Aller au contenu principal
AIFORYA
Documentation

AIFORYA Sécurité IA

Documentation technique de AIFORYA Sécurité IA, reprise telle quelle de celle livrée avec l'extension.

Requires at least6.0
Tested up to7.0
Requires PHP8.0
Stable tag1.0.5
LicenseGPL-2.0-or-later

← Revenir à la fiche produit Sécurité WordPress augmentée par IA : audit de posture, scan malware qui explique la cause, protection connexion, blocage d'IP et audit de code.

Description

AIFORYA Sécurité IA protège votre site WordPress avec une couche d'intelligence artificielle qui ne se contente pas de signaler : elle explique. Là où les scanners classiques listent des alertes, l'IA identifie la cause probable d'une infection, distingue un vrai malware d'un usage légitime, propose des correctifs de code commentés et anticipe vos points faibles. Le tout reste léger — aucune surcouche agressive activée par défaut — et fonctionne sur votre propre clé API, sans commission ni système de crédits.

Pourquoi AIFORYA Sécurité IA ?

  • Audit de code assisté par IA — analysez le code d'une extension ou du thème actif : l'IA détecte les vulnérabilités (injection SQL, XSS, CSRF, exécution de code, secrets en clair…), même hors des bases de CVE, et propose pour chacune un correctif commenté et expliqué.
  • Scan malware contextuel — l'IA distingue un vrai malware (webshell, porte dérobée, obfuscation, exfiltration) d'un usage légitime (cache, minification), pour réduire drastiquement les faux positifs.
  • Explication de la cause — pour chaque découverte, une hypothèse de cause probable (extension vulnérable, mot de passe faible, secret exposé) et les étapes de nettoyage recommandées, en français clair.
  • Protection temps réel — garde anti force brute avec verrouillage après échecs, blocage des adresses IP malveillantes, pièges (honeypots), blocage de l'énumération des utilisateurs, désactivation de XML-RPC et en-têtes de sécurité.
  • Prédiction de vecteur d'attaque — l'IA évalue les risques probables des 30 prochains jours selon vos extensions et thèmes installés, et propose des actions prioritaires.
  • Analyse des journaux — repérage des comportements discrets (reconnaissance, énumération, attaques « low and slow ») invisibles aux filtres par mots-clés.
  • Rapport hebdomadaire en clair — un bilan compréhensible de ce qui a été bloqué et de l'état du site, idéal pour informer un client.
  • Tableau de bord transparent — score de sécurité, découvertes ouvertes, événements par gravité, IP bloquées et coût IA du mois affiché en temps réel.
  • Clé API personnelle — vous fournissez votre clé (Anthropic, OpenAI ou Google) et payez le fournisseur directement. AIFORYA ne facture que la licence par site, sans commission.
  • Léger et non intrusif — aucune mise en tampon de vos pages, scans lourds à la demande ou en tâche de fond, en-têtes stricts et CSP optionnels et guidés.
  • Disponible en 6 langues : Français, Anglais, Allemand, Espagnol, Italien, Néerlandais.

Les onglets

Tableau de bord — Votre posture de sécurité en un coup d'œil : score, critiques et alertes élevées, IP bloquées, événements sur 7 jours, pièges déclenchés et coût IA du mois. Une synthèse générée par l'IA diagnostique votre niveau de risque, et le dernier rapport hebdomadaire est consultable.

Protection temps réel — Activez les défenses : garde anti force brute, blocage d'IP, honeypots, blocage de l'énumération des utilisateurs, désactivation de XML-RPC. Réglez le nombre de tentatives et la durée de verrouillage, configurez les en-têtes de sécurité (dont HSTS et CSP), et gérez manuellement le blocage ou le déblocage des adresses IP.

Scanner & Audit — Lancez un scan complet (malware, secrets, intégrité), auditez la configuration et enregistrez une empreinte d'intégrité. Chaque découverte peut être revue par l'IA. Auditez le code d'une extension ou du thème, prédisez les vecteurs d'attaque et analysez vos journaux.

Réglages — Vos clés API personnelles (chiffrées), le fournisseur prioritaire, l'e-mail du rapport hebdomadaire, les fonctions de scan actives, le fragment de durcissement serveur (.htaccess), les modèles avancés et les options (dégradation gracieuse, suppression des données à la désinstallation).

Documentation — Prise en main en quatre étapes, protection au niveau du serveur et rappel des fonctions clés.

Confidentialité

Les identifiants sont pseudonymisés et les adresses IP anonymisées ; aucune donnée personnelle n'est transmise aux API d'IA. Vos clés API sont chiffrées avant stockage et ne transitent jamais par les serveurs d'AIFORYA. Les données de l'extension (journaux, découvertes, réglages, listes de blocage) peuvent être entièrement supprimées à la désinstallation via une option dédiée.

External services

Cette extension se connecte à des fournisseurs d'IA tiers que VOUS choisissez et configurez avec votre propre clé API, afin d'analyser du code, de qualifier un malware, d'évaluer des risques et de rédiger des synthèses. Aucune fonction d'IA n'appelle de service tant que vous n'avez pas saisi une clé et activé la fonction correspondante.

