La plupart des tâches de mon équipe concernent la maintenance et la sécurité de WordPress pour les sites clients, avec plusieurs dizaines d'installations à gérer à tout moment. La raison pour laquelle WP Security Ninja s'est imposé est qu'il se comporte comme un outil conçu par des personnes ayant réellement géré plus d'un site à la fois. Beaucoup de plugins de sécurité sont construits sur l'hypothèse que vous vous connectez à un seul tableau de bord, regardez un seul score, et passez à autre chose. Cette hypothèse s'effondre dès que vous êtes responsable de quarante sites avec quarante connexions et quarante fenêtres de maintenance. WP Security Ninja traite la réalité multi-sites comme le cas par défaut plutôt qu'une réflexion après coup, et cette seule décision lui a valu une place dans notre pile standard.
L'intégration MainWP est la partie que je mettrais en avant en premier. Nous utilisons déjà MainWP comme hub pour les mises à jour et les sauvegardes à travers la base de clients, donc tout ce qui s'y intègre sans ajouter de friction vaut de l'argent pour nous. Le support MainWP de Security Ninja est intégré directement dans les versions gratuite et premium du plugin, ce qui signifie qu'il n'y a pas de plugin enfant séparé à installer sur chaque site, pas de pièce mobile supplémentaire à mettre à jour, et pas de point de défaillance supplémentaire. Une fois le plugin installé sur un site enfant, il apparaît simplement dans le tableau de bord MainWP.
La distinction entre les modules complémentaires MainWP gratuits et premium mérite d'être précisée, car elle détermine lequel une agence a réellement besoin :
- Le module complémentaire gratuit, disponible dans le dépôt WordPress.org, affiche les résultats des tests de sécurité de chaque site enfant, signale les vulnérabilités connues et vous permet de lancer des analyses à distance. Pour de nombreuses petites configurations, cela suffit réellement.
- Le module complémentaire premium ajoute le journal des événements combinés sur chaque site connecté, la recherche et le filtrage de ces événements, et le contrôle à distance du mode marque blanche sur les installations Pro. C'est le niveau qui mérite sa place une fois que vous gérez des sites clients en volume.
Ce qui nous a poussés vers le module complémentaire premium, c'est précisément ce journal des événements combinés. Au lieu d'ouvrir chaque site pour voir à quoi ressemblait son activité de pare-feu et de connexion, il extrait un journal synchronisé de chaque installation connectée dans une vue consultable. Lorsqu'un client envoie un e-mail pour demander pourquoi il a été bloqué, ou lorsque je veux confirmer si un site particulier a connu une augmentation des connexions échouées la semaine dernière, je réponds depuis le tableau de bord MainWP en environ une minute. Le journal combiné et le contrôle à distance de la marque blanche ne rapportent de manière significative que sur les sites exécutant la version Pro, car le plugin gratuit n'enregistre pas les événements, mais pour notre niveau de client payant, c'est la configuration que nous utilisons de toute façon.
Les analyses à distance et les actions groupées méritent leur propre mention car elles changent le rythme du travail de routine. Depuis la colonne MainWP, je peux lancer les tests de sécurité sur un seul site ou sur une centaine de sites avec une seule action groupée, puis revenir plus tard et extraire des résultats frais une fois que les sites ont été synchronisés. Nous avons intégré un passage de sécurité mensuel dans notre contrat de maintenance, et avant cela, cela signifiait qu'une personne cliquait sur chaque site individuellement. Maintenant, c'est une action, une pause café, et un examen de tout ce qui est revenu en jaune ou rouge. La colonne d'aperçu montre le score de sécurité et les vulnérabilités détectées par site en un coup d'œil, donc l'étape de triage se fait avant que quiconque n'ouvre un seul site.
