Sécurité de Connexion

🔐 Configuration de Connexion

L'onglet Connexion permet d'activer ou de désactiver l'ensemble du système de sécurité d'accès et de configurer les paramètres fondamentaux de protection contre la force brute : limite de tentatives échouées, durée des blocages temporaires, conditions des blocages permanents, ainsi que les notifications par email.

Paramètres de Configuration

Flux de Protection

Comportement Détaillé

• Blocage Temporaire : Appliqué après avoir dépassé la limite de tentatives échouées. L'IP est bloquée pour la durée configurée (défaut 15 min). À l'expiration, l'IP retrouve automatiquement l'accès.

• Blocage Permanent : Activé lorsqu'une IP accumule plusieurs blocages temporaires (défaut 3). Nécessite une intervention manuelle de l'administrateur pour débloquer.

⏱️ Déconnexion pour Inactivité (PRO)

Déconnecte les utilisateurs des rôles choisis lorsqu'ils restent le délai défini sans utiliser leur session. Un tableau de bord oublié ouvert sur l'ordinateur d'un autre (bureau, hôtel, cybercafé) n'est plus à la portée de tous.

• Minutes sans activité : entre 5 et 1440 (24 heures). Par défaut : 30.
• Rôles : Administrateur et Éditeur par défaut.
• Ce qui compte comme activité : l'utilisation réelle (souris, clavier, défilement, touchers) dans n'importe quel onglet du site. La vérification périodique de WordPress en arrière-plan (heartbeat) ne compte pas.
• Avertissement : une minute avant, un message avec le bouton « Rester connecté » apparaît. Ensuite, l'utilisateur revient à l'écran de connexion avec le message « Votre session a été fermée pour inactivité ».

Chaque appareil compte séparément : être actif sur le mobile ne garde pas ouverte une session oubliée sur un autre ordinateur. À configurer dans Sécurité de connexion → Login.

📬 Alerte de Nouvelle Connexion (PRO)

Quand quelqu'un se connecte depuis un navigateur ou un appareil jamais utilisé, ou depuis un nouveau pays, SeenSecure envoie à l'utilisateur un e-mail avec les détails (date, appareil, IP et pays).

• « C'était moi » : l'appareil devient de confiance et aucune alerte n'est plus envoyée pour lui. Ne fonctionne qu'en ouvrant le lien dans le même navigateur et appareil que celui de la connexion : quelqu'un qui lirait l'e-mail ailleurs ne peut pas marquer son propre appareil comme de confiance.
• « Ce n'était pas moi » : toutes les sessions du compte sont fermées, sur tous les appareils, et le mot de passe actuel cesse de fonctionner (l'attaquant le connaît). Le titulaire reçoit l'e-mail standard de WordPress pour en choisir un nouveau : le lien de l'alerte n'ouvre jamais directement le changement de mot de passe.
• Blocage de l'IP suspecte : après confirmation de « Ce n'était pas moi », l'IP utilisée pour se connecter passe dans Gestion des IP → Bloquées pendant 30 minutes (réglable dans la carte ; 0 = ne pas bloquer), avec son motif dans l'historique, et se débloque seule. L'attaquant ne peut ainsi pas réessayer pendant que le titulaire change le mot de passe. Elle n'est pas bloquée s'il s'agit de l'IP depuis laquelle on clique ou si elle est en liste blanche.
• Administrateurs et Éditeurs : l'administrateur du site reçoit aussi une copie avec les mêmes boutons (facultatif, avec son propre e-mail).
• Sûr face aux scanners de messagerie : les boutons ouvrent une page de confirmation ; l'action ne s'exécute qu'en cliquant dessus. Chaque lien ne sert qu'une fois et expire au bout de 7 jours.
• Pas d'alertes à l'activation : à la première connexion de chaque utilisateur après l'activation, son appareil et son pays sont enregistrés sans alerte.

L'appareil est reconnu grâce à un cookie propre au navigateur ; le pays, avec la même géolocalisation que le reste du pare-feu. À configurer dans Sécurité de connexion → Login.

