis que les réglages existants restent en place. C’est le moyen le plus rapide de profiter des nouveaux modules après un passage de Free à Professional ou Business.
Local Shield envoie-t-il des données à reportedip.com ?
Local Shield n’établit aucune connexion sortante vers reportedip.com. Détection, blocage et journalisation tournent sur votre propre serveur, sans vérification de réputation, sans relais e-mail ou SMS et sans fil d’actualités. Vous pourrez passer plus tard en Community Network en relançant le démarrage rapide ou depuis la page Community, sans réinstaller l’extension.
Que devient le lien vers l’ancien assistant de configuration ?
L’ancienne adresse de l’assistant redirige vers le démarrage rapide, si bien que les favoris et la documentation qui pointent vers l’ancienne configuration en dix étapes fonctionnent toujours. Le démarrage rapide a remplacé l’assistant dans la version 2.1.54 et pose deux questions au lieu de dix, car la formule décide désormais du reste.
La 2FA bloque-t-elle les administrateurs après la configuration ?
Les administrateurs disposent de 7 jours pour configurer un second facteur, et la personne qui exécute le démarrage rapide est guidée tout de suite dans l’inscription. Les codes proviennent d’une application d’authentification, d’un e-mail, d’un SMS ou d’une passkey, de sorte que chaque administrateur trouve au moins une méthode qui lui convient.
Pour aller plus loin
- Les 16 capteurs d’attaque
- Le blocage IP progressif
- L’authentification à deux facteurs dans Hive
- Confidentialité par défaut et RGPD
La référence du démarrage rapide et la comparaison des formules dans la documentation de Hive détaillent chaque réglage, et la référence du tableau de bord explique chaque graphique.