Trop d'e-mails de votre extension de sécurité WordPress ? À quoi ressemble une alerte utile

Si votre extension de sécurité vous envoie plusieurs e-mails par jour, vous avez sans doute cessé de les lire. C'est le vrai coût d'un excès d'alertes : le message annonçant un nouveau compte administrateur arrive entre vingt notifications de blocage et part à la corbeille avec elles. L'extension devrait écrire moins souvent et en dire plus quand elle écrit, et tout cela relève surtout des réglages.

Pourquoi les extensions de sécurité envoient autant de messages

L'essentiel du volume vient de quelques habitudes :

• Un e-mail par événement. Chaque connexion bloquée, chaque verrouillage, chaque mise à jour d'extension et chaque fichier modifié donne un message distinct. Tous les sites d'Internet reçoivent chaque jour des tentatives de connexion de robots, ce qui suffit à produire des dizaines d'e-mails.
• Le même problème, encore et encore. Une extension obsolète que vous ne pouvez pas mettre à jour cette semaine est signalée après chaque analyse.
• Des signaux faibles traités comme des constats. Du code qui décode du base64 ou appelle eval figure dans beaucoup d'extensions légitimes. Un scanner qui signale chaque occurrence transforme le code normal du site en liste de suspects.
• Des pannes signalées comme des problèmes. Quand le scanner n'arrive pas à joindre WordPress.org pour récupérer les sommes de contrôle, certains outils déclarent tous les fichiers non vérifiés, puis les « corrigent » tous à l'analyse suivante.

Une connexion échouée venant d'un robot n'est pas une information. Les blocages sur des noms d'utilisateur choisis au hasard forment un bruit de fond que connaît tout site Internet, et le verrou a déjà joué son rôle.

À quoi ressemble une alerte utile

Reprenez vos dernières alertes et confrontez chacune à cette liste :

1. Elle porte sur quelque chose de nouveau, ou qui s'est aggravé. Un problème que vous connaissez déjà n'a pas besoin d'un second e-mail.
2. Elle dit quoi, où et avec quelle gravité. Le fichier, l'extension ou le compte concerné, et un niveau de gravité qui indique si c'est la tâche du jour.
3. Elle dit quoi faire. Une ou deux étapes, ou la personne à qui la transmettre.
4. Elle dit son degré de certitude. « Code malveillant reconnu dans ce fichier » et « ce fichier est inhabituel, demandez à quelqu'un qui connaît le site » sont deux messages différents et doivent se distinguer à l'œil.
5. Elle renvoie à l'écran où l'on agit.
6. Elle arrive en un seul lot. Un e-mail par analyse qui énumère tout ce qui est nouveau vaut mieux que dix e-mails issus de la même analyse.

Si vous savez quoi faire une minute après l'avoir ouverte, l'alerte fonctionne. Si vous devez vous connecter pour savoir si elle compte, c'est du bruit.

Ce qui mérite un e-mail immédiat

Une courte liste d'événements demande un message sans attendre, parce qu'attendre la prochaine analyse a un coût :

• un compte est devenu administrateur,
• des connexions échouées verrouillent le compte d'un administrateur, ce qui signifie que quelqu'un vise ce compte,
• une analyse a trouvé un logiciel malveillant ou des fichiers WordPress modifiés, avec des preuves claires.

Le reste peut attendre l'e-mail qui suit une analyse planifiée ou un récapitulatif hebdomadaire : mises à jour disponibles, indications de faible gravité, blocages portant sur des noms d'utilisateur qui n'existent pas sur le site.

Comment régler n'importe quelle extension de sécurité

Ces étapes valent pour toutes les extensions.

