--- title: "Database Addon for Contact Form 7 (CFDB7)" description: "CFDB7 pour Contact Form 7 : pour qui il convient, ses limites (fichiers publics, aucune purge, RGPD), réglages conseillés et failles corrigées." language: "fr" locale: "fr-FR" type: "plugin-sheet" canonical: "https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/cfdb7/" published: "2026-11-04T08:00:00+00:00" modified: "2026-11-05T21:02:13+00:00" translations: fr-FR: "https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/cfdb7/index.md" en-US: "https://www.wp-masquerade.com/features/camouflaged-plugins/cfdb7/index.md" es-ES: "https://www.wp-masquerade.com/es/funcionalidades/plugins-camuflados/cfdb7/index.md" de-DE: "https://www.wp-masquerade.com/de/funktionen/getarnte-plugins/cfdb7/index.md" it-IT: "https://www.wp-masquerade.com/it/funzionalita/plugin-camuffati/cfdb7/index.md" pt-BR: "https://www.wp-masquerade.com/pt/recursos/plugins-wordpress-camuflados/cfdb7/index.md" nl-NL: "https://www.wp-masquerade.com/nl/functies/gecamoufleerde-plugins/cfdb7/index.md" --- # Database Addon for Contact Form 7 (CFDB7) CFDB7 enregistre dans la base de WordPress les messages envoyés par Contact Form 7 et les exporte en CSV, sans aucune configuration. Cette fiche montre pour qui elle convient, ses limites réelles (fichiers joints publics, RGPD), les réglages à appliquer et ses failles corrigées. ## L’essentiel - Idéal pour garder dans WordPress chaque message Contact Form 7, même si l’e-mail se perd, sans réglage. - Limite principale : fichiers joints ouverts à qui connaît leur adresse, sans purge ni outils RGPD. - Gratuite ; modules payants à part, dont un pack de 11 modules à 99 $ pour des sites illimités. ## Ce que fait CFDB7 sur votre site Database Addon for Contact Form 7, plus connue sous le nom de CFDB7, comble le manque le plus cité de [Contact Form 7](https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/contact-form-7/) : ce dernier envoie un e-mail mais ne garde rien. CFDB7, développée par Arshid et vendue sous la marque CipherCoin, enregistre chaque envoi dans la base de données de WordPress. Il n’y a rien à configurer : dès l’activation, tous les formulaires Contact Form 7 du site sont enregistrés. Techniquement, l’extension se branche juste avant l’envoi de l’e-mail. Le message est donc sauvegardé même si l’e-mail se perd ensuite, alors que les envois bloqués comme indésirables par Contact Form 7 ne sont pas conservés. Toutes les valeurs d’un envoi sont sérialisées dans une seule ligne d’une table unique, `wp_db7_forms` (avec le préfixe de votre base). Les fichiers joints sont copiés dans `wp-content/uploads/cfdb7_uploads`, sous un nom préfixé par l’heure et une suite aléatoire. Côté administration, le menu Formulaires de contact liste vos formulaires avec le nombre d’envois de chacun. Un clic ouvre la liste des envois : recherche, statut lu ou non lu, suppression groupée, détail d’un envoi et bouton Exportation CSV. Rien n’est chargé côté visiteur. L’extension est gratuite ; CipherCoin vend à part des modules payants (export PDF ou Excel, purge automatique, modification des envois, base externe). ![Schéma : Database Addon for Contact Form 7 (CFDB7) agit sur visiteurs et robots, wordpress, services externes. Traces publiques : dossiers de fichiers générés (masqué avec Pro).](https://www.wp-masquerade.com/media/wpm-sheets/cfdb7/diagram-fr.svg?v=a246dc55) ## Pour quels sites CFDB7 est un bon choix - **Sites sous Contact Form 7** qui ne veulent plus perdre une demande de devis quand l’e-mail de notification n’arrive pas. - **Petites équipes** qui suivent les demandes dans un tableur : l’export CSV se fait formulaire par formulaire, en un clic. - **Agences** qui veulent une trace des envois chez un client, sans changer d’extension de formulaires. Ce n’est pas le bon choix si vous voulez garder aussi les envois classés indésirables, ou bénéficier des outils d’export et d’effacement des données personnelles de WordPress : [Flamingo](https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/flamingo/), de l’éditeur de Contact Form 7, fait les deux. Ce n’est pas non plus un outil de suivi des demandes : il n’y a ni réponse, ni attribution, ni statut au-delà de lu et non lu. ## Points forts et limites de CFDB7 ### Points forts - **Aucune configuration.** Les envois sont enregistrés dès l’activation, pour tous les formulaires existants et futurs. - **Fichiers joints conservés.** Contact Form 7 efface les fichiers reçus après l’envoi ; CFDB7 en garde une copie consultable depuis l’envoi. - **Export CSV adapté à Excel.** Le fichier est encodé en UTF-8 avec marque d’ordre, ce qui préserve les accents, et le séparateur se choisit dans les réglages. - **Légère et peu exigeante.** Aucun script côté visiteur, et elle fonctionne dès WordPress 4.8 et PHP 7.0. ### Limites - **Fichiers accessibles par leur adresse.** Les pièces jointes restent dans un dossier public de `uploads` : quiconque obtient l’adresse d’un fichier peut l’ouvrir. - **Aucune durée de conservation.** Les envois restent jusqu’à ce que vous les supprimiez ; la purge automatique est un module payant. - **Pas d’outils RGPD de WordPress.** L’extension ne s’inscrit ni dans l’export ni dans l’effacement des données personnelles. - **Données gardées après suppression.** Il n’y a pas de routine de désinstallation : la table et le dossier des fichiers restent en place. - **Interface sommaire et promotionnelle.