Double authentification sur WordPress : méthodes et extensions
Un mot de passe, aussi solide soit-il, peut fuiter : réutilisé sur un autre service piraté, tapé sur une fausse page de connexion, noté sur un post-it. La double authentification (2FA) ajoute une seconde preuve d’identité au moment de se connecter. Sans elle, le mot de passe suffit ; avec elle, il faut aussi avoir en main ton téléphone ou ta clé. Pour un compte administrateur WordPress, c’est probablement la mesure la plus rentable que tu puisses prendre en dix minutes.
Les méthodes possibles
WordPress ne propose pas la double authentification de base : elle s’ajoute par une extension. Selon l’outil choisi, plusieurs méthodes sont disponibles.
| Méthode | Principe | Points forts | Limites |
|---|---|---|---|
| Application d’authentification (TOTP) | Un code à six chiffres qui change toutes les 30 secondes, généré par une appli sur ton téléphone | Fonctionne hors ligne, standard, gratuit | Perdre le téléphone sans codes de secours, c’est rester à la porte |
| Clé d’accès (passkey) ou clé de sécurité physique | Une clé cryptographique stockée dans ton téléphone, ton ordinateur ou une clé USB | Très résistant à l’hameçonnage, rapide à l’usage | Prise en charge variable selon les extensions et les navigateurs |
| Code par e-mail | Un code envoyé à l’adresse du compte | Simple pour des utilisateurs peu à l’aise | Aussi sûr que la boîte mail elle-même, et dépend de la bonne délivrance des e-mails du site |
Pour un administrateur, l’application d’authentification est le bon point de départ. Les clés d’accès sont encore plus sûres ; vérifie au moment de l’installation si l’extension que tu choisis les prend en charge. Le code par e-mail reste un dépannage acceptable pour des comptes à faibles droits.
Côté applications, les plus courantes sont celles de Google, de Microsoft, ou un gestionnaire de mots de passe qui sait générer ces codes. Toutes lisent le même QR code standard.
Les extensions à connaître
Trois extensions gratuites reviennent souvent, chacune avec sa philosophie. Leurs fonctions évoluent : vérifie sur leur page officielle ce qu’elles proposent au moment où tu les installes.
Two Factor
Maintenue par des contributeurs du projet WordPress, Two Factor est sobre : chaque utilisateur active ses méthodes depuis son profil (Comptes > Profil). Elle gère notamment les codes TOTP, les codes par e-mail et les codes de secours. Elle ne propose pas, de base, d’interface pour obliger tous les administrateurs à l’activer.
Wordfence Login Security
C’est le module de connexion de Wordfence, disponible aussi séparément si tu ne veux pas toute la suite de sécurité. Il ajoute la 2FA par application, des codes de récupération et une protection de la page de connexion. Il permet de rendre la 2FA obligatoire pour certains rôles.
WP 2FA
Pensée pour les sites à plusieurs utilisateurs, elle guide chacun pas à pas dans la configuration et permet de fixer des règles : rôles concernés, délai de grâce avant que la 2FA devienne obligatoire. Certaines options avancées sont réservées à la version premium.
Si tu utilises déjà une extension de sécurité complète, regarde d’abord si elle intègre la 2FA avant d’en ajouter une autre. Notre comparatif des extensions de sécurité détaille ce que chacune couvre.
Mise en place, pas à pas
- Fais une sauvegarde et garde un accès FTP ou au panneau de l’hébergeur : c’est ta porte de secours si tu te bloques.
- Installe l’extension depuis Extensions > Ajouter, puis active-la.
- Configure ton propre compte d’abord. Scanne le QR code avec ton application, saisis le code affiché pour valider.
- Génère les codes de secours et range-les hors du site : gestionnaire de mots de passe, coffre papier. Chaque code ne sert qu’une fois.
- Teste en te déconnectant puis en te reconnectant, idéalement dans une fenêtre de navigation privée, avant de fermer ta session principale.
- Étends aux autres comptes en commençant par ceux qui ont le plus de droits.
Imposer la 2FA aux administrateurs
Une 2FA facultative finit toujours par être oubliée par quelqu’un, et c’est souvent le compte le plus ancien, celui d’un ancien prestataire, qui reste ouvert. Les règles à fixer :
- obligatoire pour tous les administrateurs et les gestionnaires de boutique ;
- recommandée pour les éditeurs et les auteurs ;
- un délai de grâce court pour les nouveaux comptes ;
- un point régulier sur la liste des comptes pour supprimer ceux qui ne servent plus.
Pour une boutique, réfléchis avant d’imposer la 2FA aux clients : une connexion trop compliquée peut faire abandonner un achat. La 2FA pour l’équipe, une bonne politique de mots de passe pour les clients, c’est souvent le bon équilibre.
Si tu perds l’accès
Avec un code de secours, tu te reconnectes et tu reconfigures ta méthode. Sans code de secours, il faut désactiver temporairement l’extension en renommant son dossier dans wp-content/plugins par FTP, te reconnecter, puis la réactiver et refaire la configuration. C’est faisable, mais cela prouve aussi que quiconque a l’accès FTP peut contourner la 2FA : protège donc tout autant ton espace hébergeur.
La double authentification n’est qu’un élément d’un ensemble ; pour le reste, suis notre guide pour durcir la sécurité de WordPress. Et si tu arrives ici après une intrusion, commence plutôt par la procédure quand un site WordPress est piraté.
Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.