Vous cherchez une alternative à Wordfence ? Ces six questions sont décisives

On change rarement de plugin de sécurité par curiosité. Il y a généralement un motif : le site est devenu lent, la boîte mail déborde d'alertes, ou un audit de protection des données a soulevé la question de ce que le plugin envoie réellement à l'extérieur. Ce texte trie les motifs habituels et indique pour chacune la question à laquelle une alternative doit répondre.

Motif 1 : trop d'alertes, trop peu de vraies

La raison la plus fréquente, et la plus dangereuse : qui écarte d'un clic trois détections inoffensives chaque semaine finit par écarter aussi la vraie. La question à poser à toute alternative n'est donc pas « combien de motifs a-t-elle ? », mais comment gère-t-elle les fausses alertes.

Comment le reconnaître : l'outil dit-il CE QU'IL recherche ? Peut-on approuver une détection — et l'approbation expire-t-elle quand le fichier change ? Kakapo Security lie chaque approbation à la somme de contrôle du contenu lu : dès que le fichier est modifié, la détection réapparaît. C'est inconfortable, et c'est juste.

Un bouton groupé « tout approuver » est un signal d'alarme, pas une facilité. C'est une amnistie générale en un clic — précisément pour les cas qu'il aurait fallu examiner un par un.

Motif 2 : le site est devenu lent

Une analyse portant sur des dizaines de milliers de fichiers demande du temps de calcul. L'essentiel est de savoir si elle le prend quand personne n'est là, ou en pleine visite. Question à poser à l'alternative : la passe s'exécute-t-elle par petites tranches avec un budget de temps, peut-elle être mise en pause, et reprend-elle au prochain démarrage là où elle s'était arrêtée ?

Seconde question, souvent oubliée : que se passe-t-il à chaque chargement de page ? Un pare-feu vérifie au passage. Plus il y a de règles, plus il y a de travail par requête — et plus il importe que les règles soient concises et éprouvées plutôt que nombreuses.

Motif 3 : rien ne doit sortir

Un plugin de sécurité voit les tentatives de connexion avec les noms d'utilisateur, les adresses IP, les listes de fichiers et le contenu de la base de données. Si une partie de ces données est transmise à un service, ce service doit figurer dans votre registre des activités de traitement. Question à poser à l'alternative : qu'est-ce qui quitte le serveur, et peut-on le désactiver ?

Chez Kakapo Security, les motifs de pare-feu, les motifs d'analyse et la logique de vérification se trouvent dans le plugin. Ne sort que ce que vous configurez vous-même : les sommes de contrôle du cœur de WordPress depuis api.wordpress.org et — si vous en indiquez une — votre propre source de vulnérabilités. Par défaut, cette dernière est vide.

Motif 4 : la connexion est le vrai point faible

La plupart des prises de contrôle ne passent pas par une faille dans le code, mais par un mot de passe. Vérifiez donc ce que l'alternative propose autour de la connexion — au-delà de la limitation des tentatives échouées : déplacer l'adresse de connexion, imposer des mots de passe robustes, voir et fermer les sessions en cours, une plage horaire de connexion, une restriction selon le pays d'origine.

Et la question qui dérange à propos du double facteur : un code par e-mail suffit-il, ou avez-vous besoin d'une application Authenticator ? Kakapo Security ne fournit que des codes par e-mail et l'indique tel quel dans l'interface. Pour beaucoup de rédactions, cela suffit. Qui a besoin de TOTP doit poser la question avant de changer.

Motif 5 : en cas d'incident, les informations manquaient

Après un incident, ce qui compte n'est pas ce qui a été repoussé, mais ce que l'on peut prouver : qui s'est connecté et quand, quels fichiers ont été modifiés, qui a changé quel réglage. Question à poser à l'alternative : existe-t-il un journal — et les modifications ultérieures s'y remarquent-elles ?

Kakapo Security chaîne ses entrées d'activité et calcule la chaîne avec une valeur tirée de votre wp-config.php. Qui modifie ou supprime une entrée rompt visiblement la chaîne. Ce n'est pas un coffre-fort, mais c'est ce qui distingue un journal d'une liste que l'on peut modifier en silence.

Motif 6 : cinq plugins pour cinq tâches

Sécurité, cookies, sauvegarde, vitesse — un plugin par sujet, chacun avec sa propre interface, sa propre connexion, sa propre facture. Si c'est le motif, la question n'est pas « quel plugin de sécurité ? », mais de savoir si les autres modules viennent du même éditeur et s'utilisent de la même manière.

La liste de contrôle en bref

Ce qu'aucune alternative ne peut faire

Aucun plugin dans WordPress ne remplace un pare-feu en amont du serveur web, car il ne s'exécute qu'une fois PHP démarré. Aucun ne remplace des mises à jour appliquées sans tarder. Et aucune analyse ne trouve tout code malveillant — elle trouve ce qui ressemble à ses motifs. Qui garde ces trois phrases en tête choisit autrement, et plus sereinement.

Enregistrez l'état de référence de vos fichiers tant que le site est sain, preuve à l'appui. Un état de référence enregistré seulement après une infection fait du code malveillant l'état normal — et celui-ci ne se remarque ensuite plus jamais.

Questions fréquentes