Apprendre WordPress
Un compte administrateur compromis peut permettre de modifier les pages, d’ajouter du code, de créer d’autres utilisateurs ou d’installer une extension malveillante. Un compte doté de droits plus limités réduit les conséquences d’une erreur ou d’un vol d’identifiants. Cette logique de réduction des privilèges est recommandée dans les bonnes pratiques de sécurité informatique, notamment par l’Agence nationale de la sécurité des systèmes d’information, l’ANSSI.
La première étape consiste donc à établir un état des lieux. Dans le tableau de bord, ouvrez Utilisateurs, puis examinez les comptes existants, leur rôle, leur adresse électronique et leur date de dernière activité si cette information est disponible. Supprimez les comptes inutilisés après avoir vérifié que leur contenu et leurs médias ont été attribués au bon utilisateur.
WordPress propose plusieurs rôles natifs. Le rôle Administrateur dispose des permissions les plus larges sur une installation classique. Le rôle Éditeur peut gérer les contenus, y compris ceux d’autres auteurs, sans disposer du même pouvoir sur la configuration générale. Le rôle Auteur publie et gère ses propres articles. Le rôle Contributeur rédige des contenus sans les publier. Le rôle Abonné possède des droits très limités.
Pour modifier un rôle, ouvrez Utilisateurs, sélectionnez la personne concernée et choisissez le niveau approprié dans le champ prévu à cet effet. Avant toute modification, confirmez que les tâches quotidiennes restent possibles. Une réduction excessive des permissions peut conduire à des contournements, comme le partage d’un compte administrateur, ce qui dégrade la traçabilité.
Chaque personne devrait disposer de son propre compte. Un compte partagé empêche de déterminer qui a changé un réglage, publié une page ou installé une extension. Les comptes individuels permettent aussi de révoquer un accès sans changer le mot de passe de toute une équipe.
Les gestionnaires de mots de passe permettent de produire et de conserver des secrets distincts pour chaque compte. Ils peuvent aussi signaler les doublons et remplir les champs sans exposer le mot de passe à des personnes présentes autour de l’écran. Pour un compte qui doit être mémorisé, une phrase de passe composée de plusieurs mots sans rapport entre eux peut être préférable à une courte suite de caractères prévisible.
Évitez les informations publiques ou faciles à associer au site : nom de domaine, prénom, année de création, nom d’une activité, saison en cours ou suite de chiffres. Les modifications périodiques imposées sans indice de compromission peuvent conduire à des variantes prévisibles. Une meilleure pratique consiste à changer immédiatement un mot de passe lorsqu’il a été exposé, réutilisé, communiqué ou saisi sur un équipement douteux.
Dans WordPress, ouvrez Utilisateurs, sélectionnez un compte, puis utilisez la zone de gestion du mot de passe. Le générateur intégré peut créer une valeur aléatoire. Enregistrez-la dans un gestionnaire de mots de passe avant de valider la modification, puis testez la connexion dans une fenêtre privée du navigateur. Ne transmettez jamais un mot de passe par une conversation non protégée ou dans un document partagé en clair.
WordPress ne propose pas nécessairement tous les mécanismes de deuxième facteur dans son installation de base. Une extension spécialisée peut ajouter cette fonction, mais elle doit être choisie avec prudence : vérifiez sa compatibilité avec la version utilisée, son suivi des mises à jour, ses permissions et sa réputation technique. Une extension de sécurité ne doit pas devenir un nouveau composant abandonné ou excessivement privilégié.
Commencez par protéger les comptes administrateurs et les comptes ayant accès à des données sensibles. Conservez les codes de récupération dans un emplacement distinct et protégé. Testez la procédure de récupération avant de fermer la session actuelle. Pour un site critique, prévoyez au moins deux méthodes de récupération contrôlées, sans les stocker au même endroit que le mot de passe.
La deuxième étape ne remplace pas les autres mesures. Un compte compromis par une session restée ouverte, un ordinateur infecté ou une adresse électronique mal protégée peut encore exposer le site. La sécurité doit donc couvrir l’ensemble de la chaîne d’accès.
La première protection consiste à limiter les tentatives répétées. Une extension de sécurité ou une fonction fournie par l’hébergement peut ralentir, bloquer temporairement ou mettre en liste noire une adresse qui envoie de nombreuses erreurs. Configurez cette mesure avec prudence. Une règle trop agressive peut bloquer une adresse partagée par plusieurs utilisateurs, notamment derrière un réseau d’entreprise ou une connexion mobile.
Une page de connexion personnalisée peut réduire les tentatives automatiques qui ciblent les chemins par défaut, mais elle ne constitue pas une protection complète. Un robot peut découvrir le nouvel emplacement par des redirections, des messages d’erreur, des fichiers publics ou une observation du trafic. Le changement d’adresse doit donc rester une couche secondaire, derrière les mots de passe robustes, la limitation des essais et l’authentification à plusieurs facteurs.
Évitez les réglages qui révèlent si un identifiant existe. Un message comme ce compte n’existe pas donne une information exploitable à un attaquant. Préférez un message générique indiquant que l’identifiant ou le mot de passe ne permet pas la connexion. Désactivez aussi l’énumération publique des auteurs lorsque le site n’en a pas besoin, car elle peut exposer des noms d’utilisateur à partir d’adresses prévisibles.
