Attaque par force brute WordPress : comment protéger votre site

Pour protéger votre site WordPress contre une attaque par force brute, utilisez des mots de passe uniques et robustes, limitez les tentatives de connexion et activez l’authentification à deux facteurs. Complétez ces mesures par des mises à jour et, si nécessaire, un pare-feu. Ces protections réduisent le risque qu’un attaquant accède à votre administration en multipliant les essais.

Comprendre une attaque par force brute sur WordPress

Une attaque par force brute consiste à essayer automatiquement de nombreux identifiants et mots de passe pour trouver une combinaison valide. Les essais peuvent viser la page de connexion WordPress ou d’autres points d’accès au site.

Les attaquants ne testent pas nécessairement toutes les combinaisons possibles : ils peuvent aussi utiliser des listes de mots de passe courants ou déjà compromis. Certaines attaques sont réparties entre plusieurs machines, ce qui rend leur blocage plus difficile lorsqu’il repose uniquement sur une adresse IP.

Si une connexion aboutit, une personne non autorisée peut accéder aux fonctions permises par le compte compromis. Selon son rôle, elle peut notamment modifier ou supprimer du contenu, créer d’autres comptes ou injecter du code malveillant.

La protection repose donc sur plusieurs mesures complémentaires : rendre les mots de passe difficiles à deviner, ralentir les essais et empêcher l’accès même lorsqu’un mot de passe est connu.

Choisir des mots de passe forts et uniques

Chaque personne ayant accès à votre site doit disposer d’un mot de passe long, difficile à deviner et propre à ce compte. Évitez les noms, dates importantes, mots courants et mots de passe déjà utilisés sur un autre service.

Pour renforcer vos accès :

• utilisez une combinaison longue de lettres, chiffres et caractères spéciaux, ou une phrase de passe difficile à deviner ;
• générez et conservez les mots de passe dans un gestionnaire adapté ;
• ne partagez pas le même compte entre plusieurs personnes ;
• remplacez rapidement un mot de passe s’il a été divulgué ou si vous suspectez une compromission.

WordPress peut générer un mot de passe fort lors de la création d’un utilisateur ou de la modification de son profil. Un administrateur peut aussi demander aux utilisateurs de réinitialiser leur mot de passe ; pour imposer une politique particulière à tous les comptes, une extension adaptée peut être nécessaire.

Vérifiez également les comptes qui ont accès à l’administration. Supprimez les comptes devenus inutiles et attribuez à chacun les droits nécessaires à son travail. Notre guide sur les rôles et capacités dans WordPress détaille cette répartition.

Limiter les tentatives de connexion échouées

La limitation des tentatives bloque temporairement les nouveaux essais après plusieurs échecs. Elle rend les tests répétés plus difficiles, sans remplacer un mot de passe robuste : une attaque répartie entre plusieurs adresses IP peut contourner certaines limites.

Des extensions comme Limit Login Attempts, Login LockDown ou WP Limit Login Attempts proposent ce type de protection. Vérifiez leur compatibilité avec votre site et les fonctionnalités disponibles avant d’en choisir une.

Pour mettre en place une limitation :

1. Dans l’administration WordPress, ouvrez Extensions > Ajouter une extension.
2. Recherchez une extension de limitation des connexions, puis installez-la et activez-la.
3. Ouvrez sa page de réglages et définissez le nombre d’échecs autorisés ainsi que la durée du blocage.
4. Testez la connexion avec précaution et vérifiez comment débloquer un utilisateur légitime.

Choisissez des réglages qui ralentissent les essais sans bloquer trop facilement votre équipe. Avant de les appliquer, assurez-vous de disposer d’un accès à votre hébergement ou d’une autre méthode de récupération si vous vous bloquez vous-même.

Certaines extensions de sécurité plus complètes intègrent déjà cette fonction. Évitez d’activer plusieurs outils qui appliquent les mêmes restrictions sans vérifier leurs interactions.

Activer l’authentification à deux facteurs

L’authentification à deux facteurs, ou 2FA, demande une seconde preuve d’identité en plus du mot de passe. Il peut s’agir d’un code fourni par une application sur votre téléphone. Ainsi, la connaissance du seul mot de passe ne suffit normalement pas à ouvrir une session.

Des extensions comme Google Authenticator et Two Factor Authentication permettent de mettre en place cette protection. Les étapes exactes dépendent de l’extension retenue, mais le principe reste le même :

1. Installez et activez une extension de 2FA compatible avec votre site.
2. Dans ses réglages, choisissez les rôles ou les utilisateurs concernés.
3. Associez le compte à la méthode de vérification proposée et testez une connexion.
4. Conservez les éventuels codes de récupération dans un endroit sûr, séparé de votre téléphone.

Commencez par protéger les comptes administrateurs, puis étendez la mesure aux autres comptes qui accèdent au site. Prévoyez une procédure de récupération avant de l’imposer à votre équipe : une personne qui perd son téléphone doit pouvoir retrouver l’accès à son compte.

Ajouter une extension de sécurité et un pare-feu

Une extension de sécurité peut regrouper plusieurs fonctions : limitation des connexions, blocage d’adresses IP suspectes et surveillance d’activités. Wordfence, iThemes Security et Sucuri font partie des solutions citées pour WordPress ; les fonctions proposées dépendent de l’outil et de sa configuration.

Un pare-feu peut également filtrer des requêtes suspectes. Selon la solution choisie, il est intégré à une extension ou fourni par l’hébergeur. Consultez les réglages disponibles et les journaux avant de bloquer des accès, car une règle trop restrictive peut aussi toucher des utilisateurs légitimes.

Avant toute installation, vérifiez que l’extension est adaptée à votre site, entretenue et compatible avec votre environnement. Gardez une méthode d’accès de secours et testez les fonctions importantes après configuration, notamment la connexion et, si vous avez une boutique, le parcours de commande.

Si vous recherchez d’autres pistes pour sécuriser l’accès à wp-admin sans extension, certaines protections peuvent aussi être mises en place côté serveur.

Renforcer les accès et maintenir le site à jour

Changer l’adresse habituelle de la page de connexion, wp-login.php, peut réduire une partie des tentatives automatisées qui visent cette URL. Certaines extensions de sécurité proposent cette option. Ce n’est toutefois pas une protection suffisante : la nouvelle adresse peut être découverte et doit être conservée par les utilisateurs autorisés.

Par défaut, WordPress accepte le nom d’utilisateur ou l’adresse e-mail pour se connecter. Des outils permettent de restreindre les méthodes de connexion, mais utiliser uniquement l’adresse e-mail ne constitue pas une protection fiable à elle seule : une adresse peut aussi être connue ou devinée. Privilégiez les mots de passe uniques, la limitation des essais et la 2FA.

Maintenez également WordPress, ses extensions et ses thèmes à jour. Les mises à jour corrigent parfois des failles qui pourraient permettre de compromettre le site autrement qu’en devinant un mot de passe. Avant une intervention, prévoyez une sauvegarde et vérifiez le fonctionnement du site après les changements. Notre guide sur les mises à jour WordPress présente les éléments à prendre en compte.

Enfin, si vous constatez un compte inconnu, des modifications inexpliquées ou du code suspect, ne vous limitez pas à bloquer les connexions. Un site déjà compromis doit être examiné et nettoyé ; consultez les étapes de nettoyage d’un WordPress piraté pour comprendre la marche à suivre.

Questions fréquentes

Article rédigé avec l’aide d’une IA à partir des sources citées et de notre pratique de la maintenance WordPress. Notre méthode éditoriale.