Vous avez mis à jour votre extension et le site ne se charge plus? Ou pire, vous vous êtes connecté au panneau d’administration un matin et avez découvert des utilisateurs inconnus avec des privilèges d’administrateur. Les propriétaires de sites WordPress vivent cela plus souvent qu’ils ne le souhaiteraient: selon les données WPScan pour 2025, trois fois plus de sites sont piratés via des vulnérabilités d’extensions et de thèmes que via le cœur de WordPress.

Le problème, c’est que les mesures de base (mises à jour, mots de passe robustes et protection de la connexion) ne suffisent souvent pas. Vous avez besoin d’un outil qui vérifie le site sur plus de 50 paramètres, analyse les fichiers à la recherche de code malveillant et bloque les attaques avant même qu’elles n’arrivent. C’est exactement ce que fait Security Ninja.

Voici une analyse détaillée de l’extension: ce que la version gratuite peut faire, ce que la version Pro apporte en plus et quand il est rentable de payer.

💡 Aperçu rapide:

• Installez la version gratuite de Security Ninja depuis WordPress.org et lancez votre premier audit; vous obtiendrez une liste de plus de 50 contrôles de sécurité avec des recommandations précises pour les corrections.
• Décidez si vous avez besoin de la version Pro: si le site génère des revenus ou reçoit plus de quelques centaines de visiteurs par jour, le pare-feu cloud, l’analyse des malwares et les corrections automatiques sont rentabilisés dès le premier mois.
• Configurez des analyses planifiées, activez l’authentification à deux facteurs et activez les notifications pour les événements critiques; c’est là que s’arrête la protection de routine.

Qu’est-ce que Security Ninja et qui est derrière

Security Ninja est apparu sur CodeCanyon en 2011 en tant que solution premium pour l’audit de sécurité WordPress. En 2016, l’équipe a transféré l’extension sur WordPress.org et publié une version gratuite, tandis que les fonctionnalités Pro sont vendues directement depuis le site du développeur.

L’extension est développée par cleverplugins, auteurs de plusieurs solutions populaires dans le répertoire WordPress.org: Under Construction (plus de 100 000 installations actives), WP Reset et Widget for Google Maps. L’extension est maintenue et activement mise à jour: en juin 2026, la version actuelle fonctionne avec WordPress 6.5+ et WordPress 7, avec une note de 4,6 sur 5 dans le catalogue.

Par essence, Security Ninja est une solution de sécurité complète: audit de configuration, analyse des vulnérabilités, pare-feu, protection de la connexion et surveillance des événements dans une seule extension. La version gratuite vérifie et rapporte; la version Pro protège et corrige automatiquement.

Version gratuite: ce que vous obtenez sans payer

La version gratuite n’apporte pas de modifications au site lui-même; elle réalise un audit et produit un rapport. Après l’installation, vous allez dans la section Security Ninja du panneau d’administration et lancez votre première analyse.

L’extension exécute plus de 50 tests: elle vérifie les permissions des fichiers, les paramètres de la base de données, l’activité des comptes, les versions de PHP et MySQL, si le mode débogage est activé et si le serveur est vulnérable à des exploits connus comme Shellshock. Le résultat est une liste de tests réussis et échoués avec un code couleur.

Pour chaque test échoué, l’extension affiche un bouton Détails et conseils: il contient une explication du problème et un extrait de code prêt à l’emploi pour une correction manuelle. Par exemple, si WP_DEBUG est activé sur un site en production, vous obtenez un extrait pour wp-config.php. Pratique, mais chaque correction est manuelle.

En plus des tests de sécurité, la version gratuite inclut:

• Un pare-feu de base (WAF) basé sur les jeux de règles 8G, bloquant les requêtes malveillantes typiques et le bruit des bots avant qu’ils n’atteignent le site;
• Un scanner du cœur de WordPress, comparant les fichiers du cœur avec les versions de référence et trouvant les fichiers modifiés ou étrangers;
• Un scanner de vulnérabilités, vérifiant les extensions et thèmes installés par rapport à une base de données de vulnérabilités connues et avertissant des versions problématiques;
• Un journal d’événements de base, enregistrant les déclenchements du pare-feu et les tentatives de connexion (réussies comme échouées).

En pratique, la version gratuite suffit pour comprendre l’état réel du site. Vérifiez-le; vous trouverez probablement au moins 5 à 7 lignes rouges.

Version Pro: une protection automatique en un clic

La version Pro ajoute sept modules à la version gratuite, transformant l’audit en protection active. La différence la plus notable est le bouton Appliquer la correction à côté de nombreux tests: au lieu de modifier le code manuellement, vous cliquez sur un bouton et l’extension corrige elle-même la vulnérabilité.

La correction automatique peut désactiver XML-RPC, fermer l’édition de fichiers depuis l’administration, masquer les messages d’erreur PHP et réaliser deux douzaines d’autres tâches de durcissement classiques. Cela fait gagner des heures de travail manuel, surtout si vous gérez plusieurs sites.

