L'extension Ensomedia Security pour WordPress : ce qu'elle vérifie et comment l'utiliser

Ensomedia Security est une extension WordPress gratuite qui vérifie votre site de l'intérieur et vous dit en termes simples ce qui ne va pas et comment le corriger. Le répertoire WordPress.org la présente sous le nom Ensomedia Security powered by shieldwave.io ; dans votre tableau de bord, elle apparaît sous le nom ShieldWave.

Ses 25 tests recherchent les logiciels malveillants et les fichiers altérés, les vulnérabilités connues des extensions et des thèmes, le spam et les scripts cachés dans votre contenu, les sauvegardes que n'importe qui peut télécharger, ainsi que les comptes et réglages à risque. Elle bloque aussi ceux qui devinent les mots de passe et ajoute la connexion à deux facteurs. Elle ne modifie jamais d'elle-même vos fichiers, vos utilisateurs ni vos réglages. La quarantaine, le retour à l'original WordPress.org et le retrait de code injecté n'ont lieu que lorsque vous appuyez sur un bouton.

Les captures d'écran montrent la version 1.0.3 avec le thème sombre, dans l'interface en anglais. Les boutons de l'en-tête de l'extension permettent de passer au thème clair.

L'installer et lancer la première analyse

Dans votre tableau de bord, allez dans Extensions > Ajouter, cherchez « Ensomedia Security », puis cliquez sur Installer maintenant et Activer. Elle demande WordPress 6.2 et PHP 7.4 ou plus récent. L'activer ne lance aucune analyse et n'envoie rien nulle part.

Ouvrez ShieldWave dans le menu de gauche et appuyez sur Lancer la première analyse.

La première analyse prend en général quelques minutes, car ShieldWave enregistre vos fichiers comme référence pour comparer les analyses suivantes. Les suivantes sont plus rapides, puisqu'un fichier sain qui n'a pas changé n'est pas analysé de nouveau. Les analyses s'exécutent en arrière-plan par petites étapes, jamais pendant le chargement de la page d'un visiteur, vous pouvez donc fermer l'onglet. Ensuite, ShieldWave analyse chaque jour à 3 h du matin, heure de votre site. Les Réglages permettent de changer l'heure et la fréquence.

Lire la Vue d'ensemble

La Vue d'ensemble s'ouvre sur une phrase concernant votre site : Votre site semble sûr ; Votre site semble en bon état, c'est-à-dire rien d'urgent mais quelques points à améliorer ; 1 élément demande votre attention, ou plus, avec le plus urgent nommé en dessous ; ou Votre site présente des signes d'intrusion, traité plus bas.

En dessous, vous voyez quand la dernière analyse a eu lieu, quand la prochaine est prévue, et un score sur 100. Pour chaque test, le problème ouvert le plus grave retire des points : 30 pour un problème critique, 15 pour un problème élevé, 8 pour un problème moyen et 3 pour un problème faible.

Plus bas se trouve votre liste de tâches. Les problèmes du même type partagent une ligne, de sorte que plusieurs extensions obsolètes forment un seul élément, pas plusieurs. Les lignes se répartissent en quatre groupes :

• À corriger maintenant : les problèmes qui peuvent laisser entrer quelqu'un sur votre site, ou les signes que quelqu'un est déjà entré.
• À corriger : pas urgent, mais chacun facilite une attaque.
• Demandez à votre développeur de vérifier : les constats dont ShieldWave n'est pas sûr, comme un nouveau fichier PHP dans une extension premium apparu sans mise à jour. Quelqu'un qui connaît le site peut trancher en une minute, et ces constats n'envoient jamais d'e-mail.
• Bon à savoir : de petites améliorations pour quand vous aurez le temps.

La colonne de droite liste ce qui protège le site : les analyses automatiques, les alertes par e-mail, le contrôle des vulnérabilités connues, la protection de la connexion, la connexion à deux facteurs et le renforcement de la sécurité. Tout ce qui est désactivé porte un lien Activer vers les Réglages, et le nombre affiché sur l'onglet Réglages indique combien restent à activer. Ce que ShieldWave vérifie, sous la liste, se déplie en chaque test avec son dernier résultat.

La planète marque approximativement l'endroit où se trouve votre site, avec votre domaine au-dessus. La position vient du fuseau horaire réglé dans WordPress, rien n'est recherché en ligne. Les tirs qui la survolent sont une simulation d'un trafic type de robots, comme l'indique la note sous la planète, et non le relevé d'attaques contre votre site. Le bouton à côté de la note arrête le mouvement.

