Limiter les tentatives de connexion sur WordPress

Pour limiter les tentatives de connexion sur WordPress, installez une extension qui bloque temporairement les accès après plusieurs échecs. Réglez le seuil et la durée du blocage selon les habitudes de votre équipe, puis testez la configuration avant de la déployer. Associez cette mesure à des mots de passe robustes et à une authentification à deux facteurs.

Pourquoi limiter les tentatives de connexion WordPress

Des essais de connexion infructueux répétés peuvent signaler une attaque par force brute. Des robots essaient automatiquement des identifiants et des mots de passe sur la page de connexion, dans l’espoir de trouver une combinaison valide.

Ces requêtes visent souvent les fichiers wp-login.php et xmlrpc.php. Même lorsqu’elles échouent, elles peuvent consommer des ressources serveur. Un volume important de requêtes peut ralentir le site, provoquer des erreurs 5xx ou entraîner des restrictions chez l’hébergeur.

La limitation des tentatives répond à deux objectifs : ralentir les essais de mots de passe et réduire leur cadence. Elle ne supprime toutefois pas toutes les attaques. Un attaquant peut réessayer plus tard ou utiliser plusieurs adresses IP : la protection doit donc être complétée par une gestion rigoureuse des comptes et, si nécessaire, par un pare-feu.

Installer une extension de limitation des connexions

Une extension dédiée compte les échecs et bloque temporairement les connexions lorsqu’un seuil est atteint. Selon l’outil choisi, elle peut aussi proposer des blocages progressifs, un journal des adresses IP, des notifications et une liste blanche.

Limit Login Attempts Reloaded est une option à examiner. Avant de l’installer, vérifiez sa compatibilité avec votre site et les autres protections déjà en place. Évitez de multiplier les extensions qui remplissent la même fonction sans comprendre comment leurs règles interagissent.

Pour la mettre en place :

1. Dans l’administration WordPress, ouvrez Extensions > Ajouter une extension.
2. Recherchez Limit Login Attempts Reloaded, puis installez et activez l’extension.
3. Ouvrez ses réglages et définissez le nombre d’échecs autorisés ainsi que la durée du blocage.
4. Configurez, si nécessaire, les blocages prolongés et les notifications.
5. Testez une connexion valide et plusieurs erreurs de mot de passe, de préférence sur une copie de préproduction.

La méthode pour tester une extension avant son installation en production permet aussi de vérifier les interactions avec le cache, le pare-feu et les accès mobiles.

Choisir les premiers réglages

Il n’existe pas de seuil adapté à tous les sites. Les valeurs suivantes constituent un point de départ à ajuster :

• Seuil : cinq tentatives sur une période de cinq à quinze minutes.
• Premier blocage : quinze à soixante minutes après dépassement du seuil.
• Blocages répétés : une durée plus longue, par exemple six à vingt-quatre heures.
• Journaux : conservation des adresses IP et des identifiants essayés, si l’extension le permet.
• Notifications : alertes sur les événements importants plutôt que sur chaque échec.

Un site utilisé par plusieurs rédacteurs peut nécessiter un seuil moins strict qu’un site vitrine administré par une seule personne. Pensez aux erreurs courantes : ancien mot de passe enregistré dans le navigateur, clavier configuré différemment ou connexion depuis un nouvel appareil.

Renforcer les comptes et l’authentification

La limitation des essais ne remplace pas la sécurité des comptes. Un mot de passe faible ou réutilisé reste exposé, notamment si des identifiants ont déjà été divulgués ailleurs.

Dans Utilisateurs > Tous les utilisateurs, passez les comptes en revue et vérifiez leurs rôles. Supprimez les comptes devenus inutiles ou réduisez leurs droits lorsqu’ils n’ont plus besoin d’accéder à certaines fonctions. Un rédacteur n’a généralement pas besoin du rôle administrateur.

Pour les comptes conservés :

• Utilisez des mots de passe longs et uniques, par exemple de quatorze à seize caractères ou plus.
• Évitez les identifiants évidents comme admin, webmaster, test ou demo.
• Vérifiez que le nom public d’un auteur ne révèle pas inutilement son identifiant de connexion.
• Réservez les droits d’administration aux personnes qui en ont besoin.

Ajouter une authentification à deux facteurs

L’authentification à deux facteurs, ou 2FA, demande une seconde preuve d’identité après le mot de passe. Selon la solution choisie, il peut s’agir notamment d’un code fourni par une application, d’une clé matérielle ou d’un code reçu par e-mail.

Cette étape rend l’accès plus difficile si un mot de passe est compromis, sans supprimer tous les risques. Activez-la en priorité pour les administrateurs et les éditeurs, puis évaluez son intérêt pour les autres rôles. Prévoyez également une procédure de récupération pour les personnes qui perdent leur second facteur.

Protéger la page de connexion et les interfaces exposées

Les robots connaissent les chemins WordPress habituels. Vous pouvez réduire une partie des sollicitations en protégeant les interfaces utilisées pour se connecter, mais chaque changement doit tenir compte des usages réels du site.

Modifier l’accès au formulaire de connexion

Déplacer l’URL du formulaire ou ajouter une étape de validation peut réduire les tentatives automatisées qui ciblent uniquement le chemin par défaut. Cette mesure ne doit pas être considérée comme une protection suffisante : une URL différente peut être découverte.

