Tutoriel sur le journal d'activité WordPress : Guide pas à pas de la surveillance WordPress

Gérer un site web multi-utilisateurs ou un réseau multisite implique une activité intense : connexions utilisateur, modifications d'articles, mises à jour de plugins, et parfois même quelques tentatives de connexion infructueuses depuis différentes adresses IP. Sans un journal d'audit de sécurité adéquat, toutes ces données passent inaperçues et les comportements suspects peuvent ne pas être détectés. Le plugin WP Activity Log change la donne.

Dans ce tutoriel sur WP Activity Log, nous vous guiderons pas à pas dans l'installation du plugin, la configuration de ses paramètres dans le panneau d'administration WordPress et l'utilisation de toutes ses fonctionnalités, afin que vous puissiez affiner la surveillance, exclure les objets dont vous n'avez pas besoin et renforcer la sécurité de votre site web contre les attaques par force brute, les échecs de connexion et autres problèmes de sécurité.

Présentation du plugin WP Activity Log

Le plugin WP Activity Log, développé par MelaPress dans le cadre de sa suite de sécurité de confiance, est l'un des outils les plus populaires pour suivre l'activité des utilisateurs sur les sites web WordPress.

Il est conçu pour la gestion des utilisateurs et la surveillance de l'activité du site, vous aidant à suivre l'activité des utilisateurs en temps réel et à enregistrer chaque action dans un fichier journal ou dans la base de données WordPress pour consultation ultérieure.

Que vous gériez plusieurs utilisateurs sur un petit blog ou un site web WordPress d'entreprise complexe, il vous offre la visibilité dont vous avez besoin.

Fonctionnalités gratuites et premium

• Version gratuite : Idéale pour les débutants, l’édition gratuite inclut les fonctions essentielles de journalisation de l’activité WordPress, telles que le suivi de l’activité de base, l’enregistrement des sessions utilisateur et une visionneuse de journaux permettant de consulter des journaux détaillés d’actions comme les modifications de contenu, l’utilisation des identifiants de connexion et les modifications de plugins.

• Version Premium : Cette mise à niveau vous offre des fonctionnalités avancées de surveillance de site web. Vous bénéficiez d’un filtrage avancé pour des recherches plus rapides, de rapports d’activité professionnels, de rapports personnalisables en marque blanche et de notifications SMS pour les problèmes urgents.

Tarification et licences

Le prix premium est calculé en fonction du nombre de sites et d'utilisateurs que vous gérez.

Chaque licence inclut une clé d'activation, des mises à jour régulières et un accès direct à l'équipe d'assistance. Des formules sont disponibles pour les sites WordPress individuels ou les configurations plus importantes avec plusieurs utilisateurs et environnements multisites.

Pourquoi avez-vous besoin d'un plugin de journal d'activité WordPress ?

Par défaut, WordPress ne dispose pas d'outils intégrés permettant de surveiller l'activité des utilisateurs ou de suivre leurs actions au sein de WordPress.

Cela signifie que si un utilisateur modifie le contenu de votre site web, met à jour ses paramètres ou saisit des identifiants de connexion incorrects, vous n'en verrez aucune trace, sauf si vous utilisez un plugin comme WP Activity Log.

Voici pourquoi un journal d'activité WordPress est essentiel pour la surveillance des sites web modernes :

• Détection des menaces de sécurité : Un journal détaillé de l’activité du site vous permet de repérer rapidement les comportements suspects, tels que des sessions utilisateur inhabituelles, des modifications provenant d’adresses IP différentes ou des échecs de connexion répétés pouvant indiquer une attaque par force brute.

• Responsabilisation et transparence : Pour les sites WordPress multi-utilisateurs ou collaboratifs, l’historique des activités garantit la responsabilisation de chacun. Vous pouvez voir précisément qui a fait quoi et quand, ce qui améliore la gestion des utilisateurs et évite les accusations mutuelles.

• Dépannage des erreurs : Lorsqu’un problème survient, qu’il s’agisse d’un conflit de plugins, dans Advanced Custom Fields ou d’une mauvaise configuration, les journaux WordPress facilitent la recherche de la cause et permettent de la corriger rapidement.

