Ce que fait Solid Security, devenue Kadence Security
L’extension a changé trois fois de nom sans changer d’adresse sur wordpress.org (better-wp-security) : iThemes Security, puis Solid Security avec la version 9.0.0 d’octobre 2023, puis Kadence Security avec la version 10.0.0 de mai 2026. Elle est publiée par Nexcess, du groupe Liquid Web. Dans l’interface française, le menu s’appelle encore « Solid Security » ; c’est ce nom que nous gardons ici.
C’est une suite de sécurité qui s’exécute dans WordPress. La version gratuite verrouille les adresses IP et les identifiants après des échecs de connexion répétés (protection contre la force brute), partage ces adresses avec le réseau des sites qui l’utilisent, propose la double authentification par application, e-mail ou codes de secours, impose des mots de passe forts et refuse les mots de passe compromis. Elle cherche aussi les failles connues du cœur, des thèmes et des extensions, consulte Google Safe Browsing, détecte les fichiers modifiés et sauvegarde la base de données.
Un écran « Avancé » ajoute du durcissement : déplacer la page de connexion, désactiver l’éditeur de fichiers et XML-RPC, bloquer PHP dans le dossier des envois. Pour cela, l’extension écrit dans wp-config.php et dans .htaccess ou la configuration NGINX ; l’éditeur indique qu’elle demande Apache ou LiteSpeed avec mod_rewrite, ou NGINX. La version Pro ajoute le correctif virtuel de Patchstack, les connexions sans mot de passe et les clés d’accès, les appareils de confiance, le CAPTCHA, le journal des actions des utilisateurs et la gestion des versions (mises à jour automatiques). Liquid Web la propose désormais dans ses formules Kadence, avec d’autres extensions.
Pour quels sites Solid Security est un bon choix
- Sites dont le risque principal est la connexion : verrouillages, réseau de force brute, double authentification et règles de mots de passe sont gratuits.
- Sites avec plusieurs auteurs ou des clients : les groupes d’utilisateurs appliquent des exigences différentes aux administrateurs, aux rédacteurs et aux clients d’une boutique.
- Sites déjà construits avec Kadence : une formule Kadence payante donne aussi la version Pro, sans abonnement de sécurité séparé.
Elle convient moins à un site qui cherche un scanner de logiciels malveillants complet ou un pare-feu applicatif avec des signatures, le terrain de Wordfence, ni à un site qui garde déjà une autre suite de sécurité : deux limitations de connexion et deux jeux de règles .htaccess se gênent.
Points forts et limites de Solid Security
Points forts
- Une connexion bien protégée en gratuit. Verrouillage par IP et par identifiant, réseau de force brute, double authentification et refus des mots de passe compromis ne demandent aucune licence.
- Des règles par groupe d’utilisateurs. Vous pouvez exiger un mot de passe fort des administrateurs sans l’imposer aux clients d’une boutique.
- Un durcissement réuni au même endroit. Éditeur de fichiers, XML-RPC, PHP dans les envois et adresse de connexion se règlent sur un seul écran.
- Un assistant de départ. La configuration initiale propose des modèles par type de site (boutique, blog, vitrine...).
Limites
- Rien ne bloque tant que l’IP n’est pas configurée. Si la détection d’IP reste « Non configuré », les verrouillages et les bannissements ne s’exécutent pas.
- Le correctif virtuel est payant. Sans Pro, une faille connue est signalée par l’analyse mais pas bloquée avant la mise à jour.
- Elle modifie vos fichiers de configuration. Les versions 10.0.1 et 10.0.6 ont corrigé des cas où
wp-config.phpou.htaccesspouvaient rester vides ; une sauvegarde reste indispensable. - Pas de vrai scanner de logiciels malveillants. L’analyse repère les versions vulnérables et la liste de blocage de Google, pas une porte dérobée cachée dans un fichier.
- Une offre Pro liée à Kadence. La page tarifs ne propose Pro que dans les formules Kadence, qui comprennent aussi d’autres extensions.
