Ce que fait bbPress sur votre site
bbPress ajoute un forum de discussion à WordPress sans base de données séparée : forums, sujets et réponses sont des types de contenu WordPress, et les membres du forum sont vos comptes WordPress. Après activation, un menu Forums apparaît dans l’administration, l’archive des forums s’affiche par défaut à l’adresse /forums/ et chaque membre reçoit une page de profil publique sous /forums/users/.
L’extension gère cinq rôles de forum (Maître des clés, Modérateur, Participant, Visiteur et Bloqué), des forums publics, privés ou masqués, les abonnements par e-mail aux forums et aux sujets, les favoris, les étiquettes de sujets, la recherche et les révisions. Elle fournit des codes courts ([bbp-forum-index], [bbp-topic-form], [bbp-login]...), des widgets et un outil d’import qui convertit les forums de phpBB, vBulletin, SMF, MyBB, XenForo, Invision, Vanilla et d’une quinzaine d’autres logiciels. Elle s’intègre à Akismet contre le spam et à BuddyPress pour les forums de groupes.
bbPress est un projet communautaire, développé par des contributeurs de WordPress (John James Jacoby en tête) et entièrement gratuit : il n’existe ni version Premium ni abonnement. L’affichage passe par une couche de compatibilité qui insère les gabarits du forum dans votre thème, ce qui fonctionne avec la plupart des thèmes mais demande parfois quelques retouches CSS.
Pour quelles communautés bbPress est un bon choix
bbPress convient quand vous voulez un forum sobre, hébergé dans votre WordPress et sans coût de licence :
- Forums de support d’un produit ou d’une extension : les questions des clients restent sur votre domaine, avec les mêmes comptes que le reste du site.
- Associations, clubs et communautés de passionnés : forums privés pour les membres connectés, forums masqués pour le bureau, modérateurs dédiés par forum.
- Migration d’un ancien forum : l’outil d’import récupère sujets, réponses et comptes depuis la plupart des logiciels de forum connus.
- Réseaux sociaux internes avec BuddyPress : chaque groupe peut avoir son propre forum.
Ce n’est pas le bon choix si vous attendez un forum complet dès l’installation : l’envoi de pièces jointes n’est pas activé par bbPress et demande une extension complémentaire, et le rendu dépend beaucoup de votre thème. Pour un espace membres payant, bbPress ne gère ni paiements ni abonnements : il faut l’associer à une extension d’adhésion, ou à Ultimate Member pour des profils et une inscription plus riches.
Points forts et limites de bbPress
Points forts
- Entièrement gratuit. Aucune version payante, aucune fonction bloquée derrière un abonnement.
- Construit sur WordPress. Contenus, comptes, recherche et sauvegardes passent par les mécanismes habituels de WordPress.
- Un import très large. Une vingtaine de convertisseurs, de phpBB à XenForo, pour reprendre un forum existant.
- Des droits fins. Rôles de forum, forums privés ou masqués, modérateurs par forum et statut global Ouvert, Fermé ou Gelé.
Limites
- Volontairement minimaliste. Pièces jointes et autres fonctions avancées passent par des extensions tierces, dont le suivi varie.
- Un rendu qui dépend du thème. La compatibilité automatique fonctionne, mais un habillage soigné demande souvent du CSS.
- Pas de support commercial. L’aide passe par la documentation et les forums de bbPress.org, sans engagement de délai.
- Des failles de contrôle d’accès récurrentes. Plusieurs versions récentes ont corrigé des fuites de contenus de forums privés.