1. Comptez pendant une semaine. Créez un dossier ou une étiquette pour les e-mails de l'extension et notez ce qui arrive et à quelle fréquence. Repérez les e-mails qui vous ont réellement conduit à agir.
2. Relevez le seuil. La plupart des extensions proposent une gravité minimale pour l'envoi d'e-mails. Commencez par les problèmes graves seulement, puis abaissez le seuil quand la liste des problèmes ouverts est courte.
3. Arrêtez les e-mails sur les blocages ordinaires. Gardez le verrou, supprimez l'e-mail. Conservez les alertes sur les comptes administrateurs si l'extension les traite à part.
4. Envoyez les alertes à quelqu'un qui agit. Si votre développeur corrige les problèmes, ajoutez son adresse. Vérifiez qu'aucune adresse de la liste n'appartient à une personne qui ne travaille plus avec vous.
5. Ignorez ce qui a été modifié exprès, élément par élément. Un fichier modifié volontairement peut être marqué comme connu. Assurez-vous que l'extension le signale de nouveau s'il change plus tard, sinon chaque exception devient un angle mort.
6. Envoyez un e-mail de test et regardez dans les courriers indésirables. Une alerte classée en spam est aussi inutile qu'une alerte que personne ne lit. Si les vôtres y atterrissent, demandez à la personne qui gère votre messagerie de vérifier comment le site envoie ses e-mails. L'article SPF, DKIM et DMARC expliqués décrit les enregistrements concernés.
7. N'envoyez pas les alertes dans un dossier que vous n'ouvrez jamais. Si vous préférez les lire une fois par semaine, activez un récapitulatif.

Le silence aussi se vérifie. Si aucun e-mail n'est arrivé depuis des mois, envoyez un test et consultez l'écran de l'extension pour connaître la date de la dernière analyse. Une analyse qui ne s'exécute plus n'envoie rien non plus.

Quand une alerte est fausse

Un faux positif est un constat portant sur quelque chose qui va bien. Avant de l'ignorer :

• ouvrez le constat et lisez quel fichier ou quel réglage il désigne,
• s'il s'agit d'un fichier de WordPress, d'une extension ou d'un thème, comparez-le à une copie fraîche de la même version,
• demandez à la personne qui a créé le site si elle l'a modifié,
• signalez-le dans le forum d'assistance de l'extension sur WordPress.org, avec le nom du test et ce que vous voyez.

Ne désactivez pas un test entier à cause d'un seul constat erroné. Le prochain constat réel ne serait pas signalé.

Comment Ensomedia Security gère les alertes

Voici ce que décrivent le code et le fichier readme de Ensomedia Security au sujet de ses alertes :

• Un e-mail par analyse, uniquement sur les problèmes nouveaux ou aggravés qui atteignent le seuil que vous avez fixé, et quatre par jour au maximum. Ce qui dépasse la limite attend l'e-mail suivant. Une analyse que vous lancez vous-même avec Analyser maintenant n'envoie pas d'e-mail, puisque vous regardez déjà le résultat.
• Trois seuils dans les Réglages, sous Alertes par e-mail : Critiques uniquement, Graves (par défaut) et Y compris les moins graves. Envoyer à accepte jusqu'à cinq adresses, et Envoyer un e-mail de test permet de vérifier qu'elles reçoivent bien les messages.
• Immédiatement quand un compte devient administrateur et quand le nom d'utilisateur d'un administrateur est verrouillé après des connexions échouées. Les e-mails de verrouillage s'arrêtent à trois par jour et par site.
• Un récapitulatif hebdomadaire chaque lundi, désactivé tant que vous ne l'activez pas.
• Un test qui n'a pas pu s'exécuter n'envoie jamais d'e-mail et ne marque jamais rien comme corrigé : une panne de WordPress.org reste donc silencieuse.
• Les constats incertains n'envoient jamais d'e-mail. Ils figurent sous Demandez à votre développeur de vérifier. Un signal faible isolé, comme du base64 dans un fichier, n'est jamais un constat, et seuls les constats à forte confiance donnent lieu à un e-mail.
• Ignorer écarte un constat du score et des alertes, et un fichier ignoré revient s'il change de nouveau.

Tous les tests, l'analyse quotidienne planifiée (3 h du matin, heure du site, par défaut) et les alertes par e-mail sont gratuits et fonctionnent sans compte. La page de l'extension donne les détails.

Vérifiez votre site depuis l'extérieur. Saisissez votre adresse sur shieldwave.io. Cela prend environ 90 secondes, sans mot de passe et sans extension.