** Une partie des écrans n’est pas traduite, et la liste des formulaires affiche un bandeau pour le pack payant, masquable. ## Les réglages que nous recommandons pour CFDB7 CFDB7 n’a qu’un seul réglage propre, le séparateur du CSV. Le reste se joue dans les rôles, dans Contact Form 7 et dans votre routine de suppression. Certains libellés de l’extension s’affichent en anglais dans l’administration française. | Réglage | Valeur conseillée | Pourquoi | | --- | --- | --- | | **Delimiter** Formulaires de contact > Settings | Semicolon (;) si vos collègues ouvrent le CSV dans Excel en français | Excel en français attend le point-virgule ; avec la virgule par défaut, tout tient dans une seule colonne. | | **Accès aux envois** Capacité `cfdb7_access` | Administrateurs seulement, ou un rôle dédié via [User Role Editor](https://www.wp-masquerade.com/fr/fonctionnalites/extensions-camouflees/user-role-editor/) | Les envois contiennent des données personnelles ; ne donnez la capacité qu’aux personnes qui traitent les demandes. | | **Purge des anciens envois** Formulaires de contact > formulaire > Actions groupées > Effacer | Suppression régulière, par exemple chaque mois, des envois traités | Fixez une durée de conservation conforme au RGPD ; la suppression efface aussi les fichiers joints de l’envoi. | | **Anti-spam** Contact > Intégration (Contact Form 7) | Turnstile ou Akismet activé | Les envois rejetés comme indésirables ne sont pas enregistrés : la base reste propre et moins exposée. | | **Champ fichier** Contact > Formulaires de contact > onglet Formulaire | Types et taille limités, par exemple `[file cv filetypes:pdf limit:2mb]` | Chaque fichier accepté est copié durablement dans `uploads/cfdb7_uploads`. | | **Exécution de PHP** Configuration du serveur | Interdite dans `wp-content/uploads`, donc dans `cfdb7_uploads` | Le dossier ne contient qu’un fichier `index.php` qui empêche le listage ; il ne bloque ni l’accès aux fichiers ni leur exécution. | | **Mises à jour** Extensions > Extensions installées | Mises à jour automatiques activées, version 1.4.2 ou ultérieure | Les failles corrigées touchaient des envois de visiteurs anonymes. | - Envoyez un message de test, puis vérifiez qu’il apparaît dans Formulaires de contact avec le statut non lu. - Exportez le CSV et ouvrez-le dans votre tableur : accents et colonnes doivent s’afficher correctement. - Si un formulaire reçoit des fichiers, ouvrez le lien d’une pièce jointe en navigation privée : il s’ouvre sans connexion, ce qui doit guider le choix des documents demandés. - Mentionnez la conservation des envois et sa durée dans votre politique de confidentialité. Pour la durée de conservation et la base légale, voyez notre article RGPD et sécurité WordPress. ## Les failles de CFDB7 viennent des envois anonymes Toute personne qui remplit un formulaire écrit dans la base de CFDB7 : c’est par là que passent ses failles. CVE-2025-6740, corrigée en version 1.3.2, permettait à un visiteur sans compte d’injecter un script qui s’exécutait à l’ouverture de l’envoi par un administrateur, une [faille XSS](https://www.wp-masquerade.com/fr/definitions/faille-xss/) stockée. CVE-2024-3870, corrigée en 1.2.7, exposait des données personnelles contenues dans les fichiers envoyés. Plus ancienne, CVE-2021-24144 (corrigée en 1.2.5.6) permettait d’injecter des formules dans l’export CSV. La plus récente, CVE-2026-107652, concerne toutes les versions jusqu’à 1.4.1 : un champ fabriqué à l’envoi faisait supprimer un fichier choisi par l’attaquant au moment où l’administrateur effaçait cet envoi. La version 1.4.2, publiée en octobre 2026, vérifie désormais que le fichier supprimé se trouve bien dans `cfdb7_uploads` et refuse les fichiers PHP. Le geste utile est la mise à jour automatique (voir notre guide des mises à jour automatiques des extensions). WP Masquerade Pro retire les traces de CFDB7 que le catalogue recense (la section suivante les détaille), ce qui complique son repérage par les robots sans remplacer le correctif. ## Questions fréquentes sur CFDB7 **CFDB7 fonctionne-t-il sans Contact Form 7 ?** Non. Il enregistre uniquement les envois de Contact Form 7, et sa liste des formulaires refuse de s’afficher si Contact Form 7 n’est pas activé. **Faut-il installer CFDB7 et Flamingo ensemble ?** Rien ne l’empêche, mais chaque message serait alors stocké deux fois, ce qui double les données personnelles à protéger et à purger. Choisissez l’un des deux. **Les envois disparaissent-ils si je supprime l’extension ?** Non. La table `wp_db7_forms` et le dossier `cfdb7_uploads` restent en place. Exportez ce qui doit l’être, puis supprimez-les vous-même, après une sauvegarde. **Que contiennent les modules payants ?** CipherCoin vend des modules séparés : export PDF ou Excel, export CSV programmé, expiration automatique des envois, modification des envois, import CSV, connexion à une autre base. Le pack de 11 modules coûte 99 $, pour un nombre illimité de sites, avec un an de mises à jour et de support. ## Fiche technique - Catégorie : Formulaires - Éditeur : CipherCoin (Arshid) - Prix : Gratuite ; modules payants vendus à part, pack de 11 modules à 99 $ (sites illimités, un an de mises à jour) - Installations actives (wordpress.org) : 600 000+ - Version : 1.4.2 - Page officielle : https://fr.wordpress.org/plugins/contact-form-cfdb7/ ## Ce que WP Masquerade masque - Pris en charge par WP Masquerade Pro uniquement - Avec Pro : dossiers de fichiers générés