Vous cherchez un plugin anti-spam pour WordPress ? Commençons par être clairs : WP Masquerade n’est pas un filtre anti-spam. Il ne lit pas le contenu de vos commentaires ni de vos formulaires. Il bloque en revanche une partie du trafic de robots qui produit du spam ou qui le prépare : pingbacks, XML-RPC, robots qui sondent le site ou s’attaquent à la connexion. Cette page explique ce qu’il couvre, ce qui demande une extension anti-spam dédiée, et comment combiner les deux.
Quatre sortes de « spam » sur un site WordPress
| Type | Exemple | WP Masquerade | Outil adapté |
|---|---|---|---|
| Spam de pingbacks | Notifications de liens automatiques envoyées par XML-RPC | Bloqué gratuit : pingbacks coupés ou XML-RPC bloqué | WP Masquerade, ou le réglage Discussion de WordPress |
| Robots qui sondent le site | Requêtes vers /.env, /phpmyadmin, /administrator/ | Comptés gratuit, bannis automatiquement Pro | WP Masquerade, pare-feu |
| Robots de connexion | Milliers d’essais sur wp-login.php ou XML-RPC | Connexion déplacée et XML-RPC bloqué gratuit, essais limités et double authentification Pro | WP Masquerade ou une extension anti force brute |
| Spam de commentaires et de formulaires | Faux commentaires, messages de contact publicitaires, faux comptes | Non filtré | Extension anti-spam (voir ci-dessous) |
Ce que WP Masquerade bloque
- Pingbacks et XML-RPC Fonction gratuite : le module Durcissement retire les méthodes de pingback ou ferme entièrement xmlrpc.php (réponse 404). Les robots ne peuvent plus passer par là pour envoyer des notifications de liens ni tester des mots de passe en série.
- Robots qui cherchent des failles Fonction gratuite + Fonction Pro : les pièges à robots comptent les requêtes vers des adresses que seuls les outils d’attaque visitent ; avec Pro, une adresse qui tombe dans plusieurs pièges est bannie automatiquement.
- Robots de connexion Fonction gratuite + Fonction Pro : la page de connexion change d’adresse et wp-login.php répond 404 ; avec Pro, la limitation des tentatives de connexion et la double authentification arrêtent les essais de mots de passe.
- Énumération des auteurs Fonction Pro : les identifiants des auteurs ne sont plus exposés par /?author=, l’API REST ou le plan du site, ce qui retire aux robots une liste d’identifiants à essayer.
Ce qu’il ne fait pas
WP Masquerade ne classe pas les commentaires, ne vérifie pas les messages des formulaires de contact, n’ajoute pas de CAPTCHA aux formulaires et ne filtre pas les inscriptions. Un robot qui poste un commentaire par le formulaire public de votre article n’est pas arrêté par WP Masquerade : il faut pour cela une extension anti-spam.
Les extensions anti-spam à associer
Informations relevées sur wordpress.org. Nous ne sommes liés à aucune de ces extensions.
| Extension | Ce qu’elle filtre | Fonctionnement | Coût |
|---|---|---|---|
| Akismet Anti-spam (plus de 5 millions d’installations) | Commentaires et formulaires de contact compatibles | Comparaison avec la base de spam mondiale du service Akismet | Clé gratuite pour les blogs personnels, abonnement payant pour les sites professionnels et commerciaux |
| Antispam Bee (plus de 700 000) | Commentaires, trackbacks et pingbacks | Filtres locaux, sans CAPTCHA et sans envoyer de données personnelles à un service tiers, selon l’éditeur | Gratuit |
| CleanTalk Anti-Spam (plus de 200 000) | Commentaires, formulaires de contact, inscriptions, commandes WooCommerce | Service dans le cloud, sans CAPTCHA | Essai gratuit, puis abonnement payant |
Les réglages de WordPress à vérifier
- Réglages > ; Discussion : décochez « Autoriser les notifications de liens d’autres sites (pings et rétroliens) sur les nouvelles publications » si vous n’en avez pas l’usage.
- Fermez les commentaires des anciens articles et imposez l’approbation du premier commentaire d’un auteur.
- Réglages > ; Général : laissez « Tout le monde peut s’enregistrer » décoché si votre site n’a pas besoin d’inscriptions.
Questions fréquentes
WP Masquerade est-il un plugin anti-spam ?
Non. Il bloque des sources de spam liées aux robots (pingbacks, XML-RPC, robots qui sondent le site ou la connexion) mais ne filtre pas le contenu des commentaires ni des formulaires. Pour cela, associez-le à une extension anti-spam.
Bloquer XML-RPC suffit-il contre le spam ?
Contre le spam de pingbacks, oui en grande partie. Contre le spam de commentaires, non : les commentaires passent par le formulaire public de l’article, pas par XML-RPC.
WP Masquerade et un anti-spam peuvent-ils fonctionner ensemble ?
Oui : ils n’agissent pas au même endroit. L’anti-spam examine ce qui est posté ; WP Masquerade réduit les portes d’entrée et le trafic de robots en amont.
Fermez les portes qu’utilisent les robots
La version gratuite coupe les pingbacks, bloque XML-RPC, déplace la connexion et compte les robots. Pro bannit les plus insistants et verrouille la connexion.