Sans journalisation adéquate, vous gérez votre site WordPress à l'aveugle. Avec WP Activity Log, vous pouvez suivre l'activité des utilisateurs et du site, ainsi que les modifications système, depuis un tableau de bord entièrement configurable et facilement accessible dans la barre latérale gauche de votre panneau d'administration.

Comment installer WP Activity Log dans WordPress ?

La prise en main est rapide et facile, même si vous n'avez jamais installé de plugin WordPress auparavant.

• Accédez au répertoire des plugins : connectez-vous à votre panneau d’administration WordPress, accédez à la barre latérale gauche, cliquez sur « Plugins », puis sélectionnez « Ajouter ».

• Recherche de WP Activity Log : Tapez « WP Activity Log » dans la barre de recherche et localisez le plugin de MelaPress.

• Installation du plugin : Cliquez sur « Installer maintenant » et attendez que WordPress gère le processus d’installation du plugin.

• Activer le plugin : Une fois installé, cliquez sur Activer pour activer immédiatement le suivi de l’activité de l’utilisateur.

• Lancez l'assistant d'installation : l'extension vous guidera tout au long de la configuration de WP Activity Log. Vous choisirez les activités du site et les actions des utilisateurs à surveiller, l'emplacement de stockage du fichier journal (local ou base de données WordPress) et configurerez les notifications (SMS, e-mail, etc.).

• Saisissez votre clé de licence (utilisateurs Premium) : Si vous avez acheté le forfait Premium, vous serez invité à saisir votre clé de licence pour débloquer toutes les fonctionnalités.

• Vérifier et enregistrer les paramètres : Une fois configurés, vous pouvez consulter à tout moment les paramètres du plugin pour affiner le suivi ou créer une page distincte pour accéder rapidement aux journaux détaillés.

À partir de là, vous êtes prêt à enregistrer les sessions des utilisateurs, à surveiller les modifications du contenu du site Web et à garder un œil attentif sur les activités du système pour une meilleure sécurité du site Web.

Découvrez : les plugins WordPress Custom Fields

Vous souhaitez voir WP Activity Log en action ? Consultez le tutoriel vidéo ci-dessous : il vous guide pas à pas à travers l’installation, la configuration et les fonctionnalités premium, directement depuis votre panneau d’administration WordPress.

Guide pas à pas de l'assistant de configuration du journal d'activité WordPress

L'assistant de configuration de WP Activity Log simplifie considérablement la préparation de votre site WordPress pour une surveillance professionnelle de l'activité des utilisateurs et du système.

En quelques étapes seulement, vous pouvez commencer à constituer un journal détaillé de chaque événement important, des connexions des utilisateurs et des tentatives de connexion infructueuses aux modifications d'articles, aux changements de plugins et même aux événements personnalisés que vous définissez.

Que vous gériez un blog personnel, une boutique en ligne ou un site web multi-utilisateurs avec des centaines de comptes, ces paramètres de surveillance WordPress vous aident à suivre les actions des utilisateurs sur WordPress, à identifier les comportements suspects et à conserver un journal d'audit de sécurité complet que vous pouvez consulter à tout moment.

Voici en quoi consiste chaque étape plus en détail :

Étape 1 : Choisir le niveau de détail du journal d’activité (basique ou complet)

La toute première étape détermine la quantité de données de journalisation que votre site collectera :

• Version de base : Enregistre les activités essentielles du site, comme les connexions et déconnexions des utilisateurs, ainsi que les modifications de contenu de base (par exemple, les nouveaux articles ou pages). Légère et idéale pour une vue d’ensemble des petits sites WordPress.

• Complet : Enregistre un journal détaillé des activités des utilisateurs et du système, notamment les modifications d’articles, les changements de menus, l’activation de plugins, les mises à jour de thèmes, les modifications apportées aux champs personnalisés avancés et les actions déclenchées par des plugins tiers. Entièrement configurable, il vous permet de personnaliser les informations enregistrées.

Conseil de pro : Pour la plupart des entreprises, agences et réseaux multisites, le mode Complet est la solution à privilégier ; il capture beaucoup plus de détails, facilitant ainsi les audits, le dépannage et la détection des risques potentiels pour la sécurité des sites web.

