Wordfence vs Kakapo Security : quelle protection vous convient ?

Un plugin de sécurité se juge sur deux jours : celui où il repousse quelque chose, et celui où il se trompe. Le premier figure dans toutes les descriptions de produit. Le second dans aucune — et pourtant, c'est lui qui décide si le plugin est encore activé au bout de six mois. Ce comparatif classe Wordfence et Kakapo Security selon ces deux critères.

La réponse courte

Wordfence est le plugin de sécurité le plus connu pour WordPress, avec une version gratuite, son propre pare-feu et un scanner de malwares qui travaille avec les signatures de l'éditeur. Une partie de sa force se situe explicitement en dehors de votre installation : les signatures et les données sur les menaces proviennent de l'éditeur.

Kakapo Security prend l'autre voie. Il apporte un pare-feu à motifs, une analyse, une comparaison des fichiers du cœur avec les sommes de contrôle d'api.wordpress.org et une série de blocages de connexion — et tout cela s'exécute sur votre serveur, sans interroger aucun service. En contrepartie, il n'y a ni base de signatures tenue à jour ni filtre IP basé sur la réputation.

En bref : qui veut une base de données de menaces constamment mise à jour et une entrée en matière gratuite est au bon endroit avec Wordfence. Qui veut comprendre exactement ce qui est recherché, ne souhaite transmettre aucune donnée à un service de sécurité et utilise de toute façon d'autres plugins Kakapo trouvera avec Kakapo Security l'outil le plus adapté.

Ce que les deux savent faire

• Limiter les tentatives de connexion échouées et bloquer des adresses
• Double facteur à la connexion
• Vérifier les fichiers pour détecter des modifications et comparer le cœur de WordPress à l'original
• Une analyse de wp-content à la recherche de motifs suspects
• Un journal de ce qui a été repoussé et de qui s'est connecté
• Une notification quand quelque chose attire l'attention

À ce niveau, les deux se valent à peu près. La différence tient à la question de savoir D'OÙ vient la connaissance qui guide la recherche.

Où les deux diffèrent

La différence qu'on ne remarque qu'au bout de plusieurs semaines : les fausses alertes

Toute analyse qui trouve quelque chose trouve aussi de faux positifs. Un plugin qui signale chaque semaine trois fichiers inoffensifs n'est plus lu après la troisième fois — et la vraie détection passe alors inaperçue elle aussi. La manière de traiter cette question distingue davantage les outils que le nombre de leurs motifs.

Kakapo Security tient à cet effet, dans le code source livré, une liste des approches écartées après mesure — avec le nombre de fausses alertes qui les ont fait échouer : forte densité de séquences \xNN (23 fichiers légitimes), noms de fonctions fragmentés en deux morceaux (2, à cause d'une bibliothèque répandue), lignes très longues (429), caractères non imprimables (179), backticks ouverts (49). Cette liste figure dans l'interface, pas dans un wiki pour développeurs.

Un plugin de sécurité dont la ligne de synthèse reste en permanence au rouge ne protège plus rien — il ne fait qu'habituer à ignorer les alertes d'un clic. Après deux semaines d'utilisation, vérifiez combien d'alertes étaient réelles.

Ce que Kakapo Security ne fait explicitement PAS

Cela a sa place dans un comparatif honnête, car c'est ce qui décide du choix :

• Pas de double facteur via une application Authenticator — les codes arrivent par e-mail. Qui a besoin de TOTP a besoin d'un plugin supplémentaire.
• Pas de base de signatures tenue à jour. L'analyse recherche des motifs, pas des logiciels malveillants connus par leur nom.
• Pas de vérification des vulnérabilités par défaut. L'adresse d'une source peut être saisie, mais aucune n'est fournie.
• Pas de pare-feu cloud en amont du site. Les règles s'exécutent en PHP, donc seulement quand WordPress est déjà en train de démarrer.

Qui a besoin de l'une de ces quatre choses ne devrait pas changer simplement parce que le reste convient.

Où se trouvent les données

Un plugin de sécurité voit davantage d'un site que n'importe quel autre plugin : tentatives de connexion avec noms d'utilisateur, adresses IP des visiteurs, listes de fichiers, contenu de la base de données. La question de savoir où partent ces données n'est donc pas secondaire : elle relève de la sous-traitance des données.

Kakapo Security n'interroge rien pour sa détection. Les motifs de pare-feu, les motifs d'analyse et la logique de vérification se trouvent dans le plugin ; ne sort que ce que vous configurez vous-même — les sommes de contrôle du cœur de WordPress depuis api.wordpress.org et, si vous l'avez indiquée, votre propre source de vulnérabilités. Il n'y a aucune étape intermédiaire via un service de l'éditeur.

Quand Wordfence est le meilleur choix

• Vous voulez démarrer sans budget
• Vous voulez une base de signatures et de vulnérabilités constamment mise à jour, sans avoir à vous en occuper
• Vous avez besoin du double facteur avec une application Authenticator
• Vous voulez bloquer des adresses d'attaquants connues à partir d'une source commune

Quand Kakapo Security est le meilleur choix

• Vous voulez pouvoir lire ce qui est recherché — chaque motif figure dans le code source
• Rien ne doit être transmis à un service de sécurité, pas même des métadonnées
• Vous avez besoin d'un journal où toute modification ultérieure se remarque
• Vous gérez plusieurs sites et voulez les réunir sous une seule licence
• Vous utilisez de toute façon Consent, Backup ou les autres modules

Changement d'outil : ce qu'il faut faire

1. Notez quelles règles étaient actives dans l'ancien plugin — en particulier les listes de blocage et les exceptions.
2. Installez Kakapo Security et saisissez la clé de licence.
3. Réglez d'abord le pare-feu sur « Observer » (en allemand : „Beobachten“) et laissez-le tourner une semaine.
4. Parcourez le journal du pare-feu : s'il contient du trafic réel de vos visiteurs, une règle est trop large.
5. Ce n'est qu'ensuite que vous passez sur « Bloquer » (en allemand : „Blockieren“).
6. Enregistrez une fois l'état de référence des fichiers, tant que le site est sain, preuve à l'appui.
7. Désactivez l'ancien plugin au lieu de le supprimer — pendant deux semaines.

Activer deux pare-feu en même temps n'apporte pas une double sécurité, mais une double source d'erreurs. L'un signale, l'autre bloque — sinon vous ne saurez jamais lequel a rejeté quelque chose.

Questions fréquentes