Le score de sécurité par site est plus utile qu'un simple chiffre ne devrait l'être, et il est discrètement devenu la première chose que je regarde. Il regroupe les résultats des tests, les découvertes de vulnérabilités et l'état des vérifications des fichiers de base en un seul chiffre, et à travers une flotte, cela me donne un moyen rapide de trier l'attention : les sites qui sont bas sont examinés en premier, ceux qui sont hauts peuvent attendre. C'est aussi un chiffre qu'un client comprend sans aucune connaissance en sécurité, ce qui compte plus qu'il n'y paraît. Lorsque j'explique pourquoi un site particulier a besoin de travail ce mois-ci, pointer un score qui a baissé est bien plus persuasif qu'un paragraphe de jargon auquel le client acquiescera sans l'absorber. Je traite le score comme un signal de triage plutôt que comme un évangile, car aucun chiffre unique ne capture tout ce qui compte sur la sécurité d'un site, mais comme moyen de décider où devrait aller la prochaine heure de travail, il fait bien son travail, et il le fait sur chaque site connecté à la fois depuis l'aperçu MainWP.
La marque blanche est la fonctionnalité qui justifie discrètement le pack agence pour nous. Sur les licences Pro au niveau agence, vous pouvez remplacer le nom du plugin, sa description, les détails de l'auteur, l'icône et les URL associées par votre propre marque, et éventuellement le masquer complètement de l'écran standard des plugins. Lorsqu'un client se connecte à son propre admin WordPress, il ne voit pas un produit tiers appelé Security Ninja dans sa liste de plugins. Il voit un outil de sécurité qui porte le nom de notre agence, ce qui est précisément l'impression que nous sommes payés pour créer. C'est une petite touche de finition sur le papier et une significative en pratique, car un client qui voit une pile de plugins tiers inconnus commence à se demander pour quoi il nous paie. Le module de marque blanche est inclus dans chaque niveau du pack agence plutôt que de se cacher derrière des frais séparés, et sur une configuration MainWP, vous pouvez activer ou désactiver la marque client sur toute la flotte sans visiter chaque site.
Au quotidien, le pare-feu cloud fait le gros du travail, et il fonctionne en quelques couches qui se superposent bien ensemble :
- La base de données IP bloque le trafic provenant d'une liste continuellement mise à jour d'adresses malveillantes connues, dans la gamme de 600 millions d'entrées, rafraîchie toutes les quelques heures, de sorte qu'une grande partie des attaques automatisées ne reçoit jamais de réponse utile.
- Le blocage par pays, basé sur le bien connu ensemble de règles de pare-feu 8G, vous permet de restreindre l'accès par région et de choisir si un pays bloqué voit un message personnalisé ou est redirigé vers un endroit inoffensif. Pour les sites clients qui ne servent qu'une ou deux régions, cela réduit énormément le nombre de bêtises automatisées.
- Les contrôles avancés du pare-feu vous permettent de décider comment les visiteurs bloqués sont traités plutôt que d'imposer un comportement unique, ce qui est important lorsqu'un client a une configuration inhabituelle et que vous avez besoin que le pare-feu soit assertif sans être maladroit.
Une chose qui compte avec tout pare-feu aussi assertif est ce qui se passe lorsqu'il se trompe, et Security Ninja vous donne les contrôles pour gérer cela sans affaiblir l'ensemble du site. Un pare-feu fonctionnant sur une base de données aussi large attrapera occasionnellement un visiteur légitime, surtout sur les sites avec des configurations personnalisées ou un trafic inhabituel. Vous pouvez autoriser des adresses IP de confiance, examiner exactement ce qui a été bloqué, et ajuster le comportement du pare-feu plutôt que de vivre avec un basculement tout ou rien. Pour le travail client, cette distinction est importante, car l'appel que je veux le moins recevoir est un client me disant qu'un vrai client ne peut pas atteindre le site. Pouvoir mettre en liste blanche l'adresse, la confirmer contre le journal, et passer à autre chose, avec la protection toujours pleinement active partout ailleurs, fait la différence entre une correction de deux minutes et un après-midi gênant.
