Gestion des utilisateurs WordPress : la sécurité commence par les droits
Beaucoup de piratages WordPress ne démarrent pas par une faille spectaculaire. Ils commencent par un compte trop puissant, un ancien prestataire encore administrateur, un mot de passe réutilisé ou un éditeur qui possède des droits dont il n’a pas besoin. La gestion des utilisateurs est donc une mesure de sécurité de base, mais elle doit être suivie dans le temps.
Comprendre les rôles avant de distribuer les accès
WordPress fonctionne avec des rôles et des capacités. Un administrateur peut presque tout faire. Un éditeur gère les contenus. Un auteur publie ses propres articles. Un contributeur propose des contenus sans les publier. Un abonné a des droits très limités. Les plugins peuvent ajouter leurs propres rôles, ce qui rend l’audit indispensable sur les sites WooCommerce, LMS, membres ou multilingues.
La règle simple : personne ne doit garder un rôle administrateur par confort. Un compte administrateur doit servir à administrer, pas à rédiger un article ou répondre à un commentaire.
Les erreurs qui ouvrent la porte aux attaques
- Conserver des comptes d’anciens freelances, agences ou salariés.
- Partager un compte administrateur entre plusieurs personnes.
- Utiliser un identifiant évident comme
admin. - Donner
manage_optionsà un rôle qui n’en a pas besoin. - Laisser un compte sans 2FA gérer les plugins, thèmes ou utilisateurs.
- Ne jamais vérifier les sessions actives après un incident.
Mettre en place le moindre privilège
Le moindre privilège consiste à donner exactement les droits nécessaires, pas davantage. Pour un rédacteur, un rôle auteur ou éditeur suffit souvent. Pour un prestataire SEO, un accès temporaire et limité est préférable. Pour un développeur, l’accès doit être créé pour l’intervention, journalisé, puis supprimé ou désactivé.
Sur les sites sensibles, créez des comptes nominatifs. Cela permet de savoir qui a modifié un plugin, publié un contenu, supprimé une page ou changé une option critique. Les comptes partagés rendent les enquêtes post-incident presque impossibles.
2FA, mots de passe et sessions
L’authentification à deux facteurs doit être obligatoire pour les administrateurs et fortement recommandée pour les éditeurs. Elle limite l’impact des mots de passe volés dans une fuite externe. Les mots de passe doivent être uniques, stockés dans un gestionnaire et renouvelés après tout soupçon de compromission.
Après un nettoyage de site piraté, il faut forcer la déconnexion de toutes les sessions, renouveler les clés de sécurité WordPress, changer les mots de passe administrateurs, vérifier les adresses email des comptes et contrôler les comptes récemment créés.
Routine mensuelle recommandée
- Exporter la liste des comptes et vérifier les rôles.
- Désactiver les accès inutilisés.
- Contrôler les comptes administrateurs et leurs emails.
- Vérifier que la 2FA est active sur les rôles sensibles.
- Regarder les derniers changements de plugins, thèmes et utilisateurs.
- Supprimer les comptes de test.
La sécurité WordPress n’est pas seulement une affaire de pare-feu. Un site avec des rôles propres, des accès limités et une vraie hygiène de comptes résiste mieux aux attaques courantes et se récupère plus vite après un incident.
