Se connecter à l’admin de WordPress et le sécuriser

Se connec­ter au tableau de bord de son site Word­Press est une étape essen­tielle pour le gérer. On parle de tableau de bord ou de l’ad­min de son site. Que ce soit pour publier un article, modi­fier une page ou ins­tal­ler une exten­sion, tout passe par cette inter­face.

Mais der­rière cette action simple se cache un enjeu impor­tant : la sécu­ri­té. L’accès à l’admin Word­Press est la porte d’entrée de votre site. Mal pro­té­gée, elle peut deve­nir une faille cri­tique.

Voyons com­ment se connec­ter à l’ad­min de Word­Press et sur­tout pour­quoi et com­ment la sécu­ri­ser efficacement.

Qu’est-ce que l’admin de WordPress ?

L’admin Word­Press ou tableau de bord, c’est l’interface qui per­met de gérer l’ensemble de votre site.
C’est ici que vous pou­vez créer du conte­nu, ins­tal­ler des exten­sions, modi­fier le desi­gn, gérer les uti­li­sa­teurs et uti­li­sa­trices ou encore confi­gu­rer les réglages.

En résu­mé, c’est le cœur de votre site. Toute per­sonne qui a accès à cet espace a poten­tiel­le­ment le contrôle total du site.

C’est pour cette rai­son que cet accès doit être stric­te­ment réser­vé et sécu­ri­sé.

Comment se connecter à l’admin WordPress ?

La méthode la plus simple est d’a­jou­ter « /wp-admin » à l’adresse de votre site. Par exemple, si votre site est mon​site​.fr, vous devez aller sur mon​site​.fr/​w​p​-​a​d​min. C’est l’url de connexion par défaut quand vous ins­tal­lez votre site Word­Press.

Vous arri­vez alors sur une page de connexion qui vous demande votre iden­ti­fiant (ou votre adresse email) et votre mot de passe.
Une fois ces infor­ma­tions sai­sies, vous accé­dez au tableau de bord.

Utiliser une adresse email valide dès l’installation de votre site WordPress

À ce popos, lors de l’installation de Word­Press, il vous est deman­dé de ren­sei­gner une adresse email. Ce champ peut sem­bler ano­din, mais il est en réa­li­té cru­cial. C’est cette adresse qui est uti­li­sée pour vous connec­ter à l’ad­min et pour récu­pé­rer un mot de passe oublié.

Sans une adresse email valide, vous ris­quez de devoir pas­ser par des mani­pu­la­tions tech­niques plus com­plexes, via votre héber­ge­ment : il fau­dra aller modi­fier la base de don­nées, ce qui est tou­jours une mani­pu­la­tion déli­cate.

Cette adresse sert éga­le­ment à rece­voir des noti­fi­ca­tions impor­tantes, notam­ment en cas de pro­blème de sécu­ri­té ou de mise à jour.

Uti­li­ser une adresse email fiable et acces­sible est donc une étape fon­da­men­tale dès le départ.

Éviter « admin » comme identifiant et changer l’URL de connexion, pour éviter les attaques par force brute

Quand on crée un site Word­Press, deux élé­ments sont connus par tout le monde… y com­pris des atta­quants : l’URL de connexion et l’identifiant « admin ».

Par défaut, presque tous les sites Word­Press uti­lisent une adresse stan­dard pour se connec­ter, comme « /wp-admin » ou « /wp​-login​.php ».

Ces deux infor­ma­tions sont des stan­dards uni­ver­sels. Et c’est pré­ci­sé­ment ce que les robots mal­veillants exploitent.

Aujourd’hui, des pro­grammes auto­ma­ti­sés par­courent le web en per­ma­nence pour ten­ter de se connec­ter aux sites Word­Press. Ils n’attaquent pas un site en par­ti­cu­lier. Ils testent des mil­lions de com­bi­nai­sons, à grande vitesse.

Leur stra­té­gie est simple. Ils com­mencent par essayer l’identifiant « admin », puis testent des cen­taines de mots de passe cou­rants. Si votre site uti­lise encore cet iden­ti­fiant, vous leur sim­pli­fiez énor­mé­ment le travail.

