Pourquoi protéger l’accès à l’administration WordPress ?
Par défaut, WordPress propose une page de connexion accessible à une adresse comme :
https://exemple.fr/wp-login.php
L’administration se trouve généralement à l’adresse :
https://exemple.fr/wp-admin/
Ces adresses sont connues et peuvent être ciblées par des tentatives de connexion automatisées.
Les principales menaces concernent notamment :
- Les attaques par force brute, qui consistent à essayer de nombreuses combinaisons d’identifiants et de mots de passe.
- Le credential stuffing, qui utilise des identifiants récupérés lors de fuites de données sur d’autres services.
- Les comptes mal protégés, avec des mots de passe faibles ou réutilisés.
- Les accès oubliés, lorsqu’un ancien intervenant conserve un compte dont il n’a plus besoin.
La protection de la connexion repose donc sur plusieurs mesures complémentaires. Modifier simplement l’adresse de connexion ne suffit pas à sécuriser un site.
Renforcer la sécurité des comptes utilisateurs
Utiliser des mots de passe uniques et robustes
Chaque utilisateur doit disposer d’un mot de passe différent de ceux utilisés sur ses autres comptes.
Un mot de passe long, généré aléatoirement et conservé dans un gestionnaire de mots de passe est généralement préférable à une combinaison courte et facile à mémoriser.
Évitez également de partager un même compte administrateur entre plusieurs personnes.
Des comptes individuels permettent de gérer les accès plus précisément et de supprimer ceux qui ne sont plus nécessaires.
Activer l’authentification à deux facteurs
L’authentification à deux facteurs, souvent appelée 2FA, ajoute une vérification supplémentaire après la saisie du mot de passe.
Selon la solution utilisée, cette vérification peut prendre la forme d’un code temporaire généré par une application d’authentification ou d’une clé de sécurité physique.
Même si un mot de passe est compromis, cette seconde étape peut empêcher une personne non autorisée de se connecter.
WordPress ne propose pas nativement une authentification à deux facteurs complète pour les comptes utilisateurs. Il faut donc utiliser une extension ou une solution d’authentification compatible.
Parmi les possibilités, vous pouvez examiner les fonctionnalités proposées par des extensions comme Wordfence Login Security ou Two-Factor.
Avant de généraliser la protection, vérifiez son fonctionnement sur un compte de test et prévoyez une méthode de récupération si un utilisateur perd l’accès à son second facteur.
Pour les comptes administrateurs, l’activation de la 2FA fait partie des mesures que je recommande en priorité.
Vérifier les rôles et les comptes existants
Tous les utilisateurs WordPress n’ont pas besoin d’être administrateurs.
Les rôles permettent de limiter les actions accessibles à chaque compte. Un rédacteur chargé de publier des contenus, par exemple, n’a généralement pas besoin de pouvoir installer des extensions.
Dans l’administration, ouvrez Utilisateurs > Tous les comptes et examinez :
- Les comptes qui disposent du rôle Administrateur.
- Les utilisateurs qui n’interviennent plus sur le site.
- Les comptes de test ou créés temporairement.
- Les rôles attribués aux différents intervenants.
Supprimez les accès devenus inutiles et attribuez à chaque utilisateur uniquement les permissions nécessaires à son activité.
Avant de supprimer un compte contenant des publications, vérifiez les options de réattribution de ses contenus.
Limiter les tentatives de connexion automatisées
Mettre en place une limitation des tentatives
Par défaut, WordPress ne limite pas strictement le nombre de tentatives de connexion échouées.
Un système de limitation peut ralentir les attaques automatisées en bloquant temporairement certaines tentatives répétées.
Cette protection peut être assurée par une extension de sécurité, un pare-feu applicatif ou un dispositif proposé par l’hébergeur.
Le choix dépend de votre configuration : il n’est pas nécessaire d’installer plusieurs extensions qui remplissent exactement la même fonction.
Évitez également les réglages trop agressifs, qui pourraient bloquer des utilisateurs légitimes après quelques erreurs de saisie.
Utiliser une protection contre les robots
Certaines solutions permettent d’ajouter une vérification antispam ou antibot au formulaire de connexion WordPress.
Cloudflare Turnstile peut notamment être utilisé lorsque l’intégration choisie prend en charge la connexion WordPress.