Le 404 Guard est l'une de ces fonctionnalités auxquelles je ne m'attendais pas à m'intéresser et que je ne désactiverais plus maintenant. Les mauvais bots passent leur journée à sonder les sites pour des fichiers qui n'existent pas, à la recherche d'une ancienne sauvegarde, d'une configuration exposée, d'un chemin de plugin vulnérable, et chacune de ces requêtes coûte quelque chose au serveur. 404 Guard surveille ce schéma de sondage et coupe l'offenseur, de sorte que le site cesse de dépenser des ressources à répondre aux scanners. Sur les petits sites clients avec un hébergement modeste, la réduction du trafic indésirable est vraiment perceptible dans les journaux, et cela permet au pare-feu et au scanner de logiciels malveillants de se concentrer sur le vrai signal plutôt que sur le bruit de fond.
Le scanner de logiciels malveillants a clairement reçu de l'attention, et c'est l'un des domaines où le produit a progressé plutôt que de stagner. Il effectue des inspections approfondies des plugins, des thèmes, des téléchargements et d'autres répertoires clés, vérifiant les fichiers contre des modèles de logiciels malveillants connus et recherchant du code qui ne devrait pas être là. Il est heuristique plutôt qu'une simple vérification de version, donc il regarde ce que le code fait réellement, pas seulement si un plugin prétend être une version particulière. Lorsqu'il signale quelque chose, vous pouvez examiner le fichier en toute sécurité, le mettre en liste blanche s'il s'agit d'un faux positif, ou le supprimer. La partie liste blanche compte plus qu'il n'y paraît, car sur les vrais sites clients, vous finirez par rencontrer des faux positifs, et un scanner qui vous permet de les reconnaître et de les ignorer garde le prochain scan propre au lieu de vous harceler à propos du même fichier pour toujours.
Les analyses programmées sont ce qui fait que toutes ces vérifications se produisent réellement au lieu de dépendre de quelqu'un qui se souvient de les exécuter. Vous définissez une cadence, le plugin exécute le scan de logiciels malveillants, la vérification du noyau, et les tests en arrière-plan, et il envoie un e-mail lorsque quelque chose a changé plutôt que lorsque tout va bien. Ce dernier détail est celui qui le garde utile, car un outil qui vous envoie un bilan de santé propre chaque jour devient rapidement un outil que vous filtrez dans un dossier et que vous arrêtez de lire. Les alertes de Security Ninja arrivent lorsqu'il y a une raison de regarder, donc elles gardent leur poids. Du côté de l'agence, un scan programmé fonctionnant discrètement sur chaque site client signifie que la surveillance de base est automatique, et les passages manuels que nous faisons encore deviennent une étape de confirmation plutôt que la seule ligne de défense.
Deux vérifications couvrent l'intégrité des fichiers, et entre elles, elles répondent à la plupart de la question de savoir si un site a été altéré :
- Le scanner de noyau compare les fichiers de noyau WordPress sur le site, bien plus d'un millier d'entre eux, avec les versions officielles de WordPress.org, signalant tout ce qui est modifié, manquant ou ajouté de manière inattendue. Lorsqu'un site nous parvient déjà en mauvais état, il me dit en quelques minutes si le noyau lui-même a été modifié, et je peux restaurer les fichiers propres à partir de la source officielle plutôt que de deviner.
- La vérification de l'intégrité des plugins valide les plugins provenant de WordPress.org par rapport à leurs versions officielles publiées et vous permet d'inspecter les différences lorsque les fichiers ne correspondent pas. Un fichier de plugin modifié est l'un des moyens les plus courants pour qu'une compromission se cache, car il se trouve à l'intérieur de quelque chose de légitime plutôt que de s'annoncer.
Les deux me donnent quelque chose de spécifique sur lequel agir, un fichier nommé avec une vraie différence, au lieu d'une intuition que je dois ensuite passer un après-midi à confirmer. Le scanner de noyau est également disponible dans la version gratuite, ce qui en fait un outil de première réponse raisonnable même sur un site que nous n'avons pas encore entièrement intégré.
