Nom du plugin	Sauvegarder quotidiennement
Type de vulnérabilité	Parcours de chemin
Numéro CVE	CVE-2026-3339
Urgence	Faible
Date de publication du CVE	2026-03-22
URL source	CVE-2026-3339

Traversée de chemin limitée authentifiée (Admin) dans Keep Backup Daily (<= 2.1.1) — Ce que les propriétaires de sites doivent faire aujourd'hui

Analyse technique et guide d'atténuation pour CVE‑2026‑3339 (plugin Keep Backup Daily <= 2.1.1). Comment cette traversée de chemin fonctionne, impact, détection et défenses étape par étape — du patching du plugin aux règles WAF et à la réponse aux incidents.

Auteur: Équipe de sécurité WP-Firewall
Date: 2026-03-21
Mots clés: WordPress, sécurité des plugins, traversée de chemin, CVE-2026-3339, WAF, durcissement

Résumé — Une vulnérabilité de traversée de chemin authentifiée limitée (CVE‑2026‑3339) a été divulguée dans le plugin WordPress Keep Backup Daily affectant les versions <= 2.1.1. Le fournisseur a publié des correctifs dans 2.1.3. Le défaut nécessite des identifiants administratifs pour être déclenché et permet une traversée de répertoire via le kbd_path paramètre. Bien que le risque pratique soit limité (réservé aux administrateurs), la vulnérabilité reste importante : les propriétaires de sites et les fournisseurs de services gérés doivent appliquer un patch immédiatement, valider la configuration et appliquer des atténuations en couches (y compris le patching virtuel via un pare-feu d'application Web) pour réduire le risque pendant que les mises à jour et les audits sont effectués.

Table des matières

• Contexte et faits rapides
• Qu'est-ce qu'une vulnérabilité de traversée de chemin ?
• Résumé technique du problème Keep Backup Daily (niveau élevé)
• Scénarios d'exploitation et impact réaliste
• Pourquoi cela est classé comme une gravité “ faible ” — et pourquoi vous devriez quand même vous en soucier
• Détection : signaux et indicateurs à rechercher
• Liste de contrôle d'action immédiate (que faire dans les 5 à 60 prochaines minutes)
• Atténuations à court terme si vous ne pouvez pas mettre à jour immédiatement le plugin
• Comment un WAF (et WP‑Firewall) aide — patching virtuel et règles recommandées
• Recommandations de durcissement pour réduire le risque d'abus administratif
• Réponse aux incidents : si vous soupçonnez une compromission
• Pratiques de sécurité à long terme pour prévenir des problèmes similaires
• Inscrivez-vous pour une protection gratuite avec WP‑Firewall
• Notes de clôture et références

---

Contexte et faits rapides

• Logiciels concernés : Plugin WordPress “ Keep Backup Daily ” (plugin)
• Versions vulnérables : <= 2.1.1
• Version corrigée : 2.1.3
• Type de vulnérabilité : Traversée de chemin via kbd_path paramètre (nécessite un administrateur authentifié)
• CVE : CVE‑2026‑3339
• Crédit de découverte : chercheur en sécurité (signalé publiquement)
• Date de divulgation (publique) : 20 mars 2026

Cet avis est rédigé du point de vue d'un fournisseur de sécurité WordPress et vise à donner aux propriétaires de sites des conseils pratiques immédiats : comment évaluer l'exposition, appliquer des correctifs en toute sécurité, détecter d'éventuels abus et appliquer des atténuations (y compris des règles WAF et des étapes de durcissement).

---

Qu'est-ce qu'une vulnérabilité de traversée de chemin ?

La traversée de chemin (également appelée traversée de répertoire) se produit lorsque des entrées contrôlées par l'utilisateur sont utilisées pour construire des chemins de système de fichiers sans normalisation ou validation suffisante, permettant à un attaquant d'échapper à un répertoire prévu et d'accéder à des fichiers ailleurs sur le système. Les charges utiles de traversée classiques ressemblent à ../ ou des variantes encodées (par exemple, %2e%2e%2f) qui montent dans les répertoires.

Lorsqu'elle est combinée avec des fonctions qui lisent ou écrivent des fichiers (fichier(), fopen(), include(), etc.), une faille de traversée peut divulguer des fichiers sensibles (fichiers de configuration, clés privées, données téléchargées par l'utilisateur), écraser des fichiers ou déclencher l'exécution de code si l'application est trompée pour inclure ou écrire du contenu exécutable.

