Vos journaux serveur sont saturés de tentatives de connexion sur /wp-login.php ? Changer l’adresse de connexion réduit ce bruit de façon spectaculaire, souvent de plus de 90 %. Mais soyons clairs sur ce que cette mesure fait et ne fait pas : elle décourage les robots automatisés, elle n’arrête pas une attaque ciblée. Et mal préparée, elle vous enferme dehors.
Pourquoi votre page de connexion est attaquée
WordPress place sa page de connexion à une adresse identique sur tous les sites du monde. Des robots parcourent en permanence le web en testant cette adresse et en essayant des combinaisons d’identifiants courants. Ce n’est pas personnel : votre site n’a pas été choisi, il a été trouvé.
Ces tentatives ont deux coûts. Le premier est la charge serveur : chaque essai consomme des ressources, et sur un hébergement modeste, une vague soutenue ralentit le site pour les vrais visiteurs. Le second est le bruit : au milieu de milliers d’échecs quotidiens, une tentative réellement inquiétante devient impossible à repérer.
Ce que change réellement une adresse personnalisée
Soyons précis, parce que c’est là que beaucoup d’articles vendent une illusion. Déplacer la page de connexion relève de la dissimulation, pas du verrouillage. Un attaquant qui vous vise spécifiquement trouvera l’adresse.
Ce que vous obtenez concrètement :
- Les robots automatisés passent à côté. Ils testent l’adresse standard et repartent. C’est l’immense majorité du trafic malveillant.
- Vos journaux redeviennent lisibles, ce qui vous permet de repérer une vraie anomalie.
- La charge serveur baisse, parfois de façon très visible sur un mutualisé.
Ce que vous n’obtenez pas : une protection contre un mot de passe faible, contre une extension vulnérable, ou contre une attaque visant d’autres points d’entrée. La mesure est utile, mais elle vient en complément d’un mot de passe solide et d’une double authentification, jamais à leur place.
La mise en place
Plusieurs extensions font ce travail, soit spécialisées dans cette seule fonction, soit intégrées à une suite de sécurité plus large. Le principe est identique : l’adresse standard renvoie une page introuvable, et la connexion se fait à l’adresse que vous choisissez.
Si vous utilisez déjà une extension de sécurité, vérifiez ses réglages avant d’en installer une autre : la fonction y est probablement déjà présente. Empiler deux extensions qui modifient la page de connexion produit des conflits difficiles à diagnostiquer.
Pour le choix de l’adresse : évitez les mots trop devinables comme « login », « admin » ou « connexion », qui figurent dans les listes testées par les robots. Une chaîne courte et sans logique apparente fait très bien l’affaire. Inutile qu’elle soit longue : elle doit seulement être imprévisible.
Les trois précautions qui évitent le pire
- Notez la nouvelle adresse dans votre gestionnaire de mots de passe, à côté de vos identifiants, avant même de valider. C’est la précaution la plus importante de cet article. Une adresse personnalisée oubliée est la cause d’une bonne part des situations de blocage.
- Ne comptez pas sur votre mémoire ni sur vos favoris. Un changement de navigateur, un poste réinitialisé, et l’accès est perdu.
- Prévenez les autres utilisateurs du site. Rédacteurs, clients, prestataires : tous se connectent à l’ancienne adresse et se retrouveront devant une page introuvable sans comprendre pourquoi.
Si vous perdez l’adresse malgré tout, la situation n’est pas dramatique : désactivez l’extension par FTP en renommant son dossier, et l’adresse standard redevient immédiatement valide. La procédure figure dans notre guide sur la désactivation d’une extension en FTP, et le cas est traité plus largement dans impossible de se connecter à wp-admin.
Les autres portes d’entrée
Déplacer la page de connexion sans traiter le reste donne un faux sentiment de sécurité. Deux points méritent votre attention.
Le fichier XML-RPC. Ce point d’entrée hérité permet des tentatives d’authentification par une autre voie que la page de connexion, et il autorise le regroupement de nombreux essais en une seule requête. Si vous n’utilisez ni l’application mobile WordPress ni un outil de publication distante, il peut être désactivé — la plupart des extensions de sécurité proposent l’option.
L’énumération des utilisateurs. Certaines configurations laissent découvrir la liste des identifiants du site par l’API REST ou par les archives d’auteur. Un robot qui connaît votre identifiant n’a plus qu’à chercher le mot de passe. Vérifiez ce point, il annule une partie du bénéfice si vous le négligez.
Ce qui protège vraiment
Par ordre d’efficacité réelle, et non de popularité :
- Un mot de passe long et unique pour chaque compte administrateur, généré et stocké dans un gestionnaire. C’est de loin la mesure la plus efficace, et la plus négligée.
- La double authentification sur les comptes administrateur. Elle rend une attaque par force brute inopérante, même avec le bon mot de passe. Conservez les codes de secours.
- La limitation des tentatives de connexion, qui bloque une adresse après plusieurs échecs.
- Le principe du moindre privilège : un rédacteur n’a pas besoin d’un compte administrateur. Chaque compte à droits élevés est une cible supplémentaire.
- L’adresse de connexion personnalisée, en complément — utile, mais dernière de cette liste.
Questions fréquentes
Est-ce vraiment de la sécurité ?
C’est de la réduction de surface d’exposition, ce qui n’est pas rien mais n’est pas non plus une barrière. Les spécialistes parlent de sécurité par l’obscurité, une approche critiquée quand elle remplace les vraies protections, mais parfaitement légitime quand elle les complète. Le raisonnement juste est : mot de passe solide et double authentification d’abord, adresse personnalisée ensuite, pour le confort et la tranquillité des journaux.
Cela ralentit-il le site ?
L’extension elle-même a un coût négligeable. L’effet net est même généralement positif : en supprimant des milliers de requêtes malveillantes quotidiennes, vous libérez des ressources serveur. Sur un hébergement mutualisé soumis à des vagues d’attaques régulières, le gain de réactivité est parfois nettement perceptible.
Que se passe-t-il si je désactive l’extension ?
L’adresse standard redevient immédiatement fonctionnelle et l’adresse personnalisée cesse de répondre. C’est précisément ce qui en fait une porte de secours fiable : en cas d’oubli, une désactivation par FTP vous rend l’accès en deux minutes. Pensez-y avant de céder à la panique, et vérifiez au passage que vous disposez bien de vos identifiants FTP.
Faut-il aussi masquer le fait que le site tourne sous WordPress ?
Certaines extensions le proposent, mais l’exercice est largement illusoire : la structure des dossiers, les fichiers de thème et les balises générées trahissent le système en quelques secondes d’analyse. Le temps consacré à cette dissimulation est mieux investi dans les mises à jour, les mots de passe et les sauvegardes. Masquer la version exacte de WordPress, en revanche, reste une précaution raisonnable.
Mes utilisateurs se plaignent de ne plus trouver la page
C’est le principal inconvénient pratique. Sur un site à plusieurs contributeurs, communiquez la nouvelle adresse avant la bascule, pas après, et recommandez à chacun de l’enregistrer dans son gestionnaire de mots de passe. Sur un site à contributeurs occasionnels ou à clients qui se connectent rarement, pesez le bénéfice : la charge de support peut dépasser le gain.
Puis-je le faire sans extension ?
Techniquement oui, par des règles de réécriture au niveau du serveur ou par du code sur mesure, mais c’est fragile : une mise à jour de WordPress ou une modification de configuration peut casser le dispositif et vous bloquer dehors sans avertissement. Pour cette fonction précise, une extension maintenue est plus sûre qu’une bricole maison, ce qui n’est pas toujours le cas.