La surveillance des vulnérabilités est bien gérée, et le fait qu'elle soit une fonctionnalité gratuite plutôt qu'une fonctionnalité payante en dit long sur la façon dont le produit est positionné. Le plugin garde une liste de vulnérabilités connues, tirée de sources publiques sélectionnées, y compris la base de données nationale des vulnérabilités, avec des identifiants CVE et des informations sur les versions corrigées, et il compare cette liste avec les plugins, les thèmes et la version de WordPress réellement installés sur le site. Le détail que j'apprécie en tant que personne responsable des sites des autres est que la comparaison se fait localement. La liste des vulnérabilités est téléchargée sur le site et la correspondance s'effectue là-bas, donc le plugin n'envoie pas un inventaire de chaque logiciel du site à un serveur tiers. Pour le travail client, où je préfère ne pas construire discrètement une base de données à distance de ce que chaque client utilise, ce design local d'abord est le bon choix. Le gain pratique est simple : lorsqu'un plugin dont dépend un client obtient une vulnérabilité divulguée, le plugin me le dit, et il me le dit avant que quelqu'un d'autre ne le découvre de la manière difficile.
Les plus de 50 tests de sécurité sont la partie du produit que j'ai utilisée en premier, il y a des années, et ils méritent toujours leur place. Le plugin passe en revue une longue liste de vérifications des erreurs courantes de WordPress et des paramètres risqués, y compris :
- Les permissions de fichiers et de dossiers qui sont plus lâches qu'elles ne devraient l'être
- La divulgation de version qui donne aux attaquants des informations gratuites
- La configuration PHP dangereuse, et les paramètres de débogage ou de mise à jour automatique laissés dans le mauvais état
- Un préfixe de table de base de données par défaut non sécurisé
- Les API exposées et les paramètres de mot de passe d'application
- Les plugins désactivés restants et les logiciels obsolètes
La version gratuite explique chaque constatation et vous dit comment la corriger manuellement. La version Pro ajoute des corrections en un clic pour bon nombre de ces constatations, et elle crée une sauvegarde avant de toucher à quoi que ce soit de sensible. Ce comportement de sauvegarde avant correction est la raison pour laquelle je suis à l'aise de laisser le plugin appliquer des changements sur un site client plutôt que d'insister pour faire chaque correction à la main. Cela transforme un audit de sécurité, le genre de chose qui signifiait autrefois une liste de vérification manuelle lente ou un consultant coûteux, en un passage qui prend quelques minutes par site.
La correction automatique des problèmes de routine mérite sa propre mention, car elle couvre une longue liste d'étapes de renforcement qui sont fastidieuses à faire à la main et presque impossibles à faire de manière cohérente sur de nombreux sites. Avec une sauvegarde effectuée avant chaque changement sensible, il :
- Change un préfixe de base de données non sécurisé en quelque chose que les attaquants ne peuvent pas deviner
- Désactive la navigation dans les répertoires pour que la structure des fichiers ne soit pas affichée
- Supprime les thèmes inutilisés et les plugins inactifs qui ne font qu'élargir la surface d'attaque
- Ajuste les permissions de fichiers à des valeurs plus sûres
- Ferme un certain nombre de vecteurs d'attaque connus
Sur un seul site, travailler à travers cette liste manuellement est une demi-heure de travail minutieux qui est facile à faire légèrement mal, et une permission de fichier légèrement incorrecte peut casser un site aussi efficacement qu'un attaquant le ferait. À travers une base de clients, c'est le genre de tâche qui ne se fait tout simplement pas de la même manière deux fois. Laisser le plugin appliquer les corrections de routine, tout en me montrant exactement ce qu'il a changé et en gardant une sauvegarde si je dois revenir en arrière, signifie que la partie ennuyeuse du renforcement est réellement terminée.
La protection des connexions est solide et couvre la zone que les attaquants martèlent le plus. Les éléments qui comptent le plus dans notre travail quotidien :
- Limitation du taux sur les connexions échouées avec des seuils configurables, et bannissement automatique des adresses qui continuent de deviner
- Réduction de l'énumération des noms d'utilisateur, de sorte que les bots ne peuvent pas facilement récolter des noms d'utilisateur valides à attaquer
- Protection sur le flux de mot de passe perdu, une autre voie qui est souvent ignorée
- Authentification à deux facteurs utilisant une application d'authentification ou des codes par e-mail
- L'option de renommer l'URL de connexion loin de la valeur par défaut, de sorte que le trafic automatisé ne trouve généralement jamais la porte
Pour les sites clients où le client insiste sur un mot de passe faible malgré nos conseils, la combinaison de l'authentification à deux facteurs et d'une URL de connexion renommée est ce qui me permet de dormir, car les tentatives de force brute se terminent principalement avant de commencer.