Scanner principal et détection de malwares

Le Scanner principal de la version Pro va plus loin que la version gratuite: il ne se contente pas de signaler les divergences, il vous permet aussi de restaurer le fichier original du cœur en un clic ou de supprimer un fichier suspect directement depuis l’interface du plugin.

Un fichier du cœur modifié n’est pas toujours synonyme de piratage. Parfois, c’est le résultat d’une mise à jour qui a échoué ou d’expérimentations d’un développeur. Mais la visionneuse de fichiers intégrée vous aide à évaluer rapidement la situation sans passer par FTP ou le gestionnaire de fichiers de l’hébergeur.

Le Scanner de malwares examine les fichiers du serveur avec des méthodes heuristiques: il compare le contenu avec des échantillons de code typiques des scripts malveillants. Le développeur prévient honnêtement: le fait qu’un fichier soit signalé ne signifie pas automatiquement que vous avez affaire à un malware. Les faux positifs existent, en particulier sur les thèmes personnalisés avec des fonctions non standard.

Un fichier vérifié peut être ajouté à la liste blanche pour ne plus apparaître dans les prochains scans. Un fichier infecté peut être supprimé directement depuis l’interface. En pratique, le scanner détecte bien les backdoors classiques, les shells scripts et les injections cachées de type eval/base64, mais il peut ne pas fonctionner face à du code obscurci sur mesure. Pour ces cas, il faut un audit manuel ou un service externe comme Sucuri.

Pare-feu cloud et blocage par pays

Le pare-feu de la version Pro ne repose plus sur les règles 8G, mais sur un véritable pare-feu cloud disposant d’une base de données de plus de 600 millions d’adresses IP malveillantes connues, mise à jour toutes les six heures. Il bloque automatiquement les injections SQL, les attaques XSS et autres attaques classiques au niveau de la requête HTTP.

Lors de l’activation du pare-feu, le plugin génère un lien de récupération unique. Si votre IP est bloquée par erreur (cela arrive avec des réglages agressifs), vous pouvez accéder au site via ce lien et vous débloquer.

Dans les paramètres du pare-feu, deux modes automatiques clés sont disponibles: refuser l’accès aux IP malveillantes connues et bloquer les requêtes de pages suspectes.

Le blocage par pays est un module utile pour les sites qui n’ont pas besoin de trafic en provenance de certaines régions. Vous pouvez bloquer complètement l’accès depuis les adresses IP des pays sélectionnés ou afficher aux visiteurs un message d’indisponibilité. Pour une boutique en ligne opérant uniquement en Russie et dans les pays de la CEI, c’est un moyen simple de couper court à la plupart des attaques automatisées.

Protection de la connexion et authentification à deux facteurs

La page de connexion est la cible principale des attaques sur WordPress. Security Ninja Pro la protège avec trois outils:

• Limitation des tentatives de connexion, une limite configurable (par exemple, 5 tentatives échouées en 5 minutes bloquent l’IP pendant 2 heures);
• Changement de l’URL de connexion, si l’adresse standard /wp-admin subit constamment des attaques par force brute, elle peut être déplacée vers une adresse non standard;
• Authentification à deux facteurs (2FA), une couche de vérification supplémentaire lors de la connexion.

En pratique, la combinaison «URL de connexion renommée + 2FA + limitation des tentatives» bloque pratiquement toutes les attaques de connexion automatisées. Pour les sites avec plusieurs administrateurs, vous pouvez ajouter des IP permanentes à la liste blanche afin d’éviter de bloquer accidentellement des collègues.

Planificateur d’analyse et journal des événements

Le planificateur exécute automatiquement les scanners du cœur et des malwares, selon une fréquence allant d’une fois par mois à chaque minute. Un détail utile: un email de rapport n’est envoyé que si quelque chose a changé. Si le site est sain, vous ne recevez aucun email. Si un nouveau fichier suspect apparaît, vous en êtes immédiatement informé.

Le journal des événements de la version Pro suit tout ce qui se passe sur le site: publication d’articles, modifications de fichiers, installations de plugins, changements de paramètres et actions des utilisateurs.

Les journaux peuvent être filtrés par type d’événement et par utilisateur. Les notifications par email sont configurables pour chaque type d’événement: par exemple, recevoir des emails en cas de modification de fichiers, mais pas lors de la publication d’articles. La version Pro prend également en charge les webhooks pour les notifications Slack ou Discord lors d’événements critiques.

En 2025-2026, deux modules notables ont été ajoutés à la version Pro: WooCommerce Protection pour la protection contre les commandes indésirables, les attaques par force brute sur les coupons et les formulaires de commande, et 404 Guard pour bloquer les scanners agressifs qui martèlent des URL inexistantes et gaspillent les ressources du serveur.

Combien coûte Security Ninja

La version gratuite est disponible sur WordPress.org et le reste pour toujours. La version Pro est vendue par abonnement avec trois options de paiement (tarifs en vigueur en juin 2026):

Toutes les formules incluent un essai gratuit de 14 jours et une garantie de remboursement de 30 jours; ce sont les conditions officielles du site du développeur. En pratique, la formule annuelle à 119 $ pour un site est l’option optimale: cela revient à un peu moins de 10 $ par mois, et les fonctionnalités couvrent parfaitement les besoins d’un site commercial ou d’un blog avec du trafic.

