La double authentification rend une attaque par force brute strictement inutile, même avec le bon mot de passe. C’est la mesure de sécurité au meilleur rapport entre effort et protection sur WordPress, et elle prend dix minutes à mettre en place. Une seule précaution conditionne tout le reste : conserver les codes de secours ailleurs que dans le site.
Ce que ça protège, et ce que ça ne protège pas
Le principe : après le mot de passe, WordPress demande un second élément, généralement un code temporaire généré par une application sur votre téléphone. Un attaquant qui a obtenu vos identifiants — par une fuite de données, un mot de passe réutilisé ou une attaque par dictionnaire — reste bloqué.
Soyons précis sur le périmètre, parce que la double authentification est parfois vendue comme une protection générale qu’elle n’est pas :
- Elle protège contre les tentatives de connexion automatisées, les mots de passe faibles ou réutilisés, et la réutilisation d’identifiants issus d’une fuite.
- Elle ne protège pas contre une extension vulnérable, un thème piraté téléchargé sur un site de partage, ou une faille du serveur. Ces voies d’entrée ne passent pas par la page de connexion.
Autrement dit : elle ferme une porte, la plus fréquemment attaquée, mais pas toutes. Elle complète les mises à jour et les sauvegardes, elle ne les remplace pas.
Quelle méthode choisir
Trois options existent, et elles ne se valent pas.
- Application d’authentification — un code à six chiffres renouvelé toutes les trente secondes, généré localement sur votre téléphone. C’est la méthode à retenir : elle fonctionne sans réseau, ne dépend d’aucun service tiers, et ne peut pas être interceptée.
- Clé de sécurité physique — le plus robuste, adapté aux sites à enjeu réel. Coût matériel et prise en main un peu plus technique.
- Code par e-mail — acceptable en dernier recours, mais faible : si votre messagerie est compromise, la protection tombe. Et sur un hébergement mutualisé, l’envoi d’e-mails échoue souvent, ce qui vous enferme dehors.
Le code par SMS n’est volontairement pas dans cette liste. Il est vulnérable à l’échange de carte SIM, une technique désormais courante, et les autorités de sécurité le déconseillent depuis plusieurs années.
La mise en place
- Installez une extension de double authentification — soit dédiée, soit incluse dans votre suite de sécurité si vous en avez déjà une. N’en empilez pas deux.
- Installez une application d’authentification sur votre téléphone.
- Dans votre profil WordPress, activez la double authentification et scannez le code affiché avec l’application.
- Saisissez le code de vérification pour confirmer l’association.
- Enregistrez les codes de secours dans votre gestionnaire de mots de passe. Cette étape n’est pas optionnelle.
- Déconnectez-vous et reconnectez-vous dans une fenêtre de navigation privée pour vérifier que tout fonctionne avant de fermer votre session administrateur.
Sur quels comptes l’imposer
Le principe est simple : rendez-la obligatoire pour tous les comptes administrateur et éditeur, sans exception. Ce sont les rôles qui permettent de modifier le site ou d’injecter du code.
Pour les rôles limités — auteur, contributeur, abonné — elle est recommandée mais l’arbitrage est différent : sur un site à nombreux contributeurs occasionnels, l’imposer génère de la charge de support pour un gain modeste, un compte abonné compromis ne permettant pas grand-chose.
Profitez de l’occasion pour faire le tri dans vos utilisateurs. Un ancien prestataire encore administrateur, un compte de test créé il y a trois ans, un stagiaire parti depuis longtemps : chacun est une cible de plus. Le sujet est traité plus largement dans notre guide sur la sécurisation d’un site WordPress.
Si vous êtes bloqué dehors
La situation est désagréable mais jamais définitive. Dans l’ordre :
- Utilisez un code de secours, si vous les avez conservés.
- Désactivez l’extension par FTP en renommant son dossier dans
wp-content/plugins/. La connexion redevient immédiatement classique. La procédure figure dans la désactivation d’une extension en FTP. - Reconfigurez ensuite, en conservant cette fois les codes de secours.
Cette porte de sortie par FTP est aussi la raison pour laquelle il faut garder ses identifiants d’hébergement dans un gestionnaire de mots de passe. Le jour où vous en avez besoin, vous n’avez pas accès au site pour les retrouver.
Questions fréquentes
La double authentification ralentit-elle la connexion ?
Elle ajoute une dizaine de secondes : sortir son téléphone, ouvrir l’application, saisir six chiffres. La plupart des extensions permettent de mémoriser un appareil de confiance pendant une durée choisie, ce qui limite la demande à une fois par semaine ou par mois sur votre poste habituel. Sur un site où vous vous connectez plusieurs fois par jour, ce réglage change tout le confort d’usage.
Que se passe-t-il si je change de téléphone ?
Anticipez avant de réinitialiser l’ancien. Certaines applications d’authentification proposent une synchronisation entre appareils, d’autres un export de vos comptes. À défaut, désactivez la double authentification depuis votre profil pendant que vous avez encore accès, changez de téléphone, puis réactivez-la. Vos codes de secours restent la solution si vous y avez déjà pensé trop tard.
Faut-il l'activer sur un petit site sans enjeu ?
Oui, car les attaques ne visent pas votre site en particulier : des robots testent automatiquement des combinaisons d’identifiants sur tout ce qu’ils trouvent. Un site compromis sert à envoyer du courrier indésirable, héberger des pages de hameçonnage ou revendre des liens, et un petit site fait très bien l’affaire. La question de la taille n’entre pas dans le calcul de l’attaquant.
Est-ce compatible avec l'application mobile WordPress ?
Cela dépend de l’extension utilisée. Certaines gèrent correctement les connexions via l’interface distante, d’autres les bloquent, ce qui rend l’application mobile inutilisable. Vérifiez ce point avant de choisir si vous publiez depuis votre téléphone. En cas d’incompatibilité, la plupart des extensions permettent de générer un mot de passe d’application spécifique.
Une extension de sécurité globale suffit-elle ?
La plupart des suites de sécurité incluent la double authentification, et dans ce cas, activez la sienne plutôt que d’ajouter une extension dédiée. Empiler deux mécanismes qui interceptent la connexion produit des conflits difficiles à diagnostiquer, et vous risquez de vous enfermer dehors. Une seule extension gère la connexion, c’est la règle.
Cela remplace-t-il un bon mot de passe ?
Non, les deux se complètent. La double authentification protège la connexion, mais votre mot de passe reste utilisé ailleurs : accès FTP, base de données, espace client de l’hébergeur, où le second facteur n’existe pas toujours. Un mot de passe long et unique par service, stocké dans un gestionnaire, reste la mesure la plus efficace. La double authentification vient par-dessus, pas à la place.