Selon le fournisseur configuré, les requêtes sont envoyées à l'un de ces services :

De façon optionnelle, si vous fournissez une clé Resend, le rapport hebdomadaire est envoyé par ce service (sinon, il est envoyé via la messagerie de WordPress) :

Données envoyées : aux API d'IA, le contenu à analyser (extrait de code, extrait de journaux, liste des extensions/thèmes installés, ou résultats d'audit à synthétiser) accompagné de votre clé API pour l'authentification ; à Resend, l'adresse e-mail de destination et le texte du rapport hebdomadaire. Les identifiants sont pseudonymisés et les adresses IP ne sont pas transmises. Les requêtes n'ont lieu que lorsqu'une fonction s'exécute (action manuelle ou tâche planifiée).

Installation

  1. Installez et activez AIFORYA Sécurité IA.
  2. Dans Protection temps réel, la garde anti force brute, le blocage d'IP et les pièges sont déjà actifs ; ajustez les réglages selon votre site.
  3. Dans Réglages, collez votre clé API personnelle (Anthropic recommandé pour l'audit de code approfondi) pour activer les fonctions d'IA.
  4. Dans Scanner & Audit, lancez un scan complet et enregistrez une empreinte d'intégrité, puis laissez l'IA expliquer chaque découverte.

Changelog

1.0.5

  • Nouveau : mode « Observer » pour la Content-Security-Policy. Une CSP posée à l'aveugle casse souvent l'affichage. En mode Observer, le navigateur n'applique rien : il signale ce qu'il aurait bloqué. Les signalements sont reçus par votre site (origines seulement, jamais les adresses complètes ni les données des visiteurs) et un récapitulatif quotidien est envoyé à l'adresse de votre choix. Quand plus rien d'inattendu n'apparaît, passez en mode Appliquer.

1.0.4

  • Correctif — le plan de site des utilisateurs répondait encore « 200 ». Depuis la 1.0.3 il ne listait plus aucun compte, mais son adresse renvoyait la page d'accueil avec un code de succès : un robot y lisait « cette adresse existe ». Elle renvoie désormais une vraie erreur 404 quand « Bloquer l'énumération des utilisateurs » est actif.

1.0.3

  • Correctif de sécurité — « Bloquer l'énumération des utilisateurs » ne fermait que deux portes sur quatre. Le réglage refusait bien les adresses ?author=1 et la liste des utilisateurs de l'API REST. Mais le plan de site des utilisateurs de WordPress restait publié, et chaque page d'auteur dont l'adresse est l'identifiant de connexion restait accessible : l'identifiant d'un administrateur pouvait être lu, et indexé par les moteurs de recherche. Désormais, quand le réglage est actif : le plan de site des utilisateurs n'est plus fourni, et une page d'auteur dont l'adresse reprend l'identifiant de connexion renvoie vers l'accueil. Les auteurs dont l'adresse diffère de leur identifiant gardent leur page.

1.0.2

  • Correctif de sécurité — « Désactiver XML-RPC » ne désactivait que la moitié de XML-RPC. Le réglage refusait bien les méthodes qui demandent un identifiant et un mot de passe, donc les tentatives de connexion en masse. Mais pingback.ping, elle, n'en demande aucun : elle restait accessible, et c'est précisément celle qui sert aux attaques par amplification — un tiers l'appelle avec l'adresse de sa cible, et c'est votre site qui émet la requête à sa place. Elle est désormais retirée, avec pingback.extensions.getPingbacks et les méthodes de démonstration, et le site n'annonce plus ce service dans ses pages. Mesuré sur un site en production : après activation du réglage, system.listMethods répondait encore et listait pingback.ping.
  • Le rapport de sécurité affichait « Désactivé » alors que cette porte restait ouverte. Son message citait pourtant les attaques par amplification. Le verdict correspond maintenant à ce qui est réellement fermé.
  • Conséquence à connaître : quand ce réglage est actif, les autres sites ne peuvent plus vous signaler automatiquement qu'ils vous citent (rétroliens entrants). C'est le sens même du réglage, et il reste réversible à tout moment.

1.0.1

  • Correctif de sécurité. La clé qui chiffre vos clés d'API n'est plus rangée dans la base de votre site. Elle est désormais lue depuis wp-config.php — soit une constante AIFORYA_ENCRYPTION_KEY si vous en définissez une, soit, par défaut et sans rien à faire de votre part, dérivée des sels de sécurité de WordPress. Jusqu'ici, la clé dormait dans la même table que ce qu'elle protégeait : toute personne ayant accès à la base ou à une sauvegarde disposait à la fois du coffre et de sa clé. Rien à faire de votre côté, et rien n'est perdu : une clé d'API déjà enregistrée reste lisible, et se réécrit avec la nouvelle protection à votre prochain enregistrement.

1.0.0

  • Version initiale : audit de posture, scan malware contextuel, audit de code assisté par IA avec correctif, protection connexion et blocage d'IP, honeypots, en-têtes de sécurité, prédiction de vecteur d'attaque, analyse des journaux, tableau de bord et rapport hebdomadaire. 6 langues.