Étape 2 : Configuration du suivi des connexions (connexions administrateur et front-end)

Cette étape consiste à surveiller les connexions des utilisateurs depuis tous les points d'entrée possibles :

• Suivez les connexions via le panneau d'administration WordPress et toutes les pages de connexion personnalisées (courantes pour WooCommerce , les plateformes LMS et les sites d'adhésion).

• Enregistrez les échecs de connexion et les identifiants de connexion invalides afin de pouvoir détecter les attaques par force brute ou les tentatives de devinette de mot de passe.

• Activez le suivi des sessions utilisateur pour surveiller les connexions simultanées depuis différentes adresses IP, utile pour détecter les partages de comptes ou les comptes compromis.

• Les utilisateurs Premium peuvent configurer des alertes instantanées par SMS ou par e-mail en cas de comportement suspect.

Cette fonctionnalité à elle seule représente un atout considérable pour la sécurité des sites web, vous aidant à détecter et à bloquer les accès non autorisés avant qu'ils ne deviennent un problème.

Étape 3 : Configuration du suivi des inscriptions des utilisateurs

Si votre site autorise les inscriptions publiques ou restreintes, le suivi des inscriptions des utilisateurs est indispensable :

• Chaque création, activation ou modification de rôle d'un nouveau compte utilisateur est enregistrée.

• Fonctionne parfaitement pour la gestion des utilisateurs sur les sites web multi-utilisateurs, les réseaux multisites et les sites WordPress avec plusieurs utilisateurs.

• Il s'intègre parfaitement au journal d'audit de sécurité, vous offrant ainsi une chronologie complète de l'activité du site.

Cela facilite grandement le contrôle des personnes ayant rejoint l'entreprise, de celles ayant été promues à un poste d'administrateur et de la légitimité de ces actions.

Étape 4 : Ajustement de la période de conservation des journaux

Ici, vous décidez de la durée de conservation de vos journaux WordPress dans la base de données WordPress :

• Rétention à court terme (1 à 3 mois) : convient aux petits sites disposant d'un espace serveur limité.

• Conservation à long terme (6 à 12 mois ou plus) : recommandée pour la conformité, les audits de sécurité et l'analyse historique.

• Pour des performances optimales , vous pouvez stocker les fichiers journaux dans une base de données externe ou les exporter périodiquement afin de maintenir votre base de données WordPress légère.

Si votre organisation est soumise à des exigences de conformité, ce paramètre est crucial pour respecter les politiques d'audit de sécurité et de conservation des données.

Étape 5 : Ajout des adresses e-mail de notification

Enfin, vous configurerez les alertes pour les rapports du journal d'activité :

• Ajoutez une ou plusieurs adresses e-mail pour recevoir des mises à jour quotidiennes, hebdomadaires ou instantanées.

• Les utilisateurs Premium peuvent configurer des notifications SMS et des alertes Slack pour les activités importantes du site.

• Idéal pour tenir votre équipe de support et vos administrateurs informés des changements critiques.

Cette étape vous assure que vous ne vous contentez pas de stocker des journaux, mais que vous les surveillez activement en temps réel.

Étape 6 : Après l’assistant d’installation

Une fois l'assistant terminé, le menu « Journal d'activité WordPress » apparaît dans la barre latérale gauche de votre tableau de bord. À partir de là, vous pouvez :

• Consultez les journaux sur une page séparée.

• Accédez aux paramètres du plugin pour ajuster ou affiner les préférences de suivi.

• Exclure certains objets ou certaines actions du journal pour éviter le bruit.

• Configurez vos propres événements personnalisés pour capturer des actions spécifiques (par exemple, les téléchargements, les soumissions de formulaires).

• Surveiller les sessions des utilisateurs et les interrompre si nécessaire.

Une fois correctement configuré, ce plugin vous offre toutes les fonctionnalités nécessaires pour suivre l'activité des utilisateurs et maintenir une sécurité optimale de votre site web, que ce soit pour vous protéger contre les attaques par force brute, surveiller les échecs de connexion ou garder un œil sur les modifications des articles et l'activité du système.

En savoir plus : Les meilleurs fournisseurs de services de sécurité WordPress

Exploration du tableau de bord du journal d'activité WordPress

Une fois WP Activity Log configuré, la première chose à explorer est le tableau de bord WP Activity Log. Il s'agit de votre centre de contrôle pour surveiller l'activité des utilisateurs et consulter votre journal d'audit de sécurité en temps réel.