L'intégration d'un nouveau site client est plus rapide que je ne l'avais prévu, et cela se résume à trois choses qui fonctionnent ensemble :
1. L'assistant de configuration guide une nouvelle installation à travers l'exécution des tests, l'activation des corrections recommandées, et l'activation des protections clés, de sorte que vous ne chassez pas chaque écran de paramètres sur un site que vous venez de prendre en charge.
2. L'importation et l'exportation des paramètres signifient qu'une fois que nous avons une configuration de sécurité qui nous plaît, nous appliquons la même politique au site suivant au lieu de la reconstruire de mémoire.
3. Pour les déploiements plus importants, déposer un fichier license_key.txt dans le package du plugin permet à la licence de s'activer elle-même à l'installation puis de supprimer le fichier, de sorte que la routine de copie-collage de la licence disparaît complètement.
Pour une agence, la cohérence à travers les sites est une propriété de sécurité en soi, et ces trois choses ensemble sont ce qui rend la cohérence bon marché.
Le journal des événements est l'outil que je consulte lorsque quelque chose s'est déjà produit et que je dois le reconstituer. Il enregistre les connexions, réussies et échouées, les événements de pare-feu, l'activité de scan, les mises à jour, les actions sur les fichiers, et plus encore, dans un journal filtrable. Lorsqu'un client demande qui a changé un paramètre, ou lorsque j'essaie de comprendre la séquence des événements autour d'une connexion suspecte, le journal est l'endroit où se trouve la réponse. Filtré à travers la vue combinée MainWP, il devient une piste d'audit à travers toute la base de clients plutôt qu'une curiosité par site, ce qui est la version qui fait réellement gagner du temps.
Lorsque nous voulons que les événements de sécurité quittent le plugin et atterrissent quelque part où l'équipe surveille déjà, le support des webhooks s'en charge. Security Ninja peut déclencher des événements webhook pour des choses comme les visiteurs bloqués et l'activité de connexion, et comme ce sont des webhooks standard, ils s'intègrent directement dans Zapier ou tout système qui accepte un hook entrant. Nous acheminons certains événements dans le canal que l'équipe surveille déjà tout au long de la journée, de sorte qu'une connexion notable ou une vague soudaine de trafic bloqué apparaît là où une personne la verra réellement plutôt que de rester dans un journal en attente d'être vérifiée. Ce n'est pas une fonctionnalité dont chaque site client a besoin, et sur les comptes plus simples, nous la laissons désactivée, mais pour les clients plus exigeants, cela comble l'écart entre le plugin qui remarque quelque chose et un humain qui en prend connaissance.
Pour les clients qui gèrent une boutique, la protection WooCommerce est une petite mais bienvenue pièce. Elle ajoute une protection autour des zones que les bots abusent sur une boutique, les flux de connexion et d'inscription, l'activité abusive de paiement et d'ajout au panier, et le forçage de coupons. Ce n'est pas la raison principale de choisir le plugin, mais pour une agence avec une poignée de clients e-commerce, cela signifie un plugin spécialisé de moins à sourcer et à maintenir. Et parce qu'il vit dans le même plugin que le pare-feu et le scanner, la protection sur la boutique et la protection sur le reste du site sont configurées et surveillées en un seul endroit plutôt qu'à travers deux outils séparés.
