Blocage automatique des IPs après 5 tentatives de connexion échouées, plus triple anti-bot sur l'écran wp-login.php (case à cocher, honeypot caché, check temporel). Vous passez de 359 tentatives + 6 mails par nuit à 0 attaque qui aboutit + 1 mail informatif.
Deux couches indépendantes qui se complètent : anti-bot en amont, fail2ban en aval.
Triple protection : case à cocher visible « Je ne suis pas un robot », honeypot caché en CSS, check temporel (rejette les submits < 2 s). Bloque ~99 % des bots avant qu'ils n'arrivent au système de mot de passe.
Si un bot passe l'anti-bot ou si un humain se trompe vraiment, chaque échec incrémente un compteur stocké en transient WordPress (IP hashée SHA-256, RGPD-safe). Compteur remis à zéro à la première connexion réussie.
Au 5ᵉ échec en moins de 5 minutes, l'IP est ajoutée à la blocklist pendant 15 minutes. La page wp-login.php répond HTTP 429 et les appels XML-RPC sont également bloqués (vecteur d'attaque classique).
Un seul mail à l'admin au moment du ban (pas un mail par tentative). Le mail contient l'IP, le nombre de tentatives, la durée du ban et un lien direct vers la page d'administration pour débloquer si besoin.
Trois couches indépendantes injectées dans le formulaire wp-login.php. Un attaquant doit contourner les trois pour passer.
Une case « Je ne suis pas un robot » ajoutée juste au-dessus du bouton « Se connecter ». L'utilisateur doit la cocher pour valider. Bots basiques qui POST sans cocher → rejetés avec un message clair (« Vous devez cocher la case »).
Bloque : la majorité des bots open-source qui ne savent pas exécuter de logique HTML.
Un champ <input name="alesta_website"> est ajouté au formulaire, caché en CSS hors écran (position:absolute; left:-9999px). Les humains ne le voient pas, mais les bots qui scannent le HTML et remplissent automatiquement tous les champs textes vont aussi le remplir. Au submit, si ce champ contient quoi que ce soit → bot, rejeté.
Bloque : les bots avancés qui filtrent display:none mais ratent les autres techniques d'occultation.
Un timestamp est injecté lors du rendu du formulaire (hidden input). Au submit, on vérifie qu'au moins 2 secondes se sont écoulées entre le rendu et la soumission. Aucun humain ne soumet en moins de 2 s — c'est forcément un bot qui POST directement sans charger la page.
Bloque : les scrapers et scripts brute force qui POST directement /wp-login.php sans rendre le HTML.
Tout est centralisé dans Alesta AI → Sécurité → Protection Brute Force.
Tout ce qu'il faut savoir pour configurer, comprendre et déléguer.
| Seuil tentatives | 5 échecs |
| Fenêtre de comptage | 5 minutes (300 s) |
| Durée du ban | 15 minutes (900 s) |
| Anti-bot case à cocher | ✅ Activée |
| Anti-bot honeypot | ✅ Activée |
| Anti-bot check temporel | ✅ Activée (min 2 s) |
| Whitelist | Vide (à compléter par l'admin) |
Ces valeurs reproduisent les standards fail2ban pour SSH : assez strict pour bloquer les bots, assez tolérant pour éviter de bloquer un humain qui se trompe deux ou trois fois.
Le module détecte automatiquement la vraie IP du visiteur même si vous êtes derrière un reverse-proxy ou un CDN. Ordre de priorité des headers :
CF-Connecting-IP — CloudflareX-Forwarded-For — premier hop = client originelX-Real-IP — convention nginxREMOTE_ADDR — fallback en connexion directeAucune configuration nécessaire : si vous êtes sur SiteGround, Kinsta, WP Engine, OVH Performance ou Galiance, ça marche directement.
Les IPs bannies sont stockées de deux manières :
SHA-256 avant stockage. Impossible de retrouver l'IP en clair depuis un dump SQL.manage_options). Permet le déblocage manuel et l'audit.Aucune donnée n'est envoyée à un service tiers. 100 % du traitement reste sur votre serveur WordPress.
Un seul mail est envoyé à l'admin au moment du ban (pas à chaque tentative). Le mail contient :
Anti-flood : tant que l'IP reste bannie et continue à essayer, aucun nouveau mail n'est envoyé. Si une nouvelle IP attaque, vous recevez un mail pour celle-ci aussi.
Non, c'est complémentaire. fail2ban serveur protège SSH, FTP et autres services système. Alesta AI Brute Force protège spécifiquement WordPress (wp-login.php et XML-RPC) en niveau application. Les deux peuvent cohabiter sans conflit, et la combinaison est idéale.
Vous pouvez ajouter votre IP dans la whitelist depuis la page d'admin du module. Votre IP actuelle est affichée en haut de la page pour faciliter l'ajout. Si vous êtes déjà bloqué, vous pouvez attendre 15 minutes que le ban expire, ou utiliser une autre IP (4G mobile, VPN) pour vous reconnecter, ou demander un déblocage à un autre administrateur.
Oui. Chaque site du réseau a sa propre blocklist (stockée en transient au niveau site). La whitelist est aussi par site, ce qui permet aux super-admins du réseau d'avoir des IPs whitelistées sur tous les sites en un seul ajout côté réseau (via un futur paramètre Network Admin — en roadmap).
Sur nos sites de test en production : ~99 % des bots ne passent pas l'anti-bot (échec sur l'une des 3 couches : case à cocher, honeypot, check temporel). Sur les 1 % restants (bots très sophistiqués), le système fail2ban les bloque après 5 tentatives. En pratique, vous passez de plusieurs centaines de tentatives par jour à zéro succès.
Oui. La sécurité anti-brute-force est un standard de base que tout site WordPress devrait avoir. Alesta AI l'inclut dans la version Free (téléchargeable sur wordpress.org) au même titre que les modules Sitemap, robots.txt, FAQ Schema, Bannière RGPD, etc.
Installez Alesta AI, activez le module Sécurité → Protection Brute Force. La protection démarre immédiatement avec les paramètres recommandés. Plus jamais de mail "359 tentatives" en pleine nuit.
Une question, un cas d'usage spécifique, un problème technique ? Le support Alesta AI répond sous 24h en jours ouvrés.