IP Restriction for Restrict Content

Restriction par adresse IP pour Restrict Content et Restrict Content Pro.

Extension indépendante, ni développée ni approuvée par les éditeurs de Restrict Content ou de Restrict Content Pro.

État réel du projet

Les dix lots sont faits, et la version est 1.0.0. Une adresse peut être autorisée globalement, par niveau d'adhésion ou par contenu, les contenus restreints par catégorie sont couverts, une adresse de la liste de blocage ne peut pas s'inscrire, et make build produit l'archive distribuable. Ce qui est livré et vérifié :

Rien d'autre. Ce qui n'est délibérément pas dans ce plugin — import de listes, journal d'audit, détection de VPN — n'y entrera pas : chacun de ces sujets est un plugin, pas une fonctionnalité de celui-ci.

L'utilisation du plugin est documentée pour l'administrateur dans docs/utilisation.md, qui énonce aussi les comportements que la documentation amont laisse indéterminés.

Les trois portées ne se cumulent pas comme on le croit

Une catégorie ne porte pas de liste. Un contenu restreint par sa catégorie est ouvert par la liste globale, ou par celle d'un niveau que cette catégorie exige : la restriction de catégorie est évaluée par la dépendance à l'intérieur de sa décision, et c'est cette décision que le plugin élargit.

La page d'archive d'une catégorie restreinte est un cas à part, et la seule fonctionnalité optionnelle du plugin. La dépendance n'y offre aucun point de décision : la seule voie est de neutraliser la restriction de la catégorie demandée pendant la requête, et tout autre code qui relit cette restriction pendant cette requête la verra donc vide. L'option est désactivée par défaut, et l'effet est borné à la catégorie réellement demandée — jamais une autre, jamais un écran d'administration.

Une autorisation de niveau n'est pas une autorisation globale restreinte : c'est une autorisation qui ne s'applique qu'aux contenus de ce niveau. Un contenu réservé à « Or » ne regarde jamais la liste d'« Argent », et un article ne regarde jamais la liste d'un autre article.

Les deux listes ne se ressemblent que de loin

Les deux n'ont aucun stockage, aucun cache ni aucun chemin de décision en commun : une confusion de champ ne peut pas transformer un blocage en autorisation. Ce que le plugin fera est spécifié dans le cahier des charges ; le découpage en lots est au §13.

La suite contract est exécutée contre les deux variantes en intégration continue, Restrict Content Pro compris : OK (36 tests, 77 assertions). En local, la variante commerciale demande son archive, qui n'est jamais versionnée (make test-contract-pro, voir les prérequis ci-dessous).

Formats acceptés par le moteur

Quelle adresse est évaluée

Par défaut, l'adresse de la connexion TCP (REMOTE_ADDR), et rien d'autre : aucun en-tête HTTP n'est lu, parce que tout en-tête est écrit par le client. Un visiteur qui envoie X-Forwarded-For: <adresse autorisée> n'obtient rien.

Derrière un proxy ou un CDN, il faut déclarer deux choses : la liste des proxys de confiance (même grammaire que les listes d'adresses) et le nom de l'en-tête à lire, parmi X-Forwarded-For, CF-Connecting-IP, True-Client-IP et X-Real-IP. L'en-tête n'est alors lu que si la connexion vient d'un proxy déclaré, et la chaîne est remontée de droite à gauche en sautant les proxys connus : la valeur qu'un client aurait préfixée n'est jamais retenue.

Si l'adresse ne peut pas être déterminée — en-tête absent ou illisible, chaîne entièrement composée de proxys —, elle est indéterminable : aucune règle ne correspond, et aucun accès n'est accordé. Le plugin ne se replie jamais sur l'adresse du proxy, qui est celle du CDN.

Une entrée par ligne ; les lignes vides, les espaces de bordure et les commentaires introduits par # sont ignorés. Une entrée que l'analyseur ne comprend pas est rejetée avec un motif nommé, jamais interprétée par approximation : familles mêlées, plage inversée, préfixe hors bornes, joker devant un littéral, règle couvrant toutes les adresses, joker dans un CIDR, nom d'hôte, joker IPv6, octet à zéro de tête.

Démarrage en trois commandes

cp .env.example .env
make up
make test-unit

make up démarre la pile Docker et provisionne le site sur http://localhost:8082 (capture d'e-mails sur http://localhost:8027). Les ports sont paramétrables dans .env.

make help liste toutes les cibles et ce qu'elles font réellement.

Commandes utiles

Les suites de tests ne peuvent pas être exécutées dans une même invocation : la suite unit remplace les fonctions de WordPress, les autres les chargent. tests/bootstrap.php refuse une invocation sans --testsuite et le dit.

Prérequis

La dernière condition n'est pas rhétorique. Restrict Content embarque deux bases de code mutuellement exclusives, et la branche historique n'expose aucune des fonctions dont ce plugin dépend. Pire : le choix entre les deux est réversible à tout moment depuis l'administration de la dépendance. Un administrateur peut donc désactiver ce plugin en cours de vie du site, sans le désinstaller — et recevra alors un avis d'administration qui le lui dit et nomme le retour en arrière.

Le constat, avec ses preuves et ses numéros de ligne, est en docs/journal-empirique.md (JE-003).

La variante commerciale n'est jamais versionnée dans ce dépôt : déposez son archive dans vendor-plugins/, ou désignez un répertoire décompressé par RCP_PRO_SOURCE.

Documents

Décisions d'architecture

Identité

Le slug commence par ip-restriction, une fonction générique, et mentionne la marque après « for » : c'est la forme que recommande la directive 17 du répertoire WordPress.org, qui n'interdit que le début du slug. Le nommage est donc arrêté — voir ADR-0008.

La mention de non-affiliation en tête de ce document reste nécessaire : elle répond à une exigence distincte de la conformité du slug, et l'une ne dispense pas de l'autre (cahier des charges §14.3).

Licence

GPL-2.0-or-later. Voir LICENSE.