Ce que fait Sucuri Security sur votre site WordPress
Sucuri Security est l’extension gratuite de Sucuri, une marque de GoDaddy. À la différence de Wordfence, elle ne contient pas de pare-feu : elle surveille. Elle note les événements de sécurité (connexions, réglages modifiés, extensions installées ou activées, publications) dans un journal d’audit, compare les fichiers du cœur de WordPress aux sommes de contrôle officielles de wordpress.org et envoie des alertes par e-mail.
L’analyse des logiciels malveillants ne lit pas vos fichiers sur le serveur. Elle passe par SiteCheck, le scanner distant de Sucuri, qui visite le site comme un visiteur et inspecte le code public des pages, la présence sur les listes de blocage (Google Safe Browsing, Norton, McAfee, Spamhaus…) et les logiciels obsolètes visibles. L’extension ajoute un écran de durcissement (blocage du PHP dans les dossiers sensibles par .htaccess, désactivation de l’éditeur de fichiers et de XML-RPC), des actions après piratage (nouvelles clés secrètes, réinitialisation des mots de passe et des extensions), la double authentification par application TOTP avec codes de secours, et la gestion des en-têtes Cache-Control, CSP et CORS.
Le modèle économique repose sur les services payants. Le pare-feu Sucuri, un pare-feu applicatif dans le cloud, coûte à partir de 9,99 $ US par mois pour un site : il s’active en modifiant vos DNS, et le trafic passe alors par les serveurs de Sucuri, qui filtrent attaques, force brute et DDoS avant votre hébergement et servent de CDN. Les offres Platform, à partir de 229 $ US par an, incluent des nettoyages illimités par l’équipe de Sucuri. Avec la clé API du pare-feu, l’extension affiche sa configuration et son journal, et débloque l’analyse des vulnérabilités du cœur, de PHP, des extensions et des thèmes.
Pour quels sites Sucuri Security est un bon choix
- Sites déjà derrière un pare-feu (Cloudflare, hébergeur, pare-feu Sucuri) qui veulent un journal, des alertes et du durcissement sans second pare-feu dans WordPress.
- Clients du pare-feu Sucuri : l’extension gère le pare-feu depuis l’administration (cache, listes d’adresses IP, journal) et ajoute l’analyse des vulnérabilités.
- Hébergements modestes, car l’analyse des logiciels malveillants tourne sur les serveurs de Sucuri, pas sur le vôtre.
- Sites qui sortent d’un piratage : les actions après piratage changent les clés, forcent de nouveaux mots de passe et réinstallent les extensions de wordpress.org, en complément d’un nettoyage complet du site.
Elle convient mal à un site sans pare-feu en amont qui veut une protection gratuite active : sans abonnement, rien ne bloque les requêtes ni les tentatives de connexion. Wordfence filtre et limite les connexions sur votre serveur. Sur Nginx, le blocage du PHP n’est pas appliqué : l’extension renvoie vers le guide officiel de WordPress.
Points forts et limites de Sucuri Security
Points forts
- Léger pour le serveur. L’analyse distante ne consomme presque rien sur l’hébergement, et l’extension ne charge aucun pare-feu à chaque requête.
- Un journal d’audit exploitable. Recherche, filtres par gravité, extension ou thème, export CSV complet, et clés API masquées depuis la version 2.8.
- Un durcissement réversible. Chaque option s’applique en un clic et s’annule avec « Réduire le renforcement ».
- Double authentification gratuite. Elle s’impose à tous les comptes ou aux comptes choisis, avec dix codes de secours à usage unique.
- Un historique de failles court. WPScan et Patchstack ne recensent qu’une faille, de gravité moyenne, corrigée en 2022.
Limites
- Ni pare-feu ni blocage des connexions en gratuit. Une attaque par force brute déclenche au mieux un résumé horaire par e-mail ; le blocage relève du pare-feu payant.
- Une analyse limitée à ce qui est public. Une porte dérobée PHP qui n’affiche rien échappe à SiteCheck, et le contrôle d’intégrité ne porte que sur le cœur.
- Vulnérabilités des extensions réservées aux clients. L’analyse des extensions, thèmes, PHP et du cœur exige une clé du pare-feu Sucuri.
- Une traduction française incomplète. Plusieurs menus et écrans récents restent en anglais.
Les réglages de Sucuri Security que nous recommandons
Libellés de Sucuri Security 2.8.1 en français ; les écrans encore en anglais sont cités tels quels. Le durcissement écrit dans .htaccess et wp-config.php : faites une sauvegarde avant.
