All-In-One Security vs Kakapo Security : des points ou des preuves ?

All-In-One Security est un plugin de sécurité gratuit et populaire, doté d'un système de points : chaque mesure activée augmente le score de sécurité. C'est motivant — et cela incite à basculer des interrupteurs dont on ne connaît pas l'effet.

La réponse courte

AIOS couvre la protection de la connexion, le durcissement, un pare-feu simple et les modifications de fichiers ; il est gratuit et facile à prendre en main. Le score rend les progrès visibles, mais ne dit pas ce que chaque mesure apporte réellement.

Kakapo Security renonce à tout score et mise sur la vérifiabilité : 40 motifs de pare-feu et 22 motifs d'analyse figurent dans le code source livré, accompagnés d'une liste des approches qui, mesures à l'appui, ont produit trop de fausses alertes. Le journal d'activité est chaîné et calculé avec une valeur tirée du fichier wp-config.php.

Où les deux diffèrent

Pourquoi pas de score

Un score suppose que les mesures s'additionnent. Ce n'est pas le cas : des mises à jour rapides et un second facteur apportent ensemble plus qu'une douzaine de petits interrupteurs de durcissement — mais dans un système de points, ils comptent autant.

Le second effet est pire : qui vise les 100 points active aussi des choses qui ont des effets secondaires sur son site. Un interrupteur qui rapporte un point et casse le constructeur de pages est une mauvaise affaire.

Si vous utilisez un outil avec score : n'activez rien dont vous ne sauriez expliquer l'effet en une phrase. Le score n'est pas un objectif.

Quand All-In-One Security est le meilleur choix

• Vous voulez commencer gratuitement
• Vous aimez une configuration guidée avec des progrès visibles
• Vous avez seulement besoin d'une protection de la connexion et d'un durcissement de base

Quand Kakapo Security est le meilleur choix

• Vous voulez pouvoir lire ce qui est recherché
• Vous avez besoin d'un journal où toute modification ultérieure se remarque
• Rien ne doit être transmis à un service de sécurité
• Vous gérez plusieurs sites sous une seule licence

Changement d'outil : ce qu'il faut faire

1. Notez l'adresse de connexion déplacée, si elle a été définie — sinon vous vous bloquez vous-même l'accès.
2. Vérifiez quelles règles ont été écrites dans le .htaccess ; les plugins de sécurité ont tendance à y laisser des blocs.
3. Installez Kakapo Security et saisissez la clé de licence.
4. Régler d'abord le pare-feu sur « Observer » (en allemand : „Beobachten“) et le laisser tourner une semaine.
5. Enregistrer l'état de référence des fichiers tant que le site est sain, preuve à l'appui.
6. Désactiver l'ancien plugin, puis passer sur « Bloquer » (en allemand : „Blockieren“).

Ce qu'aucun des deux ne remplace

Un plugin de sécurité est une couche, pas le toit. Trois choses restent de votre ressort, et en pratique elles évitent plus d'incidents que n'importe quel réglage de pare-feu.

• Mises à jour. La grande majorité des intrusions réussies exploitent des failles pour lesquelles une mise à jour existait depuis longtemps.
• Sauvegardes. Elles sont la seule chose qui compte après un incident — et la seule qui aide aussi quand vous n'avez pas du tout été attaqué, mais avez simplement cassé quelque chose.
• Accès épurés. Chaque accès dont plus personne n'a besoin est une porte que plus personne ne surveille.

Ces trois mesures ne coûtent ni argent ni connaissances particulières. Qui les applique gagne beaucoup à y ajouter un plugin de sécurité. Qui ne les applique pas s'achète surtout, avec un plugin, un sentiment plus rassurant.

Là où Kakapo Security ne fait délibérément rien

Pour que les attentes soient justes, voici les limites en clair : la connexion à deux facteurs envoie ses codes par e-mail, les applications Authenticator ne sont pas prises en charge. Il n'existe pas de base de signatures de code malveillant tenue à jour — l'analyse recherche des motifs, pas des logiciels malveillants connus par leur nom. Et la vérification des vulnérabilités accepte certes l'adresse d'une source, mais n'en fournit aucune par défaut. À cela s'ajoute que le pare-feu travaille dans WordPress, pas en amont — une attaque qui surcharge le serveur n'est pas interceptée par un plugin PHP, quel qu'il soit.

Ce qu'il fait à la place est étroitement circonscrit et vérifiable : reconnaître et rejeter des motifs, confronter les fichiers du cœur aux sommes de contrôle d'api.wordpress.org, remarquer les modifications de fichiers et journaliser chaque décision dans une chaîne qui ne peut pas être modifiée discrètement après coup. Qui a besoin de ces quatre points est au bon endroit. Qui cherche une base de signatures, non.

Pour tout plugin de sécurité, vérifiez où se situe le pare-feu. En amont du serveur, il résiste mieux à la surcharge ; dans WordPress, il est plus précis pour les requêtes adressées à WordPress lui-même. Les deux à la fois ne sont possibles que si l'hébergeur joue le jeu.

Questions fréquentes