Les réglages de Solid Security que nous recommandons
Libellés de l’interface française actuelle. Sauvegardez wp-config.php et .htaccess avant de commencer, et gardez un accès FTP ou SFTP.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Détection du proxy Solid Security > Réglages > Réglages généraux | « Analyse de sécurité (recommandé) » si l’option est proposée, sinon « Manuel » avec l’en-tête de votre infrastructure (HTTP_CF_CONNECTING_IP derrière Cloudflare) | Tant que la valeur est « Non configuré », la protection contre la force brute et les bannissements restent inactifs. |
| IP autorisées Même écran | L’adresse fixe de votre bureau, si vous en avez une | Évite de vous verrouiller vous-même. Gardez aussi « Automatiquement autoriser temporairement les IP » activé. |
| Force brute locale Réglages > Fonctionnalités > Pare-feu | Activé ; 5 tentatives par adresse IP et 10 par identifiant (valeurs par défaut) | Assez bas pour gêner les robots, assez haut pour vos fautes de frappe. |
| Réseau de force brute, puis Bannir les IP signalées Même onglet | Activé, avec votre adresse e-mail pour obtenir la clé | Les adresses repérées sur les autres sites du réseau sont bloquées chez vous avant leur premier essai. |
| Double authentification Réglages > Fonctionnalités > Sécurisation de connexion | Activé ; « Toutes les méthodes (recommandé) » ; aucun rôle d’administrateur dans « Passer la configuration de double authentification » | Désactivée par défaut. Configurez-la d’abord sur votre compte et gardez vos codes de secours. |
| Exigences de mot de passe Même onglet | « Mots de passe forts » et « Refuser les mots de passe compromis » pour les administrateurs et les éditeurs | Un compte d’éditeur piraté peut publier du spam ou des liens malveillants. |
| Analyse de site planifiée Réglages > Fonctionnalités > Analyse de site | Activé | Désactivée par défaut en gratuit : sans elle, une faille connue n’est signalée que si vous lancez l’analyse. |
| XML-RPC Réglages > Avancé > Ajustements WordPress | « Désactiver XML-RPC » sans Jetpack ni application mobile, sinon « Désactiver les pings » | Une porte d’entrée de moins si aucun service ne l’utilise. Les essais multiples par requête sont déjà bloqués par défaut. |
| Déplacer la page de connexion Réglages > Avancé | Facultatif ; testez la connexion, le cache et le compte client d’une boutique | Réduit le bruit des robots sur wp-login.php, sans remplacer la double authentification (voir changer l’adresse de connexion). |
- Le message indiquant que des fonctions sont désactivées faute de détection d’IP a disparu.
- L’adresse IP enregistrée dans Solid Security > Journaux pour votre connexion est bien la vôtre, pas celle de Cloudflare (voir la vraie adresse IP des visiteurs).
- Vous vous êtes connecté avec le code de double authentification depuis une fenêtre privée.
- Après les ajustements avancés, le site et l’administration fonctionnent toujours.
Les failles de Solid Security elle-même
Patchstack recense des failles corrigées dans l’extension et aucune ouverte. Les plus récentes sont de faible gravité :
- CVE-2022-44593 : une usurpation d’adresse IP permettait un déni de service, jusqu’à la version 9.3.1 ; la version 9.3.2 a supprimé la détection d’IP automatique non sécurisée.
- Divulgation de l’adresse de connexion : avec la page de connexion déplacée et l’inscription requise pour commenter, l’adresse cachée pouvait fuiter, jusqu’à la version 9.0.0 (corrigé en 9.0.1).
- CVE-2023-28786 : une redirection ouverte via l’en-tête Host, jusqu’à la version 8.1.4 (corrigé en 8.1.5).
- CVE-2018-12636 : une injection SQL réservée aux administrateurs dans la page des journaux, avant la version 7.0.3.
Le geste utile reste d’activer la mise à jour automatique de l’extension (voir notre guide des mises à jour automatiques des extensions). Masquer l’extension avec WP Masquerade Pro, qui retire ses dossiers et ses traces itsec du code des pages, complique son repérage par les robots qui ciblent ses failles, sans remplacer une mise à jour. Notre comparatif des plugins de sécurité WordPress la situe face à ses concurrents.
Ce que WP Masquerade masque pour Solid Security
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Solid Security : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
- nom du dossier
- identifiants de balises
Reste visible
Aucune trace connue
Questions fréquentes sur Solid Security
Solid Security et Kadence Security, est-ce la même extension ?
Oui. La version 10.0.0 a seulement changé la marque : le dossier better-wp-security et la page wordpress.org restent les mêmes, et l’extension se met à jour comme avant.
La version gratuite suffit-elle ?
Pour protéger la connexion d’un blog ou d’un site vitrine, souvent oui. Le correctif virtuel, les clés d’accès et le journal des actions des utilisateurs demandent Pro.
Je suis verrouillé hors de mon site, que faire ?
Attendez la fin du verrouillage (15 minutes par défaut) ou, par FTP, renommez le dossier better-wp-security pour désactiver l’extension, puis ajoutez votre adresse dans « IP autorisées ».
Peut-on garder les versions gratuite et Pro actives ensemble ?
Non. Depuis la version 9.4.4, les deux extensions ne peuvent plus être actives en même temps ; la version Pro reprend les fonctions de la version gratuite.