| Réglage | Valeur conseillée | Pourquoi |
|---|---|---|
| Destinataire des alertes Sucuri Security > Réglages > Alertes | Une adresse lue tous les jours, puis « Tester les alertes » | Par défaut, les alertes partent vers le compte administrateur créé à l’installation. |
| Alertes de sécurité Même onglet | Cocher les alertes d’attaques par déduction de mot de passe et d’extension installée | Les deux sont désactivées par défaut et signalent souvent le début d’une intrusion. |
| Nombre d’alertes par heure Même onglet | « Maximum 10 par heure » (5 par défaut) | Au-delà du plafond, les événements restent dans le journal mais ne sont plus envoyés. |
| Proxy inverse Réglages > Réglages généraux | Activé seulement derrière Cloudflare ou le pare-feu Sucuri, avec l’en-tête HTTP_CF_CONNECTING_IP ou HTTP_X_SUCURI_CLIENTIP | Sinon, laissez-le désactivé : l’extension lit alors REMOTE_ADDR, qu’un visiteur ne peut pas falsifier. |
| Détecteur d’adresse IP Même onglet | Désactivé si vous n’utilisez pas le pare-feu Sucuri | Il fait une requête DNS à chaque chargement de WordPress, ce qui peut ralentir le site selon l’éditeur. |
| Bloquer les fichiers PHP dans le répertoire « uploads » Sucuri Security > Hardening & Prevention | « Appliquer le renforcement » (Apache ou serveur compatible .htaccess) | Un script PHP déposé dans les médias ne peut plus s’exécuter. Envoyez ensuite un média pour vérifier. |
| Désactiver l’éditeur de thème et d’extension Même écran | Appliqué | Ajoute DISALLOW_FILE_EDIT : un compte administrateur volé ne peut plus modifier le code depuis l’administration. |
| Disable XML-RPC Même écran | Appliqué, sauf si Jetpack ou une application mobile s’en sert | L’extension prévient quand une extension active dépend de XML-RPC. |
| Two-Factor Authentication Sucuri Security > Two-Factor Authentication | Votre compte d’abord, puis « Activate two factor for selected users » pour les administrateurs | Chaque utilisateur configure l’application à sa connexion suivante ; gardez les codes de secours. |
Laissez de côté le blocage du PHP dans WP-CONTENT et WP-INCLUDES sans test en préproduction : l’extension avertit elle-même que de nombreuses extensions exécutent du PHP dans wp-content. La mise à jour automatique des clés secrètes déconnecte tous les utilisateurs chaque semaine, ce qui gêne les clients d’une boutique.
- L’e-mail de « Tester les alertes » est arrivé dans la boîte choisie, pas dans les indésirables.
- L’écran Dernières connexions affiche votre vraie adresse IP, pas celle d’un proxy.
- Vous vous êtes connecté avec le code de double authentification depuis une fenêtre privée.
- L’envoi d’une image dans la médiathèque fonctionne après le durcissement.
Les failles de Sucuri Security elle-même
WPScan et Patchstack recensent une seule faille : la CVE-2022-29489, une falsification de requête (CSRF) qui permettait d’ajouter de fausses entrées au journal des événements, présente jusqu’à la version 1.8.33 et corrigée en 1.8.34 en septembre 2022. Activez la mise à jour automatique de l’extension (voir notre guide des mises à jour automatiques des extensions).
Masquer l’extension complique son repérage par les robots qui ciblent ses failles, sans rien corriger : notre article Sucuri et WP Masquerade explique comment les configurer ensemble. Notre comparatif des plugins de sécurité WordPress situe Sucuri face à ses concurrents.
Ce que WP Masquerade masque pour Sucuri Security
Pro Pris en charge par WP Masquerade Pro uniquement
La version gratuite ne connaît pas les traces propres à Sucuri Security : sans Pro, seules les balises generator restent retirées, comme pour toute extension.
Version gratuite
Pris en charge par WP Masquerade Pro uniquement
Avec Pro
Rien de plus
Reste visible
- en-têtes du serveur ou du cache
X-Sucuri-ID, X-Sucuri-Cache (Sucuri firewall only)
Ces traces restent parce que l’extension en a besoin pour fonctionner (scripts, styles, cookies) ou parce qu’elles viennent du serveur.
Questions fréquentes sur Sucuri Security
Sucuri Security protège-t-elle mon site sans le pare-feu payant ?
Elle surveille, alerte et durcit, mais ne bloque ni les requêtes ni les tentatives de connexion. Associez-la à un pare-feu (hébergeur, Cloudflare ou Sucuri) ou à une extension qui limite les connexions.
Peut-on utiliser Sucuri Security avec Wordfence ?
Oui, puisque la version gratuite de Sucuri n’ajoute pas de second pare-feu. Activez la double authentification dans une seule des deux.
Où Sucuri Security stocke-t-elle ses journaux ?
Dans des fichiers, pas dans la base de données : par défaut dans wp-content/uploads/sucuri. La constante SUCURI_DATA_STORAGE, dans wp-config.php, permet de les placer hors de la racine publique, dans un dossier accessible en écriture.
J’ai perdu mon application d’authentification, comment me connecter ?
Saisissez un de vos codes de secours à la place du code de l’application ; chaque code ne sert qu’une fois. Si la double authentification était active avant la version 2.8, générez ces codes depuis votre profil tant que vous avez accès.
Le nettoyage d’un site piraté est-il inclus ?
Non. L’extension fournit des outils (clés, mots de passe, réinstallation des extensions) ; le nettoyage par l’équipe de Sucuri fait partie des offres Platform payantes.