C’est la porte d’entrée principale de votre maison numérique.
Par défaut, sur n’importe quel site WordPress dans le monde, il suffit de rajouter /wp-admin ou /wp-login.php à la fin de l’adresse web pour se retrouver face à la page de connexion.
Pour les pirates informatiques et leurs robots (les fameux « bots »), c’est une aubaine. Ils connaissent l’adresse de la porte, ils savent à quoi elle ressemble, et il ne leur reste plus qu’à essayer de crocheter la serrure. C’est ce qu’on appelle les attaques par force brute : des robots testent des milliers de combinaisons d’identifiants et de mots de passe à la minute jusqu’à ce que l’un d’eux fonctionne.
Même si votre mot de passe est ultra-complexe, ces milliers de tentatives simultanées consomment les ressources de votre serveur et peuvent ralentir considérablement votre site, voire le faire planter.
Heureusement, sécuriser cette fameuse page de connexion est beaucoup plus simple qu’il n’y paraît. Voici les étapes concrètes pour verrouiller l’entrée de votre WordPress.
1. Masquer la page de connexion (Changer l’adresse)
C’est la mesure de bon sens la plus efficace. Si les robots ne trouvent pas la porte, ils ne peuvent pas essayer de la forcer.
L’objectif est de remplacer le classique /wp-admin par une adresse personnalisée et secrète que vous serez le seul à connaître (par exemple : /mon-entree-privee ou /connexion-equipe).
Comment faire ? N’essayez pas de modifier les fichiers de WordPress à la main, c’est le meilleur moyen de bloquer votre accès. Utilisez plutôt une extension gratuite, légère et très populaire comme WPS Hide Login.
La méthode : Une fois l’extension installée, allez dans vos réglages WordPress, saisissez votre nouvelle URL secrète et enregistrez.
Conseil de pro : Enregistrez immédiatement cette nouvelle adresse dans les favoris de votre navigateur pour éviter de vous retrouver vous-même à la porte !
2. En finir définitivement avec l’identifiant « admin »
Si vous utilisez encore « admin », « administrateur » ou le nom de votre site comme identifiant de connexion, vous facilitez la tâche des pirates de moitié. Ils ont déjà le nom d’utilisateur, ils n’ont plus qu’à chercher le mot de passe.
La solution : Créez un nouvel utilisateur avec un identifiant unique (qui ne correspond pas à votre prénom ou au nom public qui s’affiche sous vos articles de blog). Donnez-lui le rôle d’Administrateur.
Déconnectez-vous, reconnectez-vous avec ce nouveau compte, puis supprimez définitivement l’ancien compte « admin » en prenant soin de réattribuer tous ses contenus à votre nouveau profil.
3. Limiter le nombre de tentatives de connexion
Par défaut, WordPress permet de se tromper de mot de passe un nombre infini de fois. C’est ce qui permet aux robots de tester des milliers de combinaisons sans jamais être bloqués.
Il faut leur couper le sifflet en instaurant une règle simple : trois erreurs, et on est banni.
Comment faire ? Vous pouvez installer une extension dédiée comme Limit Login Attempts Reloaded ou utiliser les fonctionnalités de sécurité intégrées dans des suites globales comme SecuPress ou Wordfence.
L’effet immédiat : Dès qu’une adresse IP se trompe de mot de passe plus de 3 ou 5 fois d’affilée, elle est temporairement bannie (par exemple pendant 20 minutes ou 24 heures). Les robots se lassent très vite et passent au site suivant.
4. Activer l’authentification à double facteur (2FA)
C’est aujourd’hui la norme absolue pour sécuriser vos comptes bancaires ou vos boîtes mail. Pourquoi pas votre site internet ?
L’authentification à double facteur vous demande, en plus de votre mot de passe, un code unique temporaire généré sur votre smartphone (via des applications gratuites comme Google Authenticator ou Bitwarden).
Même si un pirate parvenait à deviner votre identifiant et votre mot de passe secret, il resterait totalement bloqué à l’entrée sans votre téléphone physique entre les mains. Des extensions comme Two-Factor ou Wordfence permettent de configurer cela très simplement en scannant un simple QR Code.
5. Ajouter une protection au niveau du serveur (Le blindage ultime)
Pour les sites particulièrement ciblés, on peut ajouter un verrou supplémentaire avant même que WordPress ne commence à se charger : une authentification HTTP (Basic Auth).
Lorsque l’on tente d’accéder à la page de connexion, le navigateur affiche une petite boîte de dialogue grise demandant un nom d’utilisateur et un mot de passe système.
Cette méthode, qui se configure via le fichier .htaccess de votre serveur ou directement depuis l’interface de votre hébergeur, bloque 100 % des robots au niveau du serveur. Votre site WordPress ne consomme ainsi absolument aucune ressource pour rejeter les attaquants.
Envie de dormir sur vos deux oreilles ?
La sécurité d’un site WordPress ne s’arrête pas à sa page de connexion, mais c’est un excellent point de départ. Prendre le temps d’appliquer ces quelques règles vous évitera bien des sueurs froides et des pertes de données.
Si la technique vous fait peur, si vous craignez de vous bloquer l’accès à votre propre site, ou si vous préférez tout simplement déléguer la sécurité de votre outil de travail à un professionnel, nous sommes là pour vous aider. Chez Site Serein, la sécurité et la surveillance proactive font partie intégrante de tous nos forfaits de maintenance.