Il est important de distinguer cette protection de celle des formulaires de contact : une intégration Turnstile dans Contact Form 7 ne protège pas automatiquement wp-login.php.
Pour comprendre le fonctionnement du service et l’importance de la vérification côté serveur, consultez mon tutoriel sur la protection des formulaires WordPress avec Cloudflare Turnstile.
Faut-il modifier l’adresse de connexion WordPress ?
Certaines extensions permettent de remplacer l’adresse de connexion habituelle par une URL personnalisée.
Cette modification peut réduire une partie des requêtes automatisées dirigées vers wp-login.php.
Elle ne constitue cependant pas une véritable protection contre un attaquant qui connaît la nouvelle adresse.
Elle doit donc rester une mesure complémentaire, et non remplacer les mots de passe robustes, la 2FA ou la limitation des tentatives.
Avant de modifier l’adresse de connexion, vérifiez aussi la compatibilité avec les autres fonctionnalités du site, notamment les espaces membres, les connexions personnalisées ou WooCommerce.
Sécuriser l’environnement de connexion
Vérifier que le site utilise HTTPS
La connexion à l’administration doit s’effectuer avec une adresse HTTPS valide.
HTTPS chiffre les échanges entre le navigateur et le serveur, notamment lors de la transmission des identifiants.
Vérifiez que votre site dispose d’un certificat TLS valide et que les pages de connexion et d’administration ne sont pas accessibles en HTTP non sécurisé.
Un certificat HTTPS ne protège pas contre tous les types d’attaques, mais il reste indispensable pour sécuriser les échanges.
Maintenir WordPress et ses extensions à jour
La sécurité de la connexion dépend aussi du bon état général du site.
Une extension vulnérable ou un composant obsolète peut parfois permettre de contourner les protections mises en place sur la page de connexion.
Il est donc important de maintenir WordPress, les thèmes et les extensions à jour, tout en vérifiant leur compatibilité après les interventions.
Ce suivi s’inscrit dans une démarche de maintenance WordPress régulière, avec des sauvegardes et des contrôles adaptés au site.
Protéger les accès techniques
L’administration WordPress n’est pas le seul accès sensible à votre site.
Les comptes d’hébergement, les accès SFTP, les bases de données et les outils de gestion du domaine doivent également être protégés.
Utilisez des identifiants distincts, activez l’authentification à deux facteurs lorsque le fournisseur le permet et retirez les accès qui ne sont plus nécessaires.
Une protection efficace repose sur l’ensemble de ces accès, et pas uniquement sur la page de connexion WordPress.
Vérifier que les protections fonctionnent
Après avoir configuré les mesures de sécurité, effectuez quelques vérifications.
Vous pouvez notamment :
- Vous connecter normalement avec un compte autorisé.
- Tester la connexion avec un mot de passe incorrect.
- Vérifier que l’authentification à deux facteurs fonctionne.
- Contrôler la procédure de récupération d’accès.
- Vérifier le comportement du système de limitation des tentatives.
- Confirmer que les comptes inutilisés ont bien été supprimés.
Réalisez ces tests avec prudence pour éviter de bloquer votre propre compte administrateur.
Avant d’activer une protection susceptible de modifier la connexion, assurez-vous de disposer d’un accès à l’hébergement ou d’une autre méthode de récupération.
Il est également utile de consulter les journaux de sécurité disponibles, sans considérer chaque tentative de connexion échouée comme une compromission.
Une sécurité qui repose sur plusieurs protections
Il n’existe pas de réglage unique capable de sécuriser entièrement l’administration WordPress.
Les mesures les plus utiles consistent à protéger les comptes, limiter les tentatives automatisées, maintenir le site à jour et contrôler régulièrement les accès.
La combinaison de mots de passe robustes, de l’authentification à deux facteurs et d’une gestion rigoureuse des permissions offre une base solide.
Pour replacer ces mesures dans une démarche plus globale, retrouvez mon guide sur la sécurité WordPress.
Besoin d’aide pour sécuriser l’administration de votre site ?
Vous souhaitez renforcer la protection de vos comptes WordPress, vérifier les accès existants ou mettre en place des mesures de sécurité adaptées ? Parlons de votre site pour identifier les améliorations pertinentes.