🖥️ Limite de Sessions Simultanées (PRO)

Limite le nombre de sessions qu’un même utilisateur des rôles choisis peut avoir ouvertes en même temps (de 1 à 10). S’il se connecte sur un nouvel appareil alors que la limite est atteinte, avant de pouvoir utiliser le site il voit un écran avec ses autres sessions (navigateur, IP et heure de connexion) et choisit :

• « Fermer cette session et continuer ici » : la session la plus ancienne est fermée et il se connecte sur cet appareil. Avec une limite de 1, l’autre est fermée ; avec 2, la première des deux ; et ainsi de suite.
• « Annuler et ne pas se connecter » : il ne se connecte pas et ses autres sessions restent ouvertes.
• L’autre appareil est prévenu : de retour sur l’écran de connexion, il voit que sa session a été fermée parce que quelqu’un s’est connecté au compte depuis un autre appareil, avec le conseil de changer le mot de passe si ce n’était pas lui.
• Tant qu’il n’a pas choisi, rien ne fonctionne : la nouvelle session ne peut ni naviguer ni utiliser AJAX ou l’API REST avant de répondre.
• Personne ne reste bloqué : on peut toujours fermer une autre session pour se connecter. Les sessions déjà ouvertes lors de l’activation sont conservées.

Pourquoi limiter les sessions ?

Chaque session ouverte est une porte vers le compte. Sans limite, un mot de passe volé ou un cookie de session copié peuvent être utilisés en même temps que le titulaire sans que personne ne s’en aperçoive, et les sessions oubliées sur d’autres ordinateurs restent ouvertes pendant des jours.

Attaques qu’elle empêche ou révèle

• Mot de passe volé utilisé en parallèle (hameçonnage, fuite, réutilisation) : avec une limite de 1, l’attaquant ne peut pas être connecté en même temps que le titulaire sans l’éjecter, et le titulaire voit l’avertissement. Quand le titulaire se reconnecte, c’est l’attaquant qui est éjecté.
• Détournement de session avec un cookie volé (malware dans le navigateur, Wi-Fi public) : le cookie ne sert plus dès que cette session est fermée.
• Comptes partagés entre plusieurs personnes, par exemple un abonnement ou un cours payant utilisé par plusieurs à la fois.

Ce qu’elle ne fait pas : elle n’empêche pas de se connecter quelqu’un qui connaît déjà le mot de passe ; elle le rend visible et l’oblige à éjecter le titulaire. Combinez-la avec la vérification en deux étapes et l’alerte de nouvelle connexion.

Recommandé : 1 pour les Administrateurs ; 2 ou 3 si la même personne utilise ordinateur et mobile. Se configure dans Sécurité Login → Login.

🛡️ CAPTCHA

Le système CAPTCHA protège vos formulaires contre les bots et les attaques automatisées. Il propose 7 modes de vérification différents pour s'adapter aux besoins de chaque site.

Modes CAPTCHA Disponibles

Formulaires à Protéger

Vous pouvez sélectionner les formulaires sur lesquels le CAPTCHA est appliqué :

• Connexion : Protège le formulaire de connexion contre la force brute.

• Inscription : Empêche la création massive de faux comptes.

• Commentaires : Empêche le spam automatisé dans les commentaires.

• Réinitialisation Mot de Passe : Bloque les attaques de réinitialisation de mot de passe.

Configuration Google reCAPTCHA

Pour les modes utilisant Google reCAPTCHA (v2, v3, Hybride), vous devez enregistrer votre site sur Google reCAPTCHA Admin et obtenir les clés suivantes :

Protection Anti-Abus

🔑 Authentification à Deux Facteurs (2FA)

L'authentification à deux facteurs ajoute une couche de sécurité supplémentaire en exigeant un deuxième facteur de vérification en plus du mot de passe. Le système prend en charge TOTP (mot de passe unique à base de temps) via des applications d'authentification et des codes email comme alternative.

Activation Initiale par l'Administrateur

Avant de pouvoir configurer des politiques 2FA globales, l'administrateur doit activer 2FA sur son propre compte. Le système génère un code QR avec le secret TOTP qui doit être scanné avec une application d'authentification (Google Authenticator, Authy, Microsoft Authenticator, etc.).

Politique Globale 2FA

Gestion des Utilisateurs

Le panneau d'administration permet de rechercher des utilisateurs, de réinitialiser ou de désactiver 2FA pour des comptes spécifiques et de renvoyer des codes de récupération. Inclut des cartes statistiques : Utilisateurs avec 2FA, Sans 2FA, Statut de la politique, Total des utilisateurs et Statut du code email.

🚫 Anti-Détournement de Session

Détecte lorsqu'un utilisateur connecté change soudainement de pays en pleine session — le signe typique que quelqu'un a volé ses identifiants ou son cookie de session, par exemple après l'avoir intercepté sur un wifi public ou partagé. Le système enregistre le pays depuis lequel chaque utilisateur se connecte et le compare à chaque requête suivante.

Paramètres de Configuration

Modes d'Action

Que sont les codes ISO de pays ?