Corriger un problème

Cliquez sur une ligne pour l'ouvrir.

Un élément ouvert indique quel test l'a trouvé et quand, ce qui a été trouvé exactement et, dans son propre encadré, Comment le corriger. Si la correction se fait sur un écran WordPress, le bouton principal y mène : Ouvrir les mises à jour pour les extensions obsolètes, Ouvrir les comptes pour un administrateur inattendu, Ouvrir les réglages généraux quand les personnes qui s'inscrivent sur votre site reçoivent trop de droits. Si l'un des interrupteurs propres à ShieldWave corrige le problème, comme pour l'éditeur de fichiers ou XML-RPC, le bouton ouvre cet interrupteur.

Certaines corrections demandent quelqu'un qui a accès au serveur. Copier pour votre développeur place sur votre presse-papiers un message prêt : l'adresse de votre site, ce qui a été trouvé et où, les détails techniques et la façon de corriger. Collez-le dans un e-mail et vous n'avez rien à expliquer. Pour la suite de cette conversation, voir parler de sécurité avec votre développeur. Les Détails techniques, en bas, indiquent le fichier, la règle correspondante et le code, ou le numéro CVE d'une vulnérabilité et la version qui la corrige.

Si un constat concerne quelque chose que vous avez modifié volontairement, appuyez sur Ignorer. Il cesse de compter dans le score et dans les alertes et passe sous le lien Ignorés en dessous de la liste, où Restaurer le ramène. Un fichier ignoré revient de lui-même s'il change de nouveau.

Après une correction, appuyez sur Analyser maintenant. L'élément quitte la liste dès qu'une analyse ne trouve plus le problème.

Quand elle indique que votre site présente des signes d'intrusion

Ce titre exige des preuves claires : du code malveillant dans un fichier, des fichiers PHP de WordPress, d'une extension ou d'un thème qui diffèrent de la version officielle, des fichiers PHP qui ne devraient pas être là, un web shell (un script qui permet de contrôler le serveur depuis un navigateur) dans le dossier des téléversements, ou un compte avec des pouvoirs d'administrateur mais sans le rôle Administrateur. Les constats dont ShieldWave n'est pas sûr ne le déclenchent jamais.

Un encadré Que faire maintenant au-dessus de la liste donne alors trois étapes :

1. Ne supprimez ni ne modifiez encore aucun fichier. Ouvrez les éléments sous À corriger maintenant pour voir quels fichiers ou quels comptes sont concernés.
2. Depuis un ordinateur de confiance, changez les mots de passe de tous les administrateurs, de votre compte d'hébergement et de la base de données.
3. Envoyez les détails à votre développeur ou à votre hébergeur avec Copier pour votre développeur. Ils peuvent restaurer les fichiers à partir d'une sauvegarde saine.

Supprimer des fichiers dans la précipitation détruit les traces qui montrent comment l'attaquant est entré, et le chemin reste ouvert. L'article Les signes d'un site piraté traite de la première heure plus en détail.

Activer les protections dans les Réglages

Les Réglages forment une seule page avec un menu de sections à gauche.

Les Analyses automatiques et les Alertes par e-mail sont actives dès le départ. Après une analyse planifiée, vous recevez un e-mail uniquement sur les problèmes nouveaux ou aggravés, au niveau que vous choisissez : Critiques uniquement, Graves (par défaut) ou Y compris les moins graves. Jamais deux fois pour le même problème, quatre par jour au maximum, et aucun après une analyse lancée par vous, puisque vous regardez déjà le résultat. Un interrupteur distinct vous écrit immédiatement quand quelqu'un devient administrateur.

La Protection de la connexion est active dès le départ sur une nouvelle installation. Si vous avez mis à jour depuis une ancienne version, activez-la ici. Cinq connexions échouées depuis une même adresse (vous pouvez choisir de 3 à 50) bloquent cette adresse pendant 20 minutes, ou pendant la durée que vous fixez. Le blocage est toujours temporaire, les adresses de confiance ne sont jamais bloquées, et l'adresse depuis laquelle vous activez la protection rejoint la liste de confiance. Le même interrupteur garde vos noms d'utilisateur privés : le formulaire de connexion cesse de les confirmer, et les visiteurs non connectés ne peuvent pas les lire par l'API REST, le plan du site ou l'astuce ?author=.