Visualiseur de journaux : Votre fenêtre sur l’activité du site

Le journal d'activité de WordPress vous offre un flux en direct de tout ce qui se passe sur votre site. Chaque enregistrement contient :

• Identifiants d'événements : Identifiants uniques permettant de référencer ou de filtrer rapidement des actions spécifiques.

• Niveaux de gravité : Permet de prioriser ; par exemple, une tentative de connexion infructueuse est signalée différemment d’une simple modification de publication.

• Horodatage : Indique précisément l'heure de chaque action (ajustée au fuseau horaire de votre site).

• Adresses IP : essentielles pour repérer les connexions suspectes provenant de lieux inhabituels.

Cliquer sur un événement ouvre des données d'activité détaillées, notamment le compte utilisateur concerné, le type d'action effectuée et la partie du contenu du site web affectée. Ainsi, vous ne constatez pas seulement qu'un changement a eu lieu, mais vous pouvez voir précisément ce qui a changé.

Notifications : Rester informé sans consulter constamment

Au lieu d'actualiser votre visionneuse de journaux toutes les heures, WP Activity Log peut vous envoyer des résumés d'activité quotidiens ou hebdomadaires directement dans votre boîte de réception.

• Vous pouvez activer les résumés dans les paramètres de notification.

• Ajoutez ou supprimez des destinataires personnalisés afin que les membres de l'équipe concernés reçoivent les mises à jour.

• Si vous disposez de la version premium, vous pouvez également envoyer des notifications SMS instantanées ou des alertes Slack pour les activités critiques telles que plusieurs échecs de connexion ou des connexions d'administrateur suspectes.

Ces résumés vous permettent de rester informé de l'activité du site sans passer toute votre journée à éplucher les journaux.

Configuration des paramètres de journalisation de l'activité WordPress pour la sécurité

La qualité de vos journaux dépend de leur configuration. En explorant le menu de configuration des journaux d'activité WordPress, vous pouvez sécuriser ces journaux, améliorer les performances et vous assurer de suivre précisément les informations importantes.

Paramètres généraux : Les bases essentielles

• Widget du tableau de bord : Affiche l’activité récente du site directement sur votre panneau d’administration WordPress.

• Notifications de connexion : Vous alerte lorsqu'un compte administrateur se connecte depuis un nouvel appareil ou une nouvelle adresse IP.

• Masquer l'extension : empêche les utilisateurs non administrateurs de voir que WP Activity Log est installé.

Ces petites modifications contribuent grandement à sécuriser votre site WordPress tout en facilitant l'accès aux journaux pour les administrateurs autorisés.

Paramètres de conservation du journal d'activité et de fuseau horaire

• Durée de conservation des journaux : Choisissez la durée pendant laquelle vous souhaitez conserver les journaux dans votre base de données WordPress.

• Paramètres du fuseau horaire : Permet de s’assurer que les horodatages de vos journaux correspondent à votre heure locale ou au fuseau horaire standard de votre entreprise pour faciliter l’audit.

Si vous devez conserver un long historique sans surcharger votre base de données WordPress, vous pouvez déplacer vos journaux vers une base de données externe ou les archiver sur une page séparée.

Exclure les utilisateurs, les rôles, les adresses IP ou les activités spécifiques

Parfois, vous ne souhaitez pas tout consigner. WP Activity Log vous permet de :

• Exclure certains utilisateurs ou rôles (par exemple, votre équipe de support effectuant des mises à jour régulières).

• Ignorez les adresses IP spécifiques (par exemple, le réseau de votre bureau).

• Filtrez certaines activités système ou vos propres événements personnalisés pour que vos journaux restent propres et pertinents.

Cela rend le système entièrement configurable, vous permettant ainsi d'obtenir un journal détaillé des informations importantes, sans bruit inutile.

Fonctionnalités avancées de WP Activity Log Premium

La version gratuite de WP Activity Log est performante, mais pour un contrôle total de la surveillance de l'activité de votre installation WordPress, la version premium vous donne accès à des outils qui transforment vos journaux en informations exploitables. Découvrons ensemble les fonctionnalités premium de WP Activity Log.