Une restriction par adresse fixe convient mieux à un bureau disposant d’une connexion stable qu’à une équipe mobile. Avant toute activation, conservez un accès de secours et vérifiez la procédure de modification de la règle. Une erreur dans la configuration du serveur peut empêcher toute connexion, y compris celle de l’administrateur.
La protection HTTP demandant un identifiant supplémentaire devant la page WordPress peut également réduire l’exposition aux robots. Elle doit être configurée au niveau du serveur ou de l’hébergement, avec un secret différent du compte WordPress. Cette double barrière ne dispense pas de conserver une authentification moderne à l’intérieur de WordPress.
| Mesure | Intérêt principal | Point de vigilance |
|---|---|---|
| Limitation des tentatives | Réduire les essais automatisés | Éviter les blocages excessifs |
| Authentification à plusieurs facteurs | Ajouter une preuve après le mot de passe | Préparer des codes de récupération |
| Restriction réseau | Réduire les sources autorisées | Prévoir les connexions nomades |
| Changement d’URL | Écarter une partie des robots opportunistes | Ne pas le considérer comme une défense suffisante |
Vérifiez les adresses associées dans Utilisateurs et dans Réglages, notamment l’adresse d’administration du site. Retirez les anciennes adresses et contrôlez les redirections de messagerie. Une redirection inconnue peut transmettre les messages de récupération à un tiers.
Après un changement de mot de passe, déconnectez les sessions existantes si l’option est proposée. Cette action est importante lorsqu’un ordinateur a été perdu, qu’un accès a été retiré ou qu’un mot de passe a pu être copié. Pour les appareils partagés, évitez d’enregistrer la session dans le navigateur et fermez-la après l’utilisation.
Un changement de mot de passe ne supprime pas toujours les accès accordés par des extensions, des applications mobiles ou des connexions externes. Examinez les intégrations actives et révoquez les jetons dont l’origine n’est pas connue. Le principe est de supprimer tout accès qui n’a plus de justification opérationnelle.
Dans Tableau de bord, puis Mises à jour, contrôlez les versions du cœur, des extensions et des thèmes. Supprimez les composants inutilisés au lieu de les laisser désactivés. Un composant présent sur le serveur peut conserver des fichiers ou des permissions exploitables, même s’il n’est pas activé dans l’interface.
Les sauvegardes doivent être séparées du serveur principal. Une copie stockée dans le même espace peut être chiffrée, supprimée ou remplacée lors d’une compromission. Testez périodiquement la restauration sur un environnement distinct, car une sauvegarde non testée ne garantit pas que le site pourra être remis en service.
Le certificat TLS protège la transmission entre le navigateur et le serveur lorsque le site est correctement configuré en HTTPS. Vérifiez que les pages de connexion et d’administration utilisent bien HTTPS et que les contenus mixtes ne provoquent pas de retour vers une connexion non chiffrée. Le cadenas du navigateur ne prouve pas que le compte est sécurisé, mais l’absence de HTTPS expose les identifiants pendant leur transport.
Des signes doivent déclencher une vérification : nouveau compte administrateur, modification inattendue d’une adresse électronique, extension inconnue, redirections vers une autre page, articles publiés sans autorisation ou demandes de réinitialisation répétées. Une notification isolée ne prouve pas une intrusion, mais plusieurs événements concordants exigent une réaction rapide.
En cas d’incertitude technique, faites examiner le serveur et les journaux par une personne compétente. Restaurer une sauvegarde sans corriger la faille d’origine peut conduire à une nouvelle compromission.
La protection la plus durable est celle qui reste compatible avec l’usage quotidien. Une règle incomprise ou trop restrictive sera contournée, tandis qu’un réglage documenté peut être vérifié et amélioré. L’objectif n’est pas de rendre l’accès impossible, mais de réduire la probabilité d’une compromission et d’en limiter les conséquences.
Ce changement peut réduire certaines tentatives automatisées, mais il ne remplace ni un mot de passe unique, ni la limitation des essais, ni l’authentification à plusieurs facteurs. Conservez une procédure documentée pour retrouver la nouvelle adresse et vérifiez la compatibilité avec les extensions qui utilisent la connexion.
Un nombre réduit de comptes administrateurs est préférable à une multiplication des droits élevés, mais un compte unique crée un risque de dépendance. Préférez plusieurs comptes personnels contrôlés, avec des droits limités pour les autres utilisateurs et une procédure de récupération testée.
Vérifiez d’abord ses articles, pages et médias. Transférez le contenu vers un compte conservé, puis supprimez ou désactivez l’ancien compte selon le besoin. Retirez également les accès associés dans les extensions, les services externes et la messagerie.
Non. Une extension peut centraliser la limitation des tentatives, les alertes ou l’authentification renforcée, mais elle ne corrige pas un mot de passe réutilisé, une messagerie compromise, une extension obsolète ou l’absence de sauvegarde restaurable.
Testez les connexions depuis les réseaux réellement utilisés, notamment un réseau mobile et un réseau professionnel si cela correspond au fonctionnement du site. Consultez les journaux de blocage et prévoyez une méthode de récupération administrateur avant d’activer une restriction supplémentaire.