Tous les bugs de traversée de chemin ne sont pas égaux : l'impact dépend fortement des fonctions accessibles, des privilèges requis pour invoquer le code vulnérable et de ce que le système de fichiers du serveur et la configuration PHP permettent.

---

Résumé technique du problème Keep Backup Daily (niveau élevé)

• Vecteur : Un point de terminaison accessible aux administrateurs du plugin accepte un paramètre nommé kbd_path. Le plugin utilise ensuite cette valeur pour opérer sur des chemins de système de fichiers sans une canonisation/normalisation adéquate, permettant aux caractères de chemin relatif (comme ../) ou leurs équivalents encodés de pointer en dehors du répertoire de sauvegarde prévu.
• Privilèges : L'exécution du code vulnérable nécessite des identifiants d'administrateur (administrateur authentifié).
• Contraintes : La faille est limitée car elle ne semble pas être accessible par des visiteurs non authentifiés ou des utilisateurs à privilèges inférieurs ; de plus, la fonctionnalité du plugin et le contexte du serveur imposent des limites supplémentaires sur ce qu'un attaquant peut faire à distance.
• État du correctif : Le fournisseur a corrigé la vulnérabilité dans la version 2.1.3 ; mettez à niveau vers 2.1.3 ou une version ultérieure pour supprimer cette vulnérabilité de votre environnement.

Important: Ce résumé évite intentionnellement de fournir des détails sur les exploits de preuve de concept. Publier des instructions d'exploitation étape par étape peut permettre aux attaquants opportunistes d'agir. Notre objectif est d'aider les défenseurs à évaluer et à atténuer les risques.

---

Scénarios d'exploitation et impact réaliste

Comme l'exploitation nécessite un accès Administrateur, les attaques se classent en deux catégories principales :

1. Abus interne ou identifiants administratifs compromis
   • Si un compte administrateur est malveillant ou a été pris en charge (hameçonné, bourrage d'identifiants), l'attaquant peut déclencher la fonctionnalité vulnérable pour tenter une traversée. Les conséquences varient selon ce que le plugin leur permet de lire/écrire :
     • Lire des fichiers sensibles : wp-config.php, clés privées, .env, sauvegardes ou autres secrets stockés.
     • Écraser ou remplacer des fichiers si la fonctionnalité du plugin prend en charge l'écriture : ce qui pourrait permettre des portes dérobées.
     • Abuser de la fonctionnalité de sauvegarde pour télécharger des données du site.
2. Escalade post-compromission
   • Un attaquant qui a déjà un accès limité au site (par exemple, un plugin compromis ou un mot de passe administrateur faible) peut utiliser le bug de traversée pour augmenter son contrôle. Par exemple, lire wp-config.php révèle les identifiants de la base de données et les sels, permettant un mouvement latéral.

L'impact dans le monde réel dépend de :

• Quelles opérations de fichiers le plugin effectue avec kbd_path.
• Les permissions de fichiers du serveur et si PHP s'exécute avec des privilèges élevés.
• La présence de fichiers sensibles dans des répertoires accessibles par traversée.

Même si l'exécution immédiate de code est peu probable, la divulgation de wp-config.php, sauvegardes ou autres secrets est un gain de grande valeur pour les attaquants et peut conduire à une prise de contrôle complète du site.

---

Pourquoi cela est classé comme une gravité “ faible ” — et pourquoi vous devriez quand même vous en soucier

Les évaluations de risque (CVSS ou scores du fournisseur) tiennent compte du contexte exploitable. Cette vulnérabilité a un faible score CVSS car :

• Il nécessite des privilèges d'administrateur pour être déclenché (non exploitable à distance par des utilisateurs anonymes).
• L'exploitation est contrainte par le comportement des plugins et du serveur.

Cependant :

• De nombreux sites WordPress ont plusieurs administrateurs et des identifiants partagés entre les équipes — l'exigence administrative n'est pas une garantie de sécurité.
• Les comptes administrateurs sont couramment ciblés par le remplissage de credentials, le phishing et l'ingénierie sociale.
• L'impact de la lecture des fichiers de configuration ou des sauvegardes peut être sévère même si la vulnérabilité initiale est “limitée”.