Une addition plus récente est le conseiller en sécurité IA, qui condense les résultats du plugin en un seul rapport de sécurité lisible. Ce que j'apprécie dans la façon dont il a été construit, c'est la retenue autour des données. Il est conçu comme un rapport respectueux de la vie privée qui n'envoie pas d'informations personnelles hors du site, et il peut fonctionner via des connecteurs IA standard ou l'option propre du plugin, donc vous n'êtes pas forcé dans un pipeline unique. Pour la communication avec les clients, cela me donne un résumé en langage clair que je peux adapter en une mise à jour de maintenance, plutôt que de remettre à un client un mur de résultats de tests bruts qu'il survolera et oubliera. C'est un bon exemple d'une nouvelle fonctionnalité ajoutée de manière mesurée, résolvant un véritable problème de communication.
Le rythme de développement est quelque chose que je pèse lourdement lorsque je décide de standardiser un outil, et WP Security Ninja passe ce test. Le journal des modifications avance à un rythme réel, il y a une feuille de route publique et un portail de retour d'information où je peux voir sur quoi on travaille et ajouter des demandes, et le plugin a été maintenu en continu pendant bien plus d'une décennie. Le support vient de la petite équipe qui construit réellement le produit, donc lorsque j'ai soulevé quelque chose de spécifique, cela a été répondu par quelqu'un qui comprend le plugin plutôt qu'un script de première ligne. Plus d'un élément sur la feuille de route, y compris une intégration MainWP plus approfondie et la capacité de pousser des rapports de sécurité aux clients, est directement destiné à l'utilisation par les agences.
La licence est conçue pour la façon dont les agences achètent réellement. Plutôt que de forcer des achats par site, il y a des packs en vrac de trois tailles :
- 25 sites, qui convient à un petit studio ou à un freelance avec une base de clients stable
- 100 sites, le niveau où la plupart des agences établies se retrouveront
- 500 sites, pour les opérations plus importantes gérant une flotte sérieuse
Chaque niveau de pack inclut le module complémentaire MainWP et le module de marque blanche plutôt que de les facturer séparément, et une clé de licence couvre la mise en scène, la production et les migrations futures, donc la création d'une copie de mise en scène d'un client ne consomme pas une allocation séparée. Pour budgétiser une pratique de maintenance, un coût par site prévisible à volume est exactement ce que je veux, et le prix du pack rend les calculs faciles à défendre auprès de celui qui approuve les outils.
Une dernière chose qui vaut la peine d'être dite est que rien de tout cela ne vient enveloppé dans une interface qui vous combat. Le tableau de bord affiche le statut du pare-feu, les mises à jour en attente, le score de sécurité, et les découvertes de vulnérabilités sans vous faire creuser, et le plugin reste suffisamment léger pour qu'il n'ait pas été une plainte de performance sur aucun site client sur lequel nous l'exécutons. Je l'ai remis à des collègues moins techniques et à des clients qui gèrent leur propre contenu, et ils s'y retrouvent sans session de formation. Pour un produit qui intègre autant de modules, rester abordable n'est pas une évidence, et Security Ninja y parvient.
La version gratuite est bien plus qu'un teaser, et cela façonne notre travail plus que je ne l'avais prévu. Les tests de sécurité, le scanner de vulnérabilités, et le scanner de noyau fonctionnent tous sans payer quoi que ce soit, ce qui signifie que lorsqu'un client potentiel nous demande de jeter un œil à un site que nous ne gérons pas encore, nous pouvons installer le plugin gratuit, obtenir une évaluation réelle en quelques minutes, et baser notre recommandation sur des preuves plutôt que sur une supposition polie. Au moment où ce site passe à une licence Pro, nous savons déjà à quoi nous avons affaire, et nous avons fixé le prix du travail en conséquence. Un plugin de sécurité qui vous donne une lecture réelle d'un site avant que de l'argent ne change de mains est inhabituel, et il est discrètement devenu une partie légitime de la façon dont nous gérons l'intégration plutôt qu'une démo verrouillée que nous devons contourner. Avis collecté par et hébergé sur G2.com.
Jusqu'à présent, je n'ai rencontré aucun problème, tout fonctionne bien. La feuille de route est riche, et l'équipe résout rapidement le rare bug occasionnel. Avis collecté par et hébergé sur G2.com.
