Ce que fait CFDB7 sur votre site
Database Addon for Contact Form 7, plus connue sous le nom de CFDB7, comble le manque le plus cité de Contact Form 7 : ce dernier envoie un e-mail mais ne garde rien. CFDB7, développée par Arshid et vendue sous la marque CipherCoin, enregistre chaque envoi dans la base de données de WordPress. Il n’y a rien à configurer : dès l’activation, tous les formulaires Contact Form 7 du site sont enregistrés.
Techniquement, l’extension se branche juste avant l’envoi de l’e-mail. Le message est donc sauvegardé même si l’e-mail se perd ensuite, alors que les envois bloqués comme indésirables par Contact Form 7 ne sont pas conservés. Toutes les valeurs d’un envoi sont sérialisées dans une seule ligne d’une table unique, wp_db7_forms (avec le préfixe de votre base). Les fichiers joints sont copiés dans wp-content/uploads/cfdb7_uploads, sous un nom préfixé par l’heure et une suite aléatoire.
Côté administration, le menu Formulaires de contact liste vos formulaires avec le nombre d’envois de chacun. Un clic ouvre la liste des envois : recherche, statut lu ou non lu, suppression groupée, détail d’un envoi et bouton Exportation CSV. Rien n’est chargé côté visiteur. L’extension est gratuite ; CipherCoin vend à part des modules payants (export PDF ou Excel, purge automatique, modification des envois, base externe).
Pour quels sites CFDB7 est un bon choix
- Sites sous Contact Form 7 qui ne veulent plus perdre une demande de devis quand l’e-mail de notification n’arrive pas.
- Petites équipes qui suivent les demandes dans un tableur : l’export CSV se fait formulaire par formulaire, en un clic.
- Agences qui veulent une trace des envois chez un client, sans changer d’extension de formulaires.
Ce n’est pas le bon choix si vous voulez garder aussi les envois classés indésirables, ou bénéficier des outils d’export et d’effacement des données personnelles de WordPress : Flamingo, de l’éditeur de Contact Form 7, fait les deux. Ce n’est pas non plus un outil de suivi des demandes : il n’y a ni réponse, ni attribution, ni statut au-delà de lu et non lu.
Points forts et limites de CFDB7
Points forts
- Aucune configuration. Les envois sont enregistrés dès l’activation, pour tous les formulaires existants et futurs.
- Fichiers joints conservés. Contact Form 7 efface les fichiers reçus après l’envoi ; CFDB7 en garde une copie consultable depuis l’envoi.
- Export CSV adapté à Excel. Le fichier est encodé en UTF-8 avec marque d’ordre, ce qui préserve les accents, et le séparateur se choisit dans les réglages.
- Légère et peu exigeante. Aucun script côté visiteur, et elle fonctionne dès WordPress 4.8 et PHP 7.0.
Limites
- Fichiers accessibles par leur adresse. Les pièces jointes restent dans un dossier public de
uploads: quiconque obtient l’adresse d’un fichier peut l’ouvrir. - Aucune durée de conservation. Les envois restent jusqu’à ce que vous les supprimiez ; la purge automatique est un module payant.
- Pas d’outils RGPD de WordPress. L’extension ne s’inscrit ni dans l’export ni dans l’effacement des données personnelles.
- Données gardées après suppression. Il n’y a pas de routine de désinstallation : la table et le dossier des fichiers restent en place.
- Interface sommaire et promotionnelle. Une partie des écrans n’est pas traduite, et la liste des formulaires affiche un bandeau pour le pack payant, masquable.