En résumé : “faible” ne signifie pas “ignorer”. Traitez cela comme un correctif de haute priorité si vous gérez un site avec plusieurs utilisateurs ou tout historique de mauvaise hygiène des identifiants administratifs.

---

Détection : signaux et indicateurs à rechercher

Lors de l'évaluation de la possibilité que votre site ait été ciblé ou exploité, examinez les journaux et indicateurs suivants :

1. Journaux du serveur et d'accès
   • Requêtes POST/GET inhabituelles vers des points de terminaison de plugins avec kbd_path paramètre.
   • Requêtes contenant des séquences de traversée : ../, ..%2f, %2e%2e%2f, ou de longs chemins encodés ciblant les répertoires racines.
   • Pages administratives accessibles depuis des IP inconnues ou à des heures inhabituelles.
2. Plugins d'audit WordPress / journaux d'activité
   • Nouveaux utilisateurs administrateurs créés de manière inattendue.
   • Modifications apportées aux plugins, thèmes ou options effectuées par un compte administrateur qui ne devrait pas apporter ces changements.
   • Changements dans les sauvegardes, ou téléchargement en masse de fichiers de sauvegarde.
3. Intégrité des fichiers
   • Changements inattendus dans les fichiers principaux, les téléchargements, les fichiers de thème ou de nouveaux fichiers PHP dans wp-content.
   • Nouvelles tâches planifiées (cron) ou modifications de wp-config.php, .htaccess ou d'autres fichiers de configuration.
4. Base de données
   • Métadonnées d'utilisateur administrateur suspectes (emails modifiés, noms d'affichage).
   • Entrées inattendues dans les tables d'options ou de plugins.
5. Journaux du panneau d'hébergement et FTP/SFTP
   • Transferts de fichiers ou connexions depuis des IP ou des clients inattendus.

Si vous trouvez des signes de modèles de traversée ou de lectures de fichiers non autorisées, supposez un risque élevé et mettez en œuvre une réponse à l'incident.

---

Liste de contrôle d'action immédiate (que faire dans les 5 à 60 prochaines minutes)

Si vous utilisez Keep Backup Daily sur un site WordPress :

1. Mettez à jour le plugin immédiatement
   Mettez à niveau vers la version 2.1.3 ou ultérieure. C'est la solution la plus fiable.
   Si vous gérez plusieurs sites, priorisez ceux avec de nombreux administrateurs ou collaborateurs externes.
2. Si vous ne pouvez pas mettre à niveau immédiatement, désactivez le plugin.
   Désactivez temporairement Keep Backup Daily jusqu'à ce que vous puissiez tester et mettre à niveau. Pour les sites avec des dépendances de sauvegarde en production, remplacez par une solution de sauvegarde alternative ou planifiez des sauvegardes côté hébergeur.
3. Rotation des identifiants
   Si vous soupçonnez que des comptes administrateurs peuvent être compromis, changez leurs mots de passe et clés secrètes (et encouragez l'utilisation de mots de passe forts et uniques).
   Appliquez ou activez l'authentification MFA (Multi-Factor Authentication) sur tous les comptes administrateurs.
4. Vérifiez les journaux pour une activité suspecte
   Recherchez des demandes vers les points de terminaison du plugin avec kbd_path ou des charges utiles de traversée comme décrit dans la section Détection.
5. Prenez des instantanés et conservez les preuves
   Exportez les journaux et un instantané du système de fichiers pour une analyse judiciaire ultérieure avant de faire d'autres modifications.
6. Appliquez des mesures de protection supplémentaires (voir les sections suivantes)
   Règle WAF temporaire pour bloquer les tentatives de traversée.
   Restreignez l'accès administrateur par IP ou appliquez une authentification de base au niveau de l'hébergement si possible.