La Connexion à deux facteurs est configurée par chaque administrateur pour son propre compte. Appuyez sur Configurer, ajoutez la clé dans une application d'authentification comme Google Authenticator ou Authy, et saisissez le code à six chiffres qu'elle affiche. Le code n'est exigé qu'après cette confirmation, et vous recevez dix codes de secours à usage unique en cas de perte du téléphone. ShieldWave ne les montre qu'une fois, conservez-les donc dans un gestionnaire de mots de passe.

Le Renforcement de la sécurité a un interrupteur pour chaque protection. Désactiver l'éditeur de fichiers retire du tableau de bord l'éditeur de code des extensions et des thèmes, de sorte qu'un mot de passe d'administrateur volé ne puisse pas servir à y planter du code. Les mises à jour continuent de fonctionner. Désactiver XML-RPC ferme une ancienne interface que les attaquants utilisent pour deviner des mots de passe en masse. Si une extension que vous utilisez en a besoin, Jetpack par exemple, le réglage la nomme. Ces deux interrupteurs ne modifient aucun fichier, et en désactiver un remet tout en place immédiatement. Bloquer PHP dans le dossier uploads ajoute un blocage au fichier .htaccess du dossier uploads sur Apache et LiteSpeed, et affiche la règle à ajouter sur nginx et IIS. Vérifier maintenant contrôle que le blocage fonctionne. Envoyer les en-têtes de sécurité ajoute les en-têtes que votre serveur n'envoie pas encore. Les Correctifs virtuels arrêtent les requêtes qui exploitent une faille connue d'une extension installée, quand le flux de menaces a un correctif pour elle. Les Mises à jour de sécurité, à choisir extension par extension sur WordPress 6.6 ou plus récent, laissent WordPress installer une version qui corrige une vulnérabilité connue de la vôtre, et revenir en arrière si la mise à jour échoue.

Les Vérifications de connexion et les Pièges à spam restent désactivés tant que vous ne les activez pas. Vous pouvez permettre la connexion avec une clé d'accès au lieu d'un mot de passe, ajouter une vérification anti-bot aux formulaires de connexion, d'inscription et de réinitialisation du mot de passe (une petite énigme que le navigateur résout, ou Cloudflare Turnstile avec vos propres clés), refuser les nouveaux mots de passe issus de fuites de données, déplacer la page de connexion vers une adresse de votre choix et repérer les formulaires remplis par un programme dans les commentaires, l'inscription, Contact Form 7 et WPForms. Si l'une de ces fonctions vous bloque, la FAQ de l'extension donne la ligne à ajouter à wp-config.php ou la commande WP-CLI qui la désactive.

Le Pare-feu des requêtes est lui aussi désactivé. Il examine les requêtes sur votre serveur avec des règles locales pour les injections courantes et l'envoi de fichiers exécutables, des blocages par IP et par pays et des limites de requêtes, et il n'envoie aucune donnée de requête à l'extérieur. Lancez-le en mode Journaliser seulement, regardez ce qu'il aurait arrêté, puis passez à Bloquer au bout d'une ou deux semaines. Faut-il un pare-feu pour WordPress ? explique sa place à côté d'un pare-feu chez l'hébergeur ou dans un CDN.

La Protection en temps réel comprend trois fonctions, toutes désactivées tant que vous ne les activez pas, chacune avec une note Ce qui est envoyé :

• Vulnérabilités connues, extensions premium comprises vous avertit quand une extension, un thème ou une version de WordPress que vous utilisez présente une faille de sécurité publiée, et nomme la mise à jour qui la corrige. Elle envoie votre version de WordPress ainsi que les noms et versions de vos extensions et thèmes, jamais l'adresse de votre site.
• Flux de menaces en temps réel télécharge de nouvelles règles de détection de logiciels malveillants et des correctifs virtuels environ une fois par heure. Il n'envoie rien sur votre site.
• Second avis de l'IA donne un verdict en langage clair sur un fichier que l'analyse ne peut pas juger seule, à partir d'un court extrait dont l'adresse de votre site, les adresses e-mail et tout ce qui ressemble à un mot de passe ou à une clé ont été retirés au préalable. Le fichier wp-config.php n'est jamais envoyé.

Après l'activation, l'extension demande une fois s'il faut activer la protection. Activer la protection met en marche la recherche de vulnérabilités, le flux de menaces et les correctifs virtuels. Le second avis de l'IA y a sa propre case et reste désactivé si vous ne la cochez pas. Activer la protection en temps réel dans la Vue d'ensemble active les trois fonctions, second avis de l'IA compris, et les interrupteurs des Réglages permettent de choisir. Sur un hébergement bon marché ou chargé, ouvrez Vérifications supplémentaires, puis Avancé, et réglez Vitesse d'analyse sur Réduite.

