Ce qu’il apporte
Le pare-feu filtre les requêtes malveillantes avant qu'elles n'atteignent WordPress. Le scanner compare les fichiers du cœur, des thèmes et des extensions à leurs versions officielles pour détecter les modifications. Et la base de vulnérabilités recense les failles connues des dizaines de milliers d'extensions du dépôt.
Sa limite structurelle
Wordfence s'exécute à l'intérieur du site qu'il protège. Si le site tombe, si PHP plante, si l'hébergeur coupe, ou si un attaquant obtient assez de droits pour le désactiver, il n'a plus aucun moyen de vous prévenir — au moment précis où vous auriez besoin de l'être. C'est la limite de tout dispositif interne.
Interne et externe se complètent
Un dispositif interne voit ce qui se passe dans le code et peut bloquer une requête. Une surveillance externe voit ce que voient réellement vos visiteurs, et continue de fonctionner quand le site ne répond plus. Les deux approches ne se remplacent pas : elles couvrent des angles morts différents.
Questions fréquentes
Wordfence suffit-il à sécuriser un site WordPress ?
Il couvre bien le filtrage et la détection de fichiers modifiés, mais il ne peut pas vous alerter si le site est totalement hors service, ni surveiller un signalement Safe Browsing depuis l'extérieur.
Faut-il l'installer en plus d'une surveillance externe ?
Les deux sont complémentaires : le pare-feu bloque à l'entrée, la surveillance externe constate ce que voient vos visiteurs et reste opérationnelle quand le site tombe.