---

Atténuations à court terme si vous ne pouvez pas mettre à jour immédiatement le plugin

Tous les propriétaires de sites ne peuvent pas appliquer immédiatement les mises à jour des plugins — les déploiements programmés, les déploiements par étapes ou la dépendance à l'hébergement géré peuvent retarder le patching. Voici des mesures défensives que vous pouvez mettre en œuvre en attendant :

1. Patching virtuel avec un WAF
   Configurez le WAF pour bloquer les demandes qui incluent des séquences de traversée dans le kbd_path paramètre et bloquez l'accès direct au point de terminaison du plugin pour les IP non administrateurs.
   Surveillez et bloquez les modèles suspects (voir les conseils WAF ci-dessous).
2. Restreindre l'accès administratif
   Limitez l'accès à wp-admin via une liste blanche d'IP au niveau de l'hébergement ou du proxy inverse.
   Si vous ne pouvez pas restreindre par IP, ajoutez une authentification HTTP Basic devant wp-admin.
3. Renforcer les permissions des fichiers
   Assurez-vous que l'utilisateur du serveur web ne peut pas écrire dans les répertoires qui devraient être statiques (par exemple, le cœur de WordPress, les thèmes à moins que des mises à jour ne soient attendues).
   Assurez-vous que le stockage de sauvegarde est en dehors de la racine web lorsque cela est possible, ou au moins pas lisible par le monde.
4. Désactivez ou sécurisez les points de terminaison des plugins via le code du plugin (dernier recours).
   Si vous avez des ressources de développement : ajoutez une validation d'entrée à court terme pour kbd_path (rejeter ../ ou encodé ../) ou ajoutez des vérifications de capacité. Ne faites cela que si vous pouvez tester et déployer en toute sécurité ; évitez de modifier les fichiers du plugin en production sans test.
5. Réduisez la surface d'attaque
   Supprimez les utilisateurs administrateurs inutilisés.
   Révoquez les capacités d'édition de plugin/thème inutiles des comptes qui n'en ont pas besoin.

---

Comment un WAF (et WP‑Firewall) aide — patching virtuel et règles recommandées

Un pare-feu d'application web (WAF) est très utile lorsque le patching immédiat est retardé car il peut intercepter et bloquer les demandes suspectes avant que l'application ne les voie. Du point de vue de WP‑Firewall (fournisseur de WAF WordPress géré), voici comment procéder :

Stratégies WAF de haut niveau

• Patching virtuel : créez une règle qui bloque les demandes aux points de terminaison du plugin contenant des motifs de traversée de chemin suspects dans le kbd_path paramètre.
• Sécurité positive : autorisez uniquement les actions administratives connues et bonnes (liste blanche) lorsque cela est pratique.
• Limitation de débit et détection d'anomalies pour les points de terminaison administratifs afin de réduire la force brute et les abus automatisés.

Signatures de détection recommandées (conceptuelles)

• Bloquer les requêtes où le kbd_path le paramètre contient des séquences telles que :
  • ../ ou ..\ in raw or URL-encoded forms (%2e%2e%2f, %2e%2e%5c, etc.).
  • Séquences de traversée doublement encodées ou longues chaînes d'encodage.
• Bloquez ou signalez les demandes avec kbd_path des anomalies de longueur (chemins extrêmement longs ou non sensés).
• Faites en sorte que les demandes qui modifient les cibles du système de fichiers proviennent uniquement de sessions administratives vérifiées (vérifiez les nonces et les cookies WordPress valides).

Exemple : comment une règle de patch virtuel pourrait être formulée (logique pseudo - ne pas copier textuellement dans des pages publiques)

• Si la requête HTTP contient un paramètre kbd_path ET kbd_path correspondant à un modèle de traversée (../ ou des variantes encodées en URL) ET que le demandeur n'est pas sur la liste blanche des IP de confiance de l'administrateur => Bloquer la requête et enregistrer l'événement.

Pourquoi cette règle est utile

• Elle empêche les tentatives d'exploiter le kbd_path paramètre même si le plugin lui-même n'est pas corrigé.
• Le WAF peut également limiter le taux des tentatives répétées, réduisant ainsi le risque d'utilisation abusive des identifiants par force brute menant à une exploitation.

Avertissement : évasion du WAF

• Des attaquants expérimentés peuvent essayer de contourner une règle naïve avec des encodages complexes ou des encodages alternatifs. Utilisez un WAF réputé qui normalise les entrées de requête avant de faire correspondre les règles et qui prend en charge le patch virtuel avec normalisation et décodage.

Fonctionnalités de WP‑Firewall qui facilitent cela

• Déploiement centralisé de patchs virtuels : appliquez la règle à tous vos sites gérés rapidement.
• Correspondance des entrées normalisées pour attraper les tentatives de traversée encodées.
• Renforcement des points de terminaison administratifs et listes blanches d'IP.
• Journalisation des activités et alertes pour détecter les tentatives contre la règle.