Ce sont les codes standard à 2 lettres (ISO 3166-1 alpha-2) qui identifient chaque pays sur internet — les mêmes que ceux utilisés dans les domaines de pays (.es, .fr...) et les formulaires d'adresse. Écrivez-les en majuscules, séparés par une virgule si vous en ajoutez plusieurs. Pas besoin de les connaître par cœur : juste le pays depuis lequel vous ou votre équipe vous connectez habituellement.

Votre pays n'est pas dans le tableau ? Recherchez "code ISO 3166-1 alpha-2" suivi du nom de votre pays, ou consultez la liste officielle complète sur iso.org.

Notification par Email

En activant la case "Envoyer un email à l'administrateur", vous recevrez un email à votre adresse de contact WordPress (Réglages → Généraux) chaque fois qu'un changement de pays suspect est détecté sur une session active. L'email inclut l'utilisateur concerné, le pays d'origine, le pays depuis lequel le changement a été détecté, et si la session a été fermée ou seulement enregistrée, afin que vous puissiez agir si vous le jugez nécessaire même en mode Surveiller.

Disponible dans le plan PRO. Configurable depuis Connexion & 2FA → Anti-Détournement dans le panneau SeenSecure.

👤 Comptes Restreints

Le système de comptes restreints bloque les noms d'utilisateur courants ou dangereux que les attaquants utilisent souvent. Lorsqu'une IP tente d'accéder avec plusieurs noms restreints, elle est automatiquement bloquée et ajoutée à la blacklist permanente.

Noms d'utilisateur Bloqués par Défaut

Vous pouvez ajouter ou supprimer des noms de la liste. Les changements s'appliquent immédiatement.

Seuil de Blocage IP

Configurez combien de tentatives avec des noms restreints depuis la même IP déclenchent un blocage permanent dans la blacklist avec la raison login_blackname.

Résumé des Tentatives Détectées

Le panneau affiche un tableau récapitulatif des dernières tentatives d'accès utilisant des noms d'utilisateur restreints, incluant l'IP, le nom tenté, la date/heure et si cela a entraîné un blocage.

IPs sur Blacklist via login_blackname

Liste des adresses IP qui ont été bloquées en permanence pour avoir dépassé le seuil de tentatives avec des noms restreints. Vous pouvez les débloquer manuellement depuis la section Blocages Actifs.

🏢 Blocage Automatique d’ASN (attaques distribuées) (PRO)

Une attaque par force brute distribuée ne vient pas d’une seule IP : l’attaquant loue des dizaines d’IP du même fournisseur de serveurs ou de proxys (le même ASN) et essaie identifiants et mots de passe en changeant d’IP à chaque tentative. Comme chaque IP n’essaie qu’une ou deux fois, aucune n’atteint la limite de blocage par IP.

Cette protection compte les IP différentes de chaque fournisseur qui échouent à se connecter dans une fenêtre de temps. Si le minimum est atteint, elle bloque le fournisseur entier pendant la durée configurée.

• IP différentes avant blocage : 5 par défaut (de 2 à 50).
• Fenêtre : 10 minutes par défaut (de 1 à 120).
• Durée du blocage : 60 minutes par défaut (de 5 minutes à 7 jours). Il se lève tout seul.
• Ce qui est bloqué : par défaut seulement la connexion, XML-RPC et l’URL de connexion personnalisée. En option, tout le site.
• Tous les échecs comptent : mauvais mot de passe, CAPTCHA, empreinte du navigateur, identifiant restreint et XML-RPC.

Étape préalable : défi JS invisible

Avant de bloquer, SeenSecure essaie quelque chose de plus doux. Dès que quelques IP échouent (2 par défaut), le fournisseur est mis sous surveillance : pendant 60 minutes, toutes ses IP reçoivent une vérification invisible du navigateur en ouvrant la connexion, wp-admin ou l’URL de connexion personnalisée.

• Un vrai navigateur la résout seul en quelques millisecondes (une petite preuve de travail avec la cryptographie du navigateur) et la personne voit la connexion normalement.
• Un bot de script (curl, Python…) n’exécute pas JavaScript et reste bloqué à la vérification : il n’envoie même pas le formulaire.
• Si des IP ayant déjà réussi le défi échouent (bots avec navigateur automatisé comme Puppeteer ou Playwright), le fournisseur est bloqué plus tôt, sans attendre 5 IP.
• Les fournisseurs avec des utilisateurs légitimes récents ne sont jamais bloqués : ils sont seulement surveillés.
• Ne s’applique ni à XML-RPC (utilisé par des applications qui ne peuvent pas le résoudre) ni à qui est déjà connecté. En mode Monitor du pare-feu, il est seulement enregistré.