Avant toute modification, informez les utilisateurs et consignez la nouvelle procédure de connexion. Testez aussi les applications et intégrations qui dépendent de l’accès habituel. Pour examiner d’autres options, consultez notre guide pour sécuriser l’accès wp-admin sans extension.

Vérifier l’utilisation de XML-RPC

XML-RPC peut être utilisé par des applications mobiles, Jetpack ou des outils de publication distante. Si aucune intégration n’en dépend, sa désactivation peut supprimer un point d’entrée utilisé pour certaines tentatives de connexion.

Ne le désactivez pas sans vérifier les usages de votre site. Si vous devez le conserver, envisagez des règles de pare-feu et de limitation des requêtes adaptées à cette interface, puis testez les outils concernés.

Filtrer les requêtes avec un pare-feu

Un pare-feu applicatif, ou WAF, peut filtrer des requêtes avant leur traitement par WordPress. Il peut être fourni par une extension, un réseau de diffusion de contenu ou l’hébergeur. Son emplacement détermine notamment à quel moment du traitement le filtrage intervient.

Selon la solution, vous pouvez :

• Limiter le débit des requêtes vers wp-login.php.
• Détecter certains comportements de robots et demander une vérification.
• Bloquer des adresses, plages IP ou pays lorsque cela correspond à votre activité.
• Filtrer des requêtes anormales ou des agents utilisateurs suspects.

Ces règles complètent la limitation des échecs : le pare-feu filtre le trafic, tandis que l’extension traite les tentatives qui atteignent le formulaire. Consultez notre article sur les raisons de mettre en place un pare-feu WordPress pour choisir une approche adaptée.

Éviter les blocages légitimes et surveiller les journaux

Une protection fondée sur les adresses IP peut aussi bloquer des utilisateurs autorisés. Avant de durcir les règles, examinez la manière dont votre équipe se connecte :

• Réseau d’entreprise : plusieurs personnes peuvent partager la même adresse IP publique.
• VPN : une adresse peut être partagée avec d’autres utilisateurs ou changer régulièrement.
• Proxy ou réseau de diffusion : WordPress peut voir l’adresse du service intermédiaire plutôt que celle du visiteur si la configuration est incorrecte.
• Mobilité : une personne peut passer d’un réseau à un autre au cours de la journée.

Vérifiez avec l’hébergeur ou l’administrateur du proxy que la bonne adresse client est transmise et que seuls les intermédiaires de confiance sont pris en compte. Utilisez les listes blanches avec prudence : une adresse autorisée ne doit pas devenir un moyen de contourner sans contrôle les protections du site.

Lire les événements avant de modifier les règles

Consultez régulièrement les journaux de l’extension et, si vous y avez accès, ceux du pare-feu ou de l’hébergement. Recherchez notamment les adresses récurrentes, les identifiants essayés, les horaires et les interfaces ciblées.

Si les tentatives proviennent surtout d’un petit nombre d’adresses, leur blocage au niveau réseau peut être utile. Si elles sont réparties entre de nombreuses adresses, des règles de limitation du débit et un WAF peuvent être plus adaptés qu’une longue liste de blocages individuels.

Un échec isolé n’est pas nécessairement une attaque. Vérifiez également si les alertes correspondent à des erreurs de saisie de votre équipe avant de rendre les seuils plus stricts.

Prévoir le déblocage et maintenir la protection

Avant d’activer des règles restrictives, assurez-vous de pouvoir intervenir si vous perdez l’accès à l’administration. Documentez qui peut débloquer un utilisateur, où consulter les journaux et quelle procédure suivre en cas d’incident.

Prévoyez notamment :

1. Un accès serveur fonctionnel en SFTP ou SSH, ou un compte administrateur alternatif sécurisé.
2. Une sauvegarde disponible et une procédure de restauration testée.
3. L’identification de l’extension responsable du blocage et de son dossier dans wp-content/plugins.
4. Un moyen de désactiver temporairement cette extension depuis le serveur si l’accès à WordPress est impossible, puis de vérifier la configuration avant de la réactiver.

Un compte alternatif n’est pas toujours suffisant si le blocage concerne une adresse IP partagée. Testez donc le plan de secours avant d’en avoir besoin. Si le formulaire ne se charge pas ou si le site présente d’autres erreurs, le problème peut aussi dépasser la limitation des tentatives.

Adapter les protections au site

Un site vitrine avec un ou deux administrateurs peut adopter une limitation relativement stricte, associée au 2FA et à un filtrage des robots. Une liste blanche peut être envisagée si les adresses utilisées sont fixes et maîtrisées.

Pour un site éditorial, privilégiez des seuils qui tiennent compte du nombre d’auteurs, imposez le 2FA au moins aux rôles sensibles et organisez le déblocage. Pour une boutique WooCommerce, associez limitation, pare-feu et surveillance, en testant les effets sur les différents parcours de connexion.

Enfin, révisez régulièrement les comptes, les journaux et les réglages. Maintenez aussi WordPress, les thèmes et les extensions : une faille ailleurs sur le site peut offrir un autre point d’entrée. Les mises à jour WordPress préparées et testées s’accompagnent de sauvegardes et de vérifications de compatibilité pour limiter les risques lors du déploiement.

Questions fréquentes

Article rédigé avec l’aide d’une IA à partir des sources citées et de notre pratique de la maintenance WordPress. Notre méthode éditoriale.