Historique

L'Historique enregistre chaque analyse et chaque modification importante pour la sécurité, jour après jour, en phrases simples : problèmes trouvés ou corrigés, nouvel administrateur, extensions installées, mises à jour ou supprimées, nouveau thème, mises à jour de WordPress, blocages après des connexions échouées, alertes envoyées et réglages modifiés. Depuis la version 1.1.27, il enregistre aussi les connexions, les comptes créés et supprimés, les changements de rôle et qui a modifié, publié ou mis à la corbeille un article ou une page, désigné par son titre et jamais par son contenu. Les boutons du haut restreignent l'affichage aux analyses ou aux modifications du site.

Si un administrateur apparaît sans que personne se souvienne de l'avoir ajouté, l'Historique montre quand cela s'est produit, ce qui est la première chose que demanderont votre développeur ou votre hébergeur.

Ce qui est gratuit et ce qui demande un compte

Tout ce qui figure dans ce guide fonctionne sans compte, et les tests, les analyses planifiées et les alertes par e-mail n'ont aucune limite. L'extension ne fait aucune requête extérieure quand vous l'activez ou ouvrez ses écrans. Pendant une analyse, elle demande à WordPress.org les sommes de contrôle officielles et interroge quelques adresses de votre propre site. Les fonctions de protection en temps réel et la connexion au compte ne contactent shieldwave.io qu'après que vous les avez activées. La vérification des mots de passe divulgués interroge le service Have I Been Pwned et Cloudflare Turnstile interroge Cloudflare, là aussi seulement après que vous les avez activés.

Un compte sert à suivre vos sites au même endroit. Sous Réglages > Compte ShieldWave, appuyez sur Connecter à shieldwave.io, connectez-vous ou créez un compte gratuit et confirmez : vous revenez dans WordPress connecté, sans clé à copier. Le tableau de bord sur shieldwave.io affiche alors le site avec son score et ses problèmes ouverts, à côté de l'analyse extérieure du même site. Tous les comptes, y compris le compte gratuit, affichent tous les sites connectés. Tant que le site est connecté, l'extension ajoute une balise invisible à votre page d'accueil, ce qui permet à shieldwave.io de confirmer que le domaine est le vôtre. La connexion n'envoie que des résultats : le tableau de bord ne peut modifier aucun réglage ni lancer quoi que ce soit sur votre site, et la déconnexion retire le site et ses résultats de shieldwave.io. Vous pouvez toujours coller une clé API sous Utiliser plutôt une clé API. La page de l'extension liste ce qu'envoie chaque service optionnel.

Ce que l'extension ne fait pas

• Ce n'est pas un pare-feu applicatif web complet. Son Pare-feu des requêtes applique des règles locales sur votre serveur et ne remplace pas un filtre chez l'hébergeur ou dans un CDN. Dès l'installation, l'extension refuse seulement une mauvaise connexion et un inconnu qui demande votre liste d'utilisateurs. Tout le reste n'est refusé qu'une fois activé : les requêtes que bloque le pare-feu ou un correctif virtuel, les formulaires qui échouent à la vérification anti-bot ou tombent dans un piège à spam, les mots de passe issus de fuites, les visites de l'ancienne adresse de connexion, l'éditeur de fichiers et XML-RPC.
• Elle ne nettoie pas un site piraté. Elle montre où sont les logiciels malveillants et ce qu'il faut faire. Elle ne retire le code injecté dans un thème, une extension sur mesure, le dossier uploads, les articles ou les options qu'après votre accord pour chaque modification, avec une sauvegarde et la possibilité d'annuler. Les autres modifications, c'est vous, votre développeur ou votre hébergeur qui les effectuez.
• Elle ne fait pas de sauvegardes. Le test Sauvegardes cherche une extension de sauvegarde et signale quand la plus récente date de plus de 7 jours. Restaurer un site après une intrusion demande une copie saine conservée hors du serveur.
• Elle n'ajoute rien aux pages que voient vos visiteurs, sauf la balise de vérification invisible sur la page d'accueil tant que le site est connecté à un compte. Une fois activées, la vérification anti-bot ajoute une énigme ou Cloudflare Turnstile aux formulaires de connexion, et les pièges à spam ajoutent un champ caché aux formulaires de commentaire, d'inscription et de contact.

Pensez aussi à supprimer les extensions que vous n'utilisez plus. L'article Extensions WordPress obsolètes explique quoi mettre à jour en premier et quoi retirer.