Visible dans Gestion des IP → ASN (tableau « ASN sous surveillance », avec le bouton « Retirer la surveillance ») et dans le Traffic Log sous asn_challenge. Se règle dans la même carte (IP avant surveillance et durée).

Garde-fous

• Il ne bloque jamais le fournisseur d’utilisateurs connectés avec succès ces 30 derniers jours (ni le vôtre).
• Les IP de la liste blanche ne sont jamais bloquées.
• Pourquoi seulement la connexion par défaut : un ASN peut être un opérateur entier ; ne bloquer que la connexion laisse le site visible pour tous.
• Avec le pare-feu en mode Monitor, c’est journalisé mais pas bloqué.

Où le voir et comment débloquer

Gestion des IP → ASN bloqués liste chaque fournisseur bloqué avec le motif, le nombre d’IP qui ont attaqué, la portée et la durée, avec un bouton Débloquer. Blocages et déblocages figurent dans l’historique de la Gestion des IP et, si vous l’activez, vous recevez un e-mail avec l’ASN, le fournisseur et les IP de l’attaque.

Exemple réel

En octobre 2026, un site protégé par SeenSecure a reçu en quelques minutes des tentatives de connexion depuis plus de 45 IP différentes, toutes du même fournisseur de proxys. Chaque IP a essayé une seule fois un identifiant de dictionnaire (admin, wpadmin, root…). Le CAPTCHA et l’empreinte du navigateur les ont arrêtées une par une ; avec cette protection, au cinquième attaquant différent le fournisseur entier est bloqué et le reste de l’attaque n’atteint même plus le formulaire.

À configurer dans Connexion et 2FA → Comptes restreints.

🛡️ Blocages Actifs

La section Blocages Actifs affiche tous les blocages temporaires et permanents actuellement actifs. Permet de gérer les utilisateurs et IP bloqués pour activité suspecte, avec des options de déblocage manuel.

Tableau des Blocages

Le tableau comprend les colonnes suivantes :

• Utilisateur/IP : Nom d'utilisateur ou adresse IP bloqué.

• Type : Permanent ou Temporaire, indiqué par un badge de couleur.

• Raison : Raison du blocage (échecs de connexion, login_blackname, etc.).

• Tentatives : Nombre de tentatives échouées enregistrées avant le blocage.

• Bloqué Depuis : Date et heure de début du blocage.

• Expire : Date d'expiration (pour les blocages temporaires).

Débloquer

Chaque ligne du tableau comprend un bouton "Débloquer" avec confirmation. Lorsqu'on clique, une confirmation est demandée avant de supprimer le blocage. Cela évite les déblocages accidentels.

📊 Historique des Événements

L'Historique des Événements enregistre toutes les activités liées à la sécurité de connexion : connexions réussies et échouées, blocages temporaires et permanents, déblocages manuels et changements de mot de passe. Fournit des filtres et une pagination pour une navigation facile.

Types d'Événements

Filtres Disponibles

• Type d'événement : Menu déroulant pour sélectionner un seul type d'événement (ou "Tous").

• Nom d'utilisateur : Champ de texte pour filtrer par utilisateur spécifique.

• Adresse IP : Champ de texte pour rechercher les événements d'une IP spécifique.

Pagination & Affichage

• Lignes par page : Sélecteur avec options 10, 20, 50, 100, 200.

• Pagination côté client : La navigation entre les pages est gérée dans le navigateur sans rechargement.

• Drapeaux de pays : Les drapeaux sont affichés à partir des codes ISO de pays pour identifier l'origine des événements.

🔑 Politique de Mot de Passe

Exige un mot de passe minimalement robuste lors de sa création ou de sa modification, aussi bien sur l'écran de réinitialisation du mot de passe que sur le profil utilisateur WordPress. L'utilisateur voit en temps réel, pendant qu'il tape, les exigences manquantes — sans que le formulaire d'origine de WordPress soit modifié.

Exigences configurables

Chaque exigence est indépendante : seules celles que vous activez sont requises.

Où cela s'applique

La vérification s'effectue sur les deux écrans natifs de WordPress où un mot de passe est défini : l'écran de réinitialisation du mot de passe (après avoir demandé « Mot de passe oublié ? ») et le changement de mot de passe depuis le profil utilisateur dans le tableau de bord WordPress. Si le mot de passe ne respecte pas les exigences activées, WordPress refuse l'enregistrement avec un message indiquant exactement ce qui manque.

🔓 Mots de Passe Divulgués (PRO)

À la création ou au changement d'un mot de passe (dans le profil, à l'ajout d'un utilisateur ou via « Mot de passe oublié ? »), SeenSecure vérifie s'il est déjà apparu dans de vraies fuites de données et, le cas échéant, le refuse : « Ce mot de passe est apparu 23 547 fois dans des fuites de données… Choisissez-en un autre. » Il utilise le service public Pwned Passwords de Have I Been Pwned (plus de 900 millions de mots de passe).

