Sécurité des mots de passe WordPress : les mesures à prendre

Pour renforcer la sécurité des mots de passe WordPress, utilisez un mot de passe long, difficile à deviner et différent pour chaque compte. Limitez aussi les tentatives de connexion et activez la double authentification. Ces mesures doivent s’accompagner de mises à jour et de sauvegardes régulières.

Choisir un mot de passe WordPress sécurisé

Un mot de passe facile à deviner ou déjà utilisé sur un autre site peut faciliter l’accès à votre administration WordPress. Choisissez un mot de passe unique pour chaque utilisateur et pour chaque service lié au site.

Un générateur de mots de passe peut créer une combinaison longue et aléatoire. Un gestionnaire de mots de passe permet ensuite de la conserver dans un coffre protégé, sans devoir la mémoriser ni la réutiliser ailleurs.

Pour réduire les risques :

• Évitez les mots de passe construits à partir de votre nom, de celui de votre entreprise ou d’informations faciles à trouver.
• Ne partagez pas vos identifiants et ne les stockez pas dans un fichier non chiffré.
• Remplacez un mot de passe si vous soupçonnez qu’il a été divulgué ou réutilisé sur un service compromis.
• Vérifiez également les mots de passe des autres accès importants, notamment ceux de votre hébergement et de votre messagerie.

Pour modifier votre propre mot de passe, connectez-vous à WordPress, puis ouvrez Utilisateurs > Profil. Dans la section de gestion du compte, définissez un nouveau mot de passe et enregistrez les modifications.

Limiter les comptes et les droits d’accès

Chaque personne qui intervient sur le site devrait disposer de son propre compte. Vous pouvez ainsi retirer un accès sans communiquer un nouveau mot de passe aux autres utilisateurs.

Dans Utilisateurs > Tous les utilisateurs, examinez les comptes existants et leurs rôles. Conservez uniquement les accès nécessaires et attribuez à chacun les droits adaptés à ses tâches. Un contributeur qui rédige des articles n’a pas forcément besoin des droits d’administration.

Si les visiteurs peuvent créer un compte, vérifiez aussi les réglages d’inscription et le rôle attribué par défaut. Notre guide sur les problèmes d’inscription des utilisateurs WordPress détaille les points à contrôler.

Limiter et surveiller les tentatives de connexion

Une attaque par force brute consiste notamment à essayer de nombreux mots de passe pour accéder à un compte. Limiter les tentatives de connexion rend ces essais répétés plus difficiles.

Une extension de sécurité peut bloquer temporairement les connexions après plusieurs échecs, parfois en fonction de l’adresse IP utilisée. Pour mettre cette protection en place :

1. Choisissez une extension proposant la limitation des tentatives de connexion.
2. Installez-la depuis Extensions > Ajouter une extension, puis activez-la.
3. Dans ses réglages, définissez le nombre d’échecs autorisés et la durée du blocage.
4. Vérifiez le fonctionnement avec précaution, afin de ne pas bloquer votre propre accès.

Si l’extension propose un journal des connexions, consultez-le pour repérer les échecs répétés ou les accès inhabituels. Un blocage trop strict peut aussi gêner un utilisateur légitime qui s’est trompé de mot de passe : prévoyez une procédure pour lui permettre de retrouver son accès.

Activer la double authentification

La double authentification ajoute une vérification à la saisie du mot de passe. Selon la solution choisie, l’utilisateur peut par exemple devoir fournir un code à usage unique reçu sur son téléphone ou par e-mail.

Cette protection limite le risque qu’un mot de passe divulgué suffise à ouvrir une session. Elle est particulièrement utile pour les comptes disposant de droits d’administration, mais peut aussi être appliquée aux autres utilisateurs.

Pour l’activer, installez une extension qui propose cette fonctionnalité et suivez sa procédure de configuration. Chaque utilisateur concerné doit ensuite associer la méthode de vérification demandée à son compte. Conservez les éventuels codes de récupération dans un endroit sûr : ils peuvent être nécessaires si le moyen de vérification habituel devient inaccessible.

Choisir une extension de sécurité et vérifier HTTPS

Les extensions de sécurité ne proposent pas toutes les mêmes fonctions. Certaines surveillent les connexions, limitent les tentatives répétées ou recherchent des logiciels malveillants. D’autres permettent aussi de configurer la double authentification.

Avant d’en installer une, vérifiez qu’elle répond à vos besoins, qu’elle est maintenue et compatible avec votre site. Évitez d’activer plusieurs protections identiques sans vérifier leurs réglages : elles peuvent compliquer l’administration ou provoquer des conflits. Gardez l’extension choisie à jour et contrôlez ses alertes.

Vérifiez également que votre site utilise HTTPS, notamment sur la page de connexion et dans l’administration. Cette connexion chiffrée protège les données échangées entre le navigateur et le site pendant leur transmission. HTTPS ne remplace toutefois ni un mot de passe robuste ni les autres protections.

Pour examiner les autres points à surveiller, consultez notre guide des problèmes de sécurité sur WordPress. Si vous constatez des signes de compromission, le nettoyage d’un site WordPress piraté peut être nécessaire en complément du changement des mots de passe.

Mettre à jour et sauvegarder le site

Un mot de passe solide ne protège pas à lui seul contre toutes les failles. Les mises à jour de WordPress, des extensions et des thèmes peuvent inclure des correctifs de sécurité : vérifiez-les et appliquez-les régulièrement.

Avant une intervention, disposez d’une sauvegarde exploitable des fichiers et de la base de données. Des sauvegardes régulières permettent de disposer d’un point de restauration en cas de problème, mais elles doivent aussi être vérifiées et conservées dans un endroit sûr.

Après les mises à jour, contrôlez que le site et la connexion fonctionnent normalement. Pour préparer ces opérations, consultez notre page sur les mises à jour WordPress.

Questions fréquentes

Article rédigé avec l’aide d’une IA à partir des sources citées et de notre pratique de la maintenance WordPress. Notre méthode éditoriale.