Recherche avancée et filtres

Lorsque votre journal d'activité atteint des milliers d'entrées, le parcourir ligne par ligne devient fastidieux. Avec la version Premium, vous pouvez effectuer des recherches avancées à l'aide de plusieurs filtres :

• ID d'événement : Cibler une action enregistrée spécifique.

• Gravité : Concentrez-vous uniquement sur les incidents hautement prioritaires, comme les échecs de connexion ou les modifications de fichiers suspectes.

• Utilisateur : Consultez toutes les actions effectuées par un compte spécifique.

• Période concernée : Enquêter sur les incidents survenus dans un laps de temps déterminé.

• Adresse IP : Suivre l'activité provenant d'un emplacement suspect.

Ces filtres vous permettent de surveiller précisément l'activité des utilisateurs sans perdre de temps.

Génération de rapports

La version Premium vous permet de créer des rapports d'activité WordPress parfaits pour les audits, la conformité ou pour tenir vos clients informés.

• Rapports basés sur l'utilisateur : Tout ce qu'un compte spécifique a fait pendant une période définie.

• Rapports basés sur les rôles : Idéaux pour suivre les actions des rédacteurs, des contributeurs ou des administrateurs.

• Rapports basés sur l'adresse IP : Idéaux pour identifier les actions répétées provenant d'une même source.

• Rapports statistiques : Résumés des connexions, des inscriptions, des modifications de publications et des changements de contenu au fil du temps.

Si vous dirigez une agence, vous apprécierez les rapports en marque blanche ; ils masquent la marque WP Activity Log afin que vous puissiez les présenter comme faisant partie de votre propre service de sécurité.

Notifications et alertes

L'un des principaux avantages de la version premium est la réception d'alertes WordPress en temps réel. Vous pouvez configurer :

• Alertes par e-mail pour les nouvelles inscriptions d'utilisateurs, les changements de rôle ou les événements graves.

• Alertes Slack pour une collaboration d'équipe instantanée sur les problèmes de sécurité.

• Alertes SMS (via l'intégration Twilio) pour les événements critiques tels que les tentatives de connexion par force brute ou les connexions à un compte administrateur depuis des appareils inconnus.

Grâce à l'intégration des API Slack et Twilio, vous serez informé des problèmes dès leur apparition, et non des jours plus tard.

Bonnes pratiques d'utilisation du journal d'activité WordPress

Même le plugin le plus complet nécessite une utilisation judicieuse. Voici comment tirer le meilleur parti de WP Activity Log :

• Consultez régulièrement les journaux d'activité : ne vous contentez pas d'installer le logiciel et de l'oublier. Vérifiez les journaux chaque semaine afin de détecter tout comportement inhabituel, comme des changements de rôle inattendus ou de multiples échecs de connexion depuis différentes adresses IP.

• Utilisez des filtres pour les événements critiques : concentrez-vous sur votre journal d’audit de sécurité pour détecter les incidents tels que les modifications apportées aux champs personnalisés avancés, les connexions d’administrateur suspectes ou les inscriptions d’utilisateurs inconnus.

• Programmez des rapports pour votre équipe ou vos clients : la diffusion automatisée garantit que chacun reste informé sans effort supplémentaire.

• Évitez de suivre les activités inutiles : cela permet de garder les journaux plus propres, d’améliorer les performances des utilisateurs et de réduire la charge sur votre base de données WordPress.

Lire : Optimisation des performances de la base de données WordPress

Conclusion et réflexions finales

Dans un monde où les sites web multi-utilisateurs et les cybermenaces se multiplient, négliger le suivi d'activité représente un risque de sécurité inacceptable. WP Activity Log transforme votre site WordPress en un environnement entièrement surveillé : il enregistre l'activité, vous alerte en cas de comportement suspect et fournit un journal détaillé pour la conformité et le dépannage.

Commencez par la version gratuite pour couvrir les fonctionnalités de base du suivi de l'activité des utilisateurs. Si vos besoins évoluent, qu'il s'agisse d'alertes en temps réel, de rapports personnalisés ou de filtrage avancé, la mise à niveau vers la version premium est une étape simple.

Il est temps de prendre le contrôle. Installez WP Activity Log dès aujourd'hui, configurez-le pour votre site et profitez d'une tranquillité d'esprit grâce à une visibilité en temps réel sur l'activité de votre site WordPress.