Ce que fait chaqueréglage, et pourquoi.

Installer

Extensions → Ajouter → Téléverser une extension → loginly.zip, puis activez. Le menu Loginly apparaît dans la barre latérale : Accueil, Réglages, Licence.

Loginly Pro s’installe de la même façon, à côté du gratuit. Il ne le remplace pas : il lui ajoute ce qu’il apporte, et disparaît proprement si vous le désactivez.

L’adresse de connexion

Servez la page depuis votresite.com/votre-adresse/ et faites répondre 404 à /wp-login.php. Cela supprime le bruit de fond automatique qui frappe tous les sites WordPress, jour et nuit.

Cela ne peut pas vous enfermer dehors

Quand vous appliquez une nouvelle adresse, le serveur la rappelle lui-même comme un visiteur déconnecté et vérifie que le formulaire apparaît bien — et que l’ancienne adresse a bien cessé de répondre. Si la vérification échoue, le réglage précédent est restauré.

Une veille horaire refait ce contrôle : après trois échecs consécutifs, /wp-login.php revient et vous recevez un courriel. S’ajoutent une adresse de secours, une constante LOGINLY_URL_DISABLE à poser dans wp-config.php, et la commande wp loginly unlock.

Ce qui protège vraiment

Déplacer la page de connexion n’est pas une serrure : c’est un déménagement. Le bilan d’exposition, dans l’onglet Sécurité, le dit lui-même. La serrure, c’est ceci :

• Le ralentissement. Après cinq échecs venant de la même adresse, chaque tentative doit attendre, et l’attente s’allonge. Aucun compte n’est jamais bloqué définitivement : viser un identifiant ne peut pas enfermer son propriétaire dehors, seule l’adresse compte.
• Le champ-piège. Invisible pour une personne, rempli par un programme qui remplit tout. Il ne coûte rien et ne dépend de personne.
• Les messages neutres. « Identifiant ou mot de passe incorrect » plutôt que « ce compte n’existe pas » : le formulaire cesse d’être un annuaire.
• La double authentification. Un code à six chiffres produit par une application, avec dix codes de secours. Chacun l’active depuis son profil.

Le bilan d’exposition

Il interroge votre site depuis le serveur, sans être connecté, et rapporte ce qu’un inconnu obtient réellement : la liste des comptes par l’API REST, la sonde ?author=1, le plan de site des auteurs. Chaque constat porte un bouton qui le referme.

C’est volontairement le seul écran du produit qui vous dit ce qui ne va pas plutôt que ce qu’il sait faire.

Ce que Loginly Pro ajoute

Le code des fonctionnalités professionnelles n’est pas dans l’extension gratuite : rien n’y est éteint en attendant un paiement.

• Le parc. Un site publie sa charte, tous les autres sites de la même licence la reprennent. L’adresse de connexion, la clé de secours et les secrets de chaque site ne voyagent jamais.
• Le bouclier. Une épreuve anti-robot sans CAPTCHA et sans service tiers : le serveur pose une devinette qu’un navigateur résout en une fraction de seconde, et qu’un programme essayant dix mille mots de passe résout dix mille fois.
• La preuve. Une alerte quand un compte se connecte depuis une origine jamais vue, un résumé hebdomadaire, chaque événement transmis à Slack ou à votre point d’entrée avec une signature, et le journal exporté en CSV.
• Le contrôle d’accès. Plage horaire par rôle, adresses autorisées, durée de session — votre propre adresse est ajoutée d’office pour que le réglage ne puisse pas vous enfermer dehors.
• Les mots de passe. Refus de ceux qui figurent déjà dans une fuite connue. Le mot de passe ne sort jamais de votre serveur : seuls cinq caractères de son empreinte partent, et la comparaison se fait chez vous.
• Clés d’accès, lien de connexion par courriel, accès temporaires, redirections par rôle, marque blanche de l’administration, neuf modèles de plus.

Ce qui sort de votre serveur

Rien, tant que vous n’allumez pas une fonctionnalité qui l’exige. Les fontes sont servies par votre site, la double authentification et les clés d’accès sont calculées chez vous, il n’y a ni mesure d’audience ni télémétrie.

Trois exceptions, toutes explicites : le service de CAPTCHA que vous choisissez, la vérification des mots de passe fuités si vous l’activez, et la vérification quotidienne de votre licence Pro.

Pour les développeurs

Le socle expose ses points d’extension : loginly_settings_schema, loginly_admin_panels, loginly_admin_data, loginly_routes, loginly_cron_tasks, loginly_journal_event, loginly_settings_pre_save, loginly_settings_non_portables, loginly_imposed_settings et loginly_settings_locked.

Un panneau déclaré par un filtre est dessiné par le socle : votre extension n’a besoin d’aucun JavaScript pour ajouter des réglages.