Si vous utilisez WP‑Firewall, activez le patch virtuel automatique pour les vulnérabilités connues lorsque cela est possible, et examinez les hits de règles pendant la période entre la découverte et le patch.

---

Recommandations de durcissement pour réduire le risque d'abus administratif

Parce que la vulnérabilité nécessite des identifiants administratifs, réduire la surface d'attaque des administrateurs est la stratégie à long terme la plus efficace.

1. Appliquer le principe du moindre privilège
   Auditez les comptes de niveau administrateur ; convertissez les utilisateurs qui n'ont pas besoin de droits d'administrateur en Éditeur ou Contributeur.
   Utilisez des plugins de gestion des rôles ou des contrôles au niveau de l'hôte pour un permissionnement granulaire.
2. Authentification forte
   Appliquez des mots de passe complexes et uniques ainsi que l'authentification multifactorielle pour tous les administrateurs.
   Mettez en œuvre la rotation des mots de passe et révoquez les identifiants par défaut ou partagés.
3. Réduisez l'accès partagé.
   Évitez d'utiliser des comptes ou des mots de passe administratifs partagés sur plusieurs sites.
   Utilisez SSO ou fédération lors de la gestion de nombreux sites.
4. Séparez les responsabilités de sauvegarde.
   Utilisez des sauvegardes gérées par l'hôte ou des services de sauvegarde dédiés avec des identifiants séparés et un accès limité à l'administration de WordPress.
   Stockez les sauvegardes en dehors de la racine web et limitez l'accès du serveur web à celles-ci.
5. Audit et surveillance
   Activez la journalisation des activités des plugins et des administrateurs. Examinez les journaux périodiquement.
   Mettez en œuvre une surveillance de l'intégrité des fichiers pour recevoir des alertes en cas de changements inattendus.
6. Tester les mises à jour dans l'environnement de staging
   Testez les mises à jour des plugins en environnement de staging avant le déploiement en production pour éviter des incompatibilités surprises, mais priorisez toujours les correctifs de sécurité.

---

Réponse aux incidents : si vous soupçonnez une compromission

Si vous détectez des preuves de tentatives de traversée ou de divulgation de fichiers sensibles, traitez cela comme un potentiel compromis et suivez une réponse aux incidents structurée :

1. Contenir
   Isolez immédiatement le site affecté : désactivez le plugin vulnérable (si c'est sûr), bloquez le(s) compte(s) administrateur(s) responsable(s) et/ou bloquez les IPs de l'attaquant.
   Si vous hébergez avec un fournisseur, demandez une suspension temporaire du site ou restreignez l'accès pendant l'enquête.
2. Préserver
   Prenez un instantané du système de fichiers et de la base de données. Conservez les journaux (serveur web, PHP, activité WordPress).
   Ne pas écraser les journaux ou les instantanés ; ils sont critiques pour l'analyse judiciaire.
3. Éradiquer
   Supprimez toutes les portes dérobées ou fichiers malveillants découverts.
   Remplacez ou reconstruisez les composants du site infecté à partir de sources fiables si nécessaire.
4. Récupérer
   Corrigez le plugin (mettez à niveau vers 2.1.3 ou version ultérieure) et tous les autres composants.
   Faites tourner tous les identifiants administratifs et les jetons API qui pourraient être compromis (y compris les identifiants de la base de données si wp-config.php a été exposé).
   Restaurez une sauvegarde propre si nécessaire.
5. Suite à l'incident
   Effectuez une analyse des causes profondes et documentez les actions entreprises.
   Renforcez le site en utilisant les recommandations de ce guide.
   Envisagez une réponse professionnelle aux incidents/sécurité gérée si le compromis est complexe.

Si vous gérez de nombreux sites ou manquez d'expertise interne, envisagez un partenaire de sécurité géré qui peut effectuer une analyse judiciaire et un nettoyage.