Les réglages que nous recommandons pour bbPress
Ces réglages se trouvent dans Réglages > Forums. Les valeurs par défaut sont déjà raisonnables ; l’essentiel est de ne pas ouvrir le forum plus que nécessaire. Un forum public attire vite le spam, d’où l’intérêt d’une protection anti-spam en plus des réglages ci-dessous.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Rôles Réglages > Forums > Réglages de compte du forum | Activé, rôle Participant (valeur par défaut) | Un compte inscrit peut publier sans plus ; ne choisissez jamais Modérateur ou Maître des clés comme rôle automatique. |
| Limite du flux des publications Même section | Activé, 10 secondes (valeur par défaut) | Freine les robots qui publient en rafale. |
| Modification Même section | Activé, 5 minutes (valeur par défaut) | Avec 0 minute, un message déjà validé pourrait être modifié à tout moment, par exemple pour y glisser un lien de spam. |
| Anonyme Même section | Désactivé (valeur par défaut) | bbPress lui-même réserve la publication sans compte aux intranets ou aux sites protégés par un anti-spam comme Akismet. |
| Utiliser Akismet Réglages > Forums > Intégration d’Akismet pour les forums | Activé | La section n’apparaît que si Akismet est actif ; sujets et réponses sont alors filtrés comme les commentaires. |
| Révisions Réglages > Forums > Fonctionnalités du forum | Activé (valeur par défaut) | Garde l’historique des modifications, utile pour modérer un message réécrit. |
| Intégration automatique de liens Même section | Désactivé (valeur par défaut), sauf besoin réel | Les vidéos et contenus intégrés chargent des services tiers dans vos pages de forum. |
| Super modérateurs et modératrices Même section | Désactivé (valeur par défaut) | Activé, il laisse modérateurs et maîtres des clés modifier les profils et les rôles de forum des membres : un compte de modérateur volé suffirait. |
- Déconnecté, ouvrez
/forums/: seuls les forums publics doivent apparaître, jamais les forums privés ou masqués. - Dans Utilisateurs, vérifiez que seuls des comptes de confiance ont le rôle de forum Maître des clés ou Modérateur.
- Publiez un sujet de test avec un compte Participant pour contrôler l’affichage dans votre thème et le filtrage Akismet.
- Si les compteurs de sujets ou de réponses semblent faux après une mise à jour, utilisez Outils > Forums > Réparer les forums, outil par outil et en dehors des heures chargées.
La sécurité de bbPress : des forums privés à bien fermer
Un forum ouvre deux portes à surveiller : l’inscription et la visibilité des forums privés. Les failles publiées pour bbPress portent surtout sur ces deux points :
- CVE-2020-13693, corrigée en 2.6.5 : élévation de privilèges sans compte quand l’inscription des nouveaux utilisateurs est ouverte.
- CVE-2025-1435, corrigée en 2.6.12 : une requête forgée (CSRF) pouvait donner le rôle Maître des clés à un visiteur, si un administrateur cliquait sur un lien piégé (CVSS 6,3).
- CVE-2026-62137, corrigée en 2.6.15 : exposition de données sensibles sans compte (CVSS 5,3).
- CVE-2026-110762, corrigée en 2.6.19 : avec BuddyPress, les sujets d’un sous-forum public placé sous un forum privé ou masqué restaient lisibles dans le flux d’activité.
Le geste utile est simple : activez les mises à jour automatiques de bbPress dans Extensions (voir notre guide des mises à jour automatiques des extensions) et limitez le nombre de comptes à rôle élevé, comme le détaille notre article sur les rôles et capacités WordPress. WP Masquerade Pro remplace l’adresse du dossier /wp-content/plugins/bbpress/ et les identifiants des fichiers chargés par bbPress, ce qui complique son repérage par les robots qui ciblent ces failles ; les classes CSS bbpress et bbp-* restent visibles et le masquage ne remplace pas la mise à jour.
Ce que WP Masquerade masque pour bbPress
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à bbPress : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
- classes CSS
bbpress, bbp-*
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur bbPress
bbPress est-il vraiment gratuit ?
Oui. bbPress est distribué sous licence GPL sur wordpress.org, sans version payante. Seules certaines extensions complémentaires d’autres auteurs, par exemple pour les pièces jointes, peuvent être payantes.
Faut-il installer BuddyPress pour utiliser bbPress ?
Non. bbPress fonctionne seul avec les comptes WordPress. BuddyPress est utile seulement si vous voulez des groupes ayant chacun leur forum et un flux d’activité.
Peut-on importer un forum phpBB ou vBulletin dans bbPress ?
Oui, avec Outils > Forums > Importer des forums : vous indiquez le logiciel d’origine et l’accès à son ancienne base de données. Testez d’abord l’import sur une copie du site, car il peut être long sur un gros forum.
Les profils bbPress dévoilent-ils les identifiants des membres ?
L’adresse d’un profil contient le slug du compte (user_nicename), dérivé par défaut de l’identifiant de connexion. Pour vos comptes d’administration, choisissez un identifiant différent du nom public et protégez la connexion par une double authentification.