• Service de référence mondial : Have I Been Pwned est intégré à Firefox (Mozilla Monitor) et au gestionnaire de mots de passe 1Password, et plus de 40 gouvernements, comme le National Cyber Security Centre britannique (NCSC), l'Australie ou l'Allemagne (CERT-Bund), l'utilisent pour surveiller leurs domaines.
• Le mot de passe ne quitte jamais votre site (k-anonymat) : son empreinte SHA-1 est calculée et seuls ses 5 premiers caractères sont envoyés, partagés par des centaines de mots de passe ; la comparaison se fait sur votre serveur et les réponses sont complétées pour que même leur taille ne révèle rien.
• Si le service ne répond pas, le mot de passe est accepté : personne n'est bloqué à cause d'une panne externe.
• Options : refuser s'il apparaît au moins N fois (1 = tout mot de passe divulgué, recommandé) et les rôles concernés (aucun coché = tous).
• Tester un mot de passe : depuis la carte, vous pouvez vérifier n'importe quel mot de passe sans l'enregistrer.

Complète les Politiques de mot de passe : un mot de passe peut respecter toutes les règles (« Ete2023! ») et figurer quand même sur les listes des attaques par bourrage d'identifiants. À configurer dans Sécurité de connexion → Politiques de mot de passe. Le service est gratuit et ne nécessite pas de clé.

🔧 Résolution de Problèmes

Un utilisateur ou une IP légitime a été bloqué(e)

Allez dans Login Security → Blocages Actifs : vous y verrez le tableau complet avec le motif, le nombre de tentatives et si le blocage est temporaire ou permanent. Les blocages temporaires expirent seuls ; les permanents ont chacun leur propre bouton "Débloquer" (avec confirmation, pour éviter les déblocages accidentels). Pas besoin d'attendre ni de toucher la configuration générale pour libérer une seule personne.

Mon équipe se fait bloquer sans cesse en testant la connexion

Vérifiez d'abord l'Historique des Événements : filtrez par votre IP pour confirmer combien de tentatives échouées réelles vous générez. Si le blocage vient d'un nom d'utilisateur restreint (motif login_blackname), vous testez probablement avec un nom générique (admin, test, etc.) — utilisez toujours un vrai nom d'utilisateur pour les tests. Si c'est à cause de tentatives échouées normales, augmentez le Seuil de Blocage ou ajoutez votre IP à la liste blanche du Firewall pour qu'elle ne compte pas dans la limite.

Questions Fréquentes

Les blocages temporaires nécessitent-ils une action de ma part ? Non, ils expirent automatiquement. Seuls les permanents (généralement dus à un nom d'utilisateur restreint) nécessitent un déblocage manuel depuis Blocages Actifs.

Quelle est la différence entre un blocage par tentatives échouées et un blocage par nom d'utilisateur restreint ? Le premier compte les tentatives de connexion échouées normales ; le second se déclenche spécifiquement quand quelqu'un essaie des noms d'utilisateur déjà bloqués par défaut (comme "admin"), et son seuil de tentatives par IP se configure séparément.

Puis-je voir d'où viennent les tentatives de connexion ? Oui, l'Historique des Événements et le résumé des tentatives détectées affichent l'IP, la date/heure et le drapeau du pays d'origine de chaque tentative.

L'Anti-Détournement de Session peut-il fermer la session de quelqu'un qui voyage ou utilise un VPN ? Si le mode est sur "Bloquer", oui — c'est le comportement attendu : il ferme cette session précise dès qu'il détecte un changement de pays, ce qui est exactement ce qui se passe en voyage ou en changeant de VPN. Ce n'est pas un bannissement : il suffit de se reconnecter normalement. Si vous préférez seulement recevoir l'alerte sans fermer la session, utilisez le mode "Monitor".

La Politique de Mot de Passe affecte-t-elle les mots de passe existants ? Non, elle n'est vérifiée que lors de la création d'un nouveau compte ou du changement actif d'un mot de passe. Un ancien mot de passe qui ne respecte pas les exigences actuelles continue de fonctionner pour se connecter jusqu'à ce qu'il soit changé.

Pourquoi n'exige-t-il pas de majuscule/chiffre/symbole alors que je l'ai activé ? Vérifiez que le Pare-feu (WAF) principal est en mode Protection : s'il est en mode Surveillance ou désactivé, l'exigence réelle est désactivée (l'avis à l'écran continue de s'afficher, mais uniquement à titre indicatif).