Les réglages que nous recommandons pour CFDB7
CFDB7 n’a qu’un seul réglage propre, le séparateur du CSV. Le reste se joue dans les rôles, dans Contact Form 7 et dans votre routine de suppression. Certains libellés de l’extension s’affichent en anglais dans l’administration française.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Delimiter Formulaires de contact > Settings | Semicolon (;) si vos collègues ouvrent le CSV dans Excel en français | Excel en français attend le point-virgule ; avec la virgule par défaut, tout tient dans une seule colonne. |
| Accès aux envois Capacité cfdb7_access | Administrateurs seulement, ou un rôle dédié via User Role Editor | Les envois contiennent des données personnelles ; ne donnez la capacité qu’aux personnes qui traitent les demandes. |
| Purge des anciens envois Formulaires de contact > formulaire > Actions groupées > Effacer | Suppression régulière, par exemple chaque mois, des envois traités | Fixez une durée de conservation conforme au RGPD ; la suppression efface aussi les fichiers joints de l’envoi. |
| Anti-spam Contact > Intégration (Contact Form 7) | Turnstile ou Akismet activé | Les envois rejetés comme indésirables ne sont pas enregistrés : la base reste propre et moins exposée. |
| Champ fichier Contact > Formulaires de contact > onglet Formulaire | Types et taille limités, par exemple [file cv filetypes:pdf limit:2mb] | Chaque fichier accepté est copié durablement dans uploads/cfdb7_uploads. |
| Exécution de PHP Configuration du serveur | Interdite dans wp-content/uploads, donc dans cfdb7_uploads | Le dossier ne contient qu’un fichier index.php qui empêche le listage ; il ne bloque ni l’accès aux fichiers ni leur exécution. |
| Mises à jour Extensions > Extensions installées | Mises à jour automatiques activées, version 1.4.2 ou ultérieure | Les failles corrigées touchaient des envois de visiteurs anonymes. |
- Envoyez un message de test, puis vérifiez qu’il apparaît dans Formulaires de contact avec le statut non lu.
- Exportez le CSV et ouvrez-le dans votre tableur : accents et colonnes doivent s’afficher correctement.
- Si un formulaire reçoit des fichiers, ouvrez le lien d’une pièce jointe en navigation privée : il s’ouvre sans connexion, ce qui doit guider le choix des documents demandés.
- Mentionnez la conservation des envois et sa durée dans votre politique de confidentialité.
Pour la durée de conservation et la base légale, voyez notre article RGPD et sécurité WordPress.
Les failles de CFDB7 viennent des envois anonymes
Toute personne qui remplit un formulaire écrit dans la base de CFDB7 : c’est par là que passent ses failles. CVE-2025-6740, corrigée en version 1.3.2, permettait à un visiteur sans compte d’injecter un script qui s’exécutait à l’ouverture de l’envoi par un administrateur, une faille XSS stockée. CVE-2024-3870, corrigée en 1.2.7, exposait des données personnelles contenues dans les fichiers envoyés. Plus ancienne, CVE-2021-24144 (corrigée en 1.2.5.6) permettait d’injecter des formules dans l’export CSV.
La plus récente, CVE-2026-107652, concerne toutes les versions jusqu’à 1.4.1 : un champ fabriqué à l’envoi faisait supprimer un fichier choisi par l’attaquant au moment où l’administrateur effaçait cet envoi. La version 1.4.2, publiée en octobre 2026, vérifie désormais que le fichier supprimé se trouve bien dans cfdb7_uploads et refuse les fichiers PHP.
Le geste utile est la mise à jour automatique (voir notre guide des mises à jour automatiques des extensions). WP Masquerade Pro retire les traces de CFDB7 que le catalogue recense (la section suivante les détaille), ce qui complique son repérage par les robots sans remplacer le correctif.
Ce que WP Masquerade masque pour Database Addon for Contact Form 7 (CFDB7)
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Database Addon for Contact Form 7 (CFDB7) : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
Rien de plus
Reste visible
Aucune trace connue
Questions fréquentes sur CFDB7
CFDB7 fonctionne-t-il sans Contact Form 7 ?
Non. Il enregistre uniquement les envois de Contact Form 7, et sa liste des formulaires refuse de s’afficher si Contact Form 7 n’est pas activé.
Faut-il installer CFDB7 et Flamingo ensemble ?
Rien ne l’empêche, mais chaque message serait alors stocké deux fois, ce qui double les données personnelles à protéger et à purger. Choisissez l’un des deux.
Les envois disparaissent-ils si je supprime l’extension ?
Non. La table wp_db7_forms et le dossier cfdb7_uploads restent en place. Exportez ce qui doit l’être, puis supprimez-les vous-même, après une sauvegarde.
Que contiennent les modules payants ?
CipherCoin vend des modules séparés : export PDF ou Excel, export CSV programmé, expiration automatique des envois, modification des envois, import CSV, connexion à une autre base. Le pack de 11 modules coûte 99 $, pour un nombre illimité de sites, avec un an de mises à jour et de support.