Une licence à vie est rentabilisée en deux ans d’utilisation. Pour les agences et les freelances qui gèrent plusieurs sites, la formule 5 sites offre le meilleur rapport qualité-prix par site.

Voir Security Ninja en action

Avant de l’installer, regardez à quoi ressemble le plugin en situation réelle. Cette revue montre le cycle complet: installation, premier audit, configuration du pare-feu et analyse des malwares.

⁉️🤔 Foire aux questions

Pourquoi ai-je besoin d’un plugin de sécurité distinct si mon hébergement promet une protection?

L’hébergement protège le serveur; le plugin protège le site. Ce sont deux niveaux différents, et un projet commercial a besoin des deux. La protection de l’hébergement agit au niveau du serveur et ne voit pas les vulnérabilités à l’intérieur de WordPress: un plugin défaillant, un mot de passe administrateur faible ou un fichier cœur modifié. Security Ninja vérifie précisément le niveau applicatif, ce que l’hébergement ne contrôle pas. Un pare-feu serveur ne remarquera pas qu’une personne s’est enregistrée avec des droits d’éditeur et a téléversé un script malveillant via une faille dans un plugin de formulaire, mais Security Ninja le détectera lors de l’analyse suivante.

Le plugin ralentit-il significativement le site?

La version gratuite n’affecte pas du tout le frontend; elle fonctionne uniquement dans l’interface d’administration. Le pare-feu Pro ajoute un délai microscopique au niveau des requêtes HTTP (de l’ordre de la milliseconde) lorsqu’il vérifie l’IP par rapport à la base de données cloud. Les scanners s’exécutent via wp-cron et ne créent pas de charge constante. Sur un site de test comportant 50 000 articles, une analyse complète du cœur a pris environ 40 secondes sans aucun ralentissement du frontend. Pour un hébergement mutualisé aux ressources limitées, planifiez l’analyse pendant les heures de nuit.

Peut-on l’utiliser avec un autre plugin de sécurité?

Oui, mais avec des réserves. Deux pare-feux fonctionnant simultanément peuvent entrer en conflit et bloquer des requêtes légitimes. Si vous avez déjà Wordfence ou Solid Security avec un pare-feu actif, il est préférable de désactiver le pare-feu de Security Ninja et de conserver les scanners et l’audit. La combinaison de Security Ninja (scanners + journal) avec le pare-feu cloud de Cloudflare fonctionne sans conflit. En revanche, Wordfence et le pare-feu de Security Ninja ensemble produisent des faux positifs sur les requêtes légitimes de l’API REST. La règle est simple: un seul pare-feu, tout le reste peut être dupliqué.

Ai-je besoin de la version Pro pour un petit blog?

Si le blog ne comporte ni formulaire d’inscription, ni WooCommerce, ni données personnelles d’utilisateurs, la version gratuite suffit pour un audit périodique. En revanche, si le blog génère des revenus (publicités, liens d’affiliation), la version Pro avec corrections automatiques, pare-feu et surveillance est une assurance qui, au tarif annuel de 119 $ par site, coûte moins cher qu’un abonnement mensuel. Un petit blog qui reçoit 200 visiteurs par jour subit les mêmes attaques de bots qu’un site important. La différence, c’est que le propriétaire du blog peut ne pas se connecter au panneau d’administration pendant des semaines et ignorer que le site a déjà été piraté. Un scanner planifié avec notifications est ici indispensable.

Qu’en est-il du support et des mises à jour?

Le plugin est mis à jour régulièrement: d’après le journal des modifications sur WordPress.org, 2 à 3 versions par mois sont sorties en 2025-2026. Le support répond dans la journée; les utilisateurs Pro bénéficient d’un support prioritaire. Le développeur réagit rapidement aux signalements de vulnérabilités. À en juger par les avis dans le catalogue WordPress.org, les utilisateurs soulignent des réponses de support rapides et précises; pour un plugin à 10 $ par mois, c’est un excellent niveau.

Faut-il installer Security Ninja en 2026

Security Ninja ne cherche pas à être «le plugin de sécurité unique pour toutes les situations», et c’est un atout. Il a un modèle clair: la version gratuite pour un audit honnête, la version Pro pour ceux qui ont besoin d’un pare-feu, d’une détection de logiciels malveillants et d’une protection contre les bots sans complexité inutile.

En bref: pour un site commercial, une boutique en ligne ou une plateforme avec du contenu généré par les utilisateurs, prenez la version Pro. Pour un petit blog portfolio, commencez par la version gratuite, lancez les plus de 50 tests et voyez combien de lignes rouges vous obtenez. Vous voudrez presque certainement passer à la version supérieure.

🔗 Télécharger Security Ninja depuis WordPress.org🔗 Site officiel de Security Ninja Pro