Ce que fait Really Simple Security sur votre site WordPress
Really Simple Security, anciennement Really Simple SSL, est éditée par la société néerlandaise Really Simple Plugins. Son premier rôle reste le passage en HTTPS : elle détecte le certificat, redirige chaque adresse en http vers https par une redirection 301 (en PHP ou dans le fichier .htaccess), active les cookies sécurisés et corrige à la volée le contenu mixte, ces images ou scripts encore appelés en http. Sur un hébergement qui permet l’installation manuelle d’un certificat, elle peut aussi générer un certificat Let’s Encrypt.
L’extension est devenue une suite de sécurité légère, réglée depuis le menu « Sécurité ». La version gratuite ajoute des cases de durcissement (code bloqué dans le dossier des médias, XML-RPC désactivé, énumération des comptes bloquée...), une détection des vulnérabilités alimentée par la base ouverte WP Vulnerability et une double authentification par code envoyé par e-mail, imposable par rôle. L’éditeur la présente comme modulaire : une fonction désactivée ne charge pas son code.
Pro ajoute un pare-feu (blocage des erreurs 404 en rafale, blocage par pays, listes d’adresses IP), la limitation des tentatives de connexion avec CAPTCHA, la double authentification par application TOTP et les clés d’accès (passkeys), les en-têtes de sécurité avec HSTS et Content Security Policy, l’analyse complète du contenu mixte et des mesures automatiques sur une extension vulnérable (mise à jour forcée, mise en quarantaine). La licence Personal coûte 69 $ US par an pour un site (49 $ la première année avec la remise affichée).
Pour quels sites Really Simple Security est un bon choix
- Sites qui passent en HTTPS et veulent des redirections propres et un contenu mixte corrigé sans éditer de fichier (voir notre guide HTTPS sur WordPress).
- Blogs et sites vitrines qui cherchent un durcissement de base et des alertes de vulnérabilité, sans pare-feu ni analyse lourde.
- Sites à plusieurs auteurs qui veulent imposer une double authentification à certains rôles sans payer de licence.
Elle est moins adaptée à un site qui veut un pare-feu applicatif et une analyse des fichiers à la recherche de logiciels malveillants dans une offre gratuite : ni la version gratuite ni Pro n’annoncent d’analyse de ce type, alors que Wordfence la fournit gratuitement. Elle fait aussi double emploi avec une suite de sécurité déjà installée : deux modules de double authentification ou de limitation des connexions se gênent.
Points forts et limites de Really Simple Security
Points forts
- Un passage en HTTPS presque automatique. Redirection 301, cookies sécurisés et correcteur de contenu mixte se règlent en quelques clics.
- Un durcissement gratuit et lisible. Chaque mesure est une case à cocher expliquée, que vous pouvez désactiver si elle gêne.
- Des alertes de vulnérabilité gratuites. Une extension, un thème ou un cœur touchés par une faille connue sont signalés, aussi par e-mail.
- Une double authentification gratuite. Le code par e-mail peut être imposé par rôle, avec une période de grâce pour laisser les comptes s’équiper.
Limites
- Ni pare-feu ni limitation des connexions en gratuit. Ces deux protections contre la force brute sont réservées à Pro.
- Une double authentification gratuite limitée à l’e-mail. L’application TOTP et les clés d’accès demandent Pro, et le code dépend de la bonne délivrance des e-mails du site.
- Des en-têtes de sécurité payants. HSTS, Content Security Policy et les autres en-têtes ne sont réglables qu’en Pro.
- Pas d’analyse des fichiers. Aucune recherche de logiciels malveillants ni contrôle d’intégrité des fichiers n’est annoncé.
- Des failles répétées dans la double authentification. Une faille critique en 2024, puis plusieurs contournements corrigés en 2026.
