Sécurité WordPress axée sur le RGPD : le respect de la vie privée par défaut
La plupart des plugins de sécurité enregistrent tout sans se poser de questions. Pour un plugin WordPress dédié à la sécurité et au RGPD, ce n'est pas la bonne approche par défaut. ReportedIP est développé en Allemagne et intègre la protection de la vie privée dès la conception : collecte minimale de données, durée de conservation réduite, chiffrement au repos et fonctionnement hors ligne sur simple demande.
Ce guide explique quelles données Hive collecte, pendant combien de temps elles sont conservées et sur quelle base légale repose ce traitement.
Qu'est-ce que ReportedIP ?
ReportedIP est un plugin de sécurité WordPress complet : 12 capteurs d'attaques, quatre méthodes d'authentification à deux facteurs (2FA), un blocage progressif et des informations sur les menaces issues de la communauté (sur inscription). La confidentialité n'est pas une option payante ; les paramètres par défaut, qui limitent au maximum la collecte de données, s'appliquent dans tous les modes. L'ensemble des fonctionnalités ReportedIP est disponible sur la page du produit.
Collecte minimale de données par défaut
Aucun nom d'utilisateur, aucun contenu de commentaire et aucun agent utilisateur complet n'apparaît dans les rapports ; les agents utilisateurs sont tronqués à 50 caractères, même dans les journaux locaux. La tâche de nettoyage s'exécute quotidiennement avec une durée de conservation par défaut de 30 jours, et les enregistrements sont automatiquement anonymisés après 7 jours. Cela permet de conserver l'utilité des journaux pour repérer des tendances sans pour autant en faire un profil à long terme de vos visiteurs.
Hors ligne par choix, partage sur demande
Le mode Local Shield fonctionne entièrement hors ligne : aucune donnée ne quitte votre site. Le partage via le réseau communautaire est strictement facultatif, et même dans ce cas, seules l'adresse IP et la catégorie d'attaque sont transmises. Aucune fonctionnalité de télémétrie ne s'exécute en arrière-plan si vous ne l'avez pas activée. Une option de suppression à la désinstallation efface toutes les données du plugin lorsque vous n'en avez plus besoin.
Chiffrement au repos pour chaque donnée confidentielle
Tous les éléments confidentiels — clés TOTP, identifiants des opérateurs SMS et numéros de téléphone — sont chiffrés à l'aide de libsodium (avec OpenSSL en secours). Le stockage en clair des données utilisateur n'est jamais utilisé pour les identifiants ; ainsi, une fuite de la base de données ne permet pas de divulguer des facteurs de sécurité secondaires valides.
Base juridique documentée
Le traitement repose sur l'article 6, paragraphe 1, point f), du RGPD — intérêt légitime à empêcher tout accès non autorisé — et cette base juridique est clairement indiquée dans l'assistant de configuration et l'interface d'administration, et non dissimulée dans une politique que personne ne lit. Dans le cadre de Business , un outil d'exportation de données conforme au RGPD vous aide à répondre aux demandes d'accès au titre de l'article 15. La durée de conservation, l'anonymisation et le niveau de détail sont tous configurables, avec un préréglage « RGPD Minimal » accessible en un clic.
Guides connexes
- L'assistant de configuration et ses paramètres par défaut axés sur la confidentialité
- Ce que le partage communautaire sur inscription envoie réellement
- Comment les numéros de téléphone sont traités dans le relais
La documentation du plugin WordPress traite des paramètres de conservation et d'anonymisation. Consultez l'intégralité des guides du pluginReportedIP ou lisez le texte relatif à la base juridique sur EUR-Lex (RGPD).