---

Pratiques de sécurité à long terme pour prévenir des problèmes similaires

• Maintenez un rythme de mise à jour : mettez à jour le cœur de WordPress, les plugins et les thèmes rapidement — priorisez les mises à jour de sécurité.
• Utilisez une approche de défense en couches : mots de passe forts/MFA, privilège minimal, WAF et surveillance de l'intégrité des fichiers.
• Centralisez la journalisation de la sécurité et les alertes pour repérer les anomalies sur plusieurs sites.
• Effectuez des analyses de vulnérabilité périodiques et des audits de code pour les plugins personnalisés ou les plugins fréquemment utilisés.
• Créez un inventaire de site et maintenez une liste priorisée de plugins critiques pour la mission ; surveillez les avis des fournisseurs et les flux CVE pour les changements.
• Automatisez les mises à jour sûres lorsque cela est possible (mises à jour automatiques par étapes, sauvegardes avant les mises à jour).

---

Inscrivez-vous pour une protection gratuite avec WP‑Firewall

Sécurisez votre site maintenant — Commencez par une couche gratuite de protection gérée.

Si vous recherchez une protection immédiate et pratique pendant que vous appliquez des correctifs et renforcez, envisagez d'essayer le plan de base (gratuit) de WP‑Firewall. Il comprend une couverture essentielle de pare-feu géré, une bande passante illimitée, un WAF avec patching virtuel, un scanner de malware et des atténuations pour les risques OWASP Top 10. Déployer cette couche vous donne du temps pour mettre à jour des plugins comme Keep Backup Daily et pour effectuer des étapes d'analyse judiciaire ou de renforcement en toute sécurité.

• Basique (gratuit) : protection essentielle — pare-feu géré, bande passante illimitée, WAF, scanner de malware et atténuations OWASP Top 10.
• Standard ($50/an) : tout dans le plan Basic, plus suppression automatique des logiciels malveillants et la possibilité de mettre sur liste noire/blanche jusqu'à 20 IP.
• Pro ($299/an) : tout dans Standard, plus des rapports de sécurité mensuels, un patching virtuel automatisé des vulnérabilités et un accès à des modules complémentaires premium (Gestionnaire de compte dédié, Optimisation de la sécurité, Jeton de support WP, Service WP géré, Service de sécurité géré).

Créez un compte gratuit et appliquez un patch virtuel protecteur maintenant : https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Nous avons construit WP‑Firewall pour compléter votre processus de mise à jour — pas pour le remplacer. Le patching virtuel plus les meilleures pratiques offriront une fenêtre de défense robuste pendant que vous appliquez des corrections permanentes.

---

Notes de clôture et références

• Mettez à niveau Keep Backup Daily vers 2.1.3 ou une version ultérieure comme votre étape de remédiation principale.
• Prenez au sérieux les résultats de “faible gravité” lorsqu'ils impliquent des fonctionnalités administratives ; le chemin de la vulnérabilité limitée à la prise de contrôle totale est souvent court une fois que des identifiants ou des secrets sont divulgués.
• Utilisez une approche en couches : corrigez, restreignez, surveillez et appliquez un patch virtuel (WAF) pour réduire rapidement l'exposition.
• Préservez les preuves si vous voyez des signes d'exploitation et suivez un processus de réponse aux incidents.

Si vous avez besoin d'aide pour déployer des correctifs virtuels, activer les protections des points de terminaison administratifs ou obtenir un second avis pour la révision des journaux, l'équipe WP‑Firewall fournit des services gérés et un support à la demande. Nous pouvons vous aider à appliquer des règles WAF temporaires qui bloquent en toute sécurité les tentatives de traversée et à déployer un durcissement à long terme sur plusieurs sites.

Restez en sécurité. Gardez vos comptes administratifs limités et protégés, corrigez rapidement les plugins et utilisez un WAF comme multiplicateur de force pour une protection rapide et non perturbante.

Références et lectures complémentaires

• CVE : CVE‑2026‑3339 (Conservez une sauvegarde quotidienne <= 2.1.1 — traversée de chemin via kbd_path)
• Lecture générale sur les meilleures pratiques de traversée de chemin et de canonicalisation (OWASP)
• Liste de contrôle de durcissement de WordPress et meilleures pratiques pour les comptes administratifs

---

Auteurs

Équipe de sécurité WP‑Firewall — nous défendons les sites WordPress avec une approche en couches : WAF géré, correctifs virtuels, surveillance continue et conseils en ingénierie de sécurité. Pour un démarrage rapide avec des protections gérées, visitez https://my.wp-firewall.com/buy/wp-firewall-free-plan/ et appliquez une couche de pare-feu gratuite à votre site en quelques minutes.