Les réglages de Really Simple Security que nous recommandons
Libellés de l’interface française de la version 9.8, dans Sécurité > Réglages. Faites une sauvegarde avant de changer la redirection ou le durcissement, et testez d’abord sur une préproduction pour une boutique.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Méthode de redirection Sécurité > Réglages > SSL > Redirection | « Redirection PHP 301 », ou « Redirection .htaccess 301 » sur Apache après lecture des instructions | Le .htaccess évite de charger PHP, mais une configuration inhabituelle peut casser le site. Si l’hébergeur redirige déjà, gardez sa redirection. |
| Correcteur de contenu mixte SSL > Contenu mixte | Activé | Il réécrit les adresses en http des pages. Vérifiez ensuite le cadenas du navigateur. |
| Activer l’analyse des vulnérabilités Vulnérabilités > Analyse de vulnérabilité | Activé | Vous êtes prévenu quand une extension installée a une faille connue, avant qu’un robot ne la trouve. |
| Notifications par e-mail et Adresse e-mail Général > E-mail | Activé, avec une adresse lue tous les jours | Sans e-mail, les alertes restent dans l’administration. |
| Activer l’authentification à deux facteurs, puis Imposer l’authentification sécurisée pour : Protection de connexion > Authentification de la connexion | Activé ; imposé aux administrateurs et éditeurs, avec une période de grâce | Activez-la d’abord sur votre compte et vérifiez que les e-mails du site arrivent bien (pas en indésirables). |
| Désactiver les éditeurs de fichiers intégrés Durcissement > Basique | Activé | Un compte administrateur volé ne peut plus modifier le code depuis l’administration. |
| Empêcher l’exécution de code dans le dossier public « Uploads » Même écran | Activé | Un fichier PHP déposé par une faille d’envoi de fichiers ne s’exécute plus. Sur Nginx, l’extension ne peut pas l’ajouter seule : copiez dans la configuration du serveur le code qu’elle affiche. |
| Désactiver l’énumération des comptes et Empêcher le retour de connexion Même écran | Activés | Les identifiants ne sont plus révélés par les adresses ?author=, l’API REST publique et les messages d’erreur de connexion. |
| Désactiver XML-RPC Même écran | Activé seulement si aucun service ne l’utilise | Jetpack, l’application mobile WordPress et certains outils de publication en ont besoin (voir XML-RPC sur WordPress). |
- Une adresse en http (accueil, article, image) redirige vers https en une seule redirection 301.
- Le tableau de bord de l’extension n’affiche plus de vulnérabilité non traitée.
- Vous vous êtes reconnecté depuis une fenêtre privée avec le code reçu par e-mail.
- L’extension est en version 9.8.3 ou plus récente, avec la mise à jour automatique activée.
Les failles de Really Simple Security et la version minimale à garder
La faille la plus grave, la CVE-2024-10924 (novembre 2024), permettait dans les versions 9.0.0 à 9.1.1.1 de se connecter sans compte comme n’importe quel utilisateur, administrateur compris, si la double authentification était activée ; elle est corrigée en 9.1.2. En 2026 ont suivi d’autres contournements de la double authentification, dont la CVE-2026-8293 (corrigée en 9.5.10.1) et la CVE-2026-89080 (corrigée en 9.8.1), qui supposaient de connaître déjà le mot de passe, et la CVE-2026-82519 (corrigée en 9.8.2), exploitable avec un compte de faible niveau. La CVE-2026-88798, corrigée en 9.8.3, permettait de gonfler sans limite une option de l’extension. Gardez donc au moins la version 9.8.3 et activez la mise à jour automatique : notre chronologie des failles de Really Simple Security détaille chaque correctif.
Le correcteur de contenu mixte ajoute l’attribut data-rsssl à la balise body, un repère qui signale l’extension aux robots ; WP Masquerade, dès sa version gratuite, retire cet attribut, ce qui complique le repérage sans remplacer les mises à jour. Pour situer l’extension face à ses concurrentes, voyez notre comparatif des plugins de sécurité WordPress.
Ce que WP Masquerade masque pour Really Simple Security
Version gratuite Pris en charge par la version gratuite de WP Masquerade
Really Simple Security fait partie des 50 extensions les plus utilisées que la version gratuite connaît. Pro va plus loin en renommant ses fichiers.
Version gratuite
- attribut marqueur
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
Aucune trace connue
Questions fréquentes sur Really Simple Security
Really Simple SSL et Really Simple Security sont-ils la même extension ?
Oui. L’extension a gardé son identifiant really-simple-ssl sur wordpress.org et la mise à jour se fait normalement ; seul le nom a changé avec l’ajout des fonctions de sécurité.
Faut-il garder l’extension une fois le site passé en HTTPS ?
Si votre hébergeur redirige déjà vers https et que le contenu ne contient plus d’adresse en http, la partie SSL n’est plus indispensable. Gardez l’extension si vous utilisez ses alertes ou sa double authentification.
Peut-on l’utiliser avec Wordfence ?
Oui, à condition de ne pas activer deux fois la même fonction : choisissez une seule double authentification et une seule limitation des connexions. La partie HTTPS, elle, ne fait pas doublon avec Wordfence.
Le site affiche une boucle de redirection après l’activation, que faire ?
Repassez la méthode de redirection sur « Redirection PHP 301 », ou retirez les lignes ajoutées par l’extension dans .htaccess. Derrière un proxy ou Cloudflare, vérifiez que le mode SSL du proxy chiffre aussi la connexion vers votre serveur.