C’est un peu comme lais­ser une porte avec une ser­rure solide… mais écrire juste à côté « clé = admin ». Même avec un bon mot de passe, cela réduit consi­dé­ra­ble­ment la dif­fi­cul­té de l’attaque.

Chan­ger l’identifiant est donc une pre­mière bar­rière essen­tielle. En uti­li­sant un nom d’utilisateur unique et non évident, cela oblige l’attaquant à devi­ner deux infor­ma­tions au lieu d’une seule.

L’URL de connexion, elle aus­si, est connue par défaut. Les robots savent que la porte d’entrée se trouve à « /wp-admin ». (Cer­tains héber­geurs qui per­mettent l’ins­tal­la­tion en un clic de Word­Press pro­posent cela). Ils envoient donc des mil­liers de ten­ta­tives direc­te­ment à cette adresse.

En chan­geant cette URL, cela ne rend pas son site invul­né­rable, mais cela ajoute une pierre à la sécu­ri­sa­tion de son site. L’idée n’est pas de rem­pla­cer les autres mesures de sécu­ri­té, mais de les com­plé­ter. Un bon mot de passe, une double authen­ti­fi­ca­tion et des mises à jour régu­lières res­tent de mise.

Mais en chan­geant l’identifiant « admin » et l’URL de connexion, c’est déjà un grand pas. On passe d’une cible facile à une cible moins inté­res­sante pour les attaques automatisées.

Et dans la majo­ri­té des cas, c’est suf­fi­sant pour qu’un robot passe sim­ple­ment au site suivant. 

Ain­si vont les attaques par force brute qui ciblent prin­ci­pa­le­ment la page de connexion à l’admin.

Ils com­mencent géné­ra­le­ment par les com­bi­nai­sons les plus évi­dentes. Par exemple, ils vont essayer des iden­ti­fiants comme « admin », « user », ou « test », puis les asso­cier à des mots de passe très cou­rants comme « 123456 », « pass­word », ou « admin123 ».

Si cela ne fonc­tionne pas, ils passent à des listes beau­coup plus longues, conte­nant des mil­liers de combinaisons.

Ce type d’attaque ne cible pas votre site en par­ti­cu­lier. Il s’agit d’attaques auto­ma­ti­sées, lan­cées à grande échelle sur des mil­liers de sites en même temps. Les robots scannent le web en conti­nu et tentent leur chance par­tout où ils trouvent une page de connexion WordPress.

C’est pour cette rai­son que même un petit site, sans valeur appa­rente, peut être attaqué.

Le dan­ger vient du fait que ces attaques reposent sur la pro­ba­bi­li­té. Si votre mot de passe est faible ou déjà connu dans des bases de don­nées com­pro­mises, il peut être trou­vé très rapidement.

Mais même avec un mot de passe plus solide, une attaque par force brute peut poser pro­blème. Elle ralen­tit votre site, voire le rendre inac­ces­sible, car le ser­veur est sur­char­gé par toutes ces ten­ta­tives de connexion.

Pour modi­fier l’url de connexion et limi­ter le nombre de connexions, il existe des exten­sions qui vous aide­ront à mettre en place cela.

Choisir un identifiant et un mot de passe robuste

Choi­sir un iden­ti­fiant et un mot de passe robustes est l’une des actions les plus simples et pour­tant les plus effi­caces pour sécu­ri­ser l’accès à l’admin WordPress.

Le pre­mier point concerne l’identifiant, c’est-à-dire le nom d’utilisateur. Contrai­re­ment au mot de passe, il ne doit pas for­cé­ment être com­plexe, mais il doit être impré­vi­sible. Comme déjà dit, beau­coup uti­lisent encore « admin », leur pré­nom ou le nom du site. Ce sont les pre­miers élé­ments tes­tés par les robots.

Un bon iden­ti­fiant est donc un iden­ti­fiant qui ne peut pas être devi­né faci­le­ment. Il peut s’agir d’un mélange de mots et de chiffres, ou d’un nom sans lien direct avec le site. L’objectif est simple : évi­ter tout ce qui est évident.

Il doit éga­le­ment être unique. Uti­li­ser le même mot de passe sur plu­sieurs sites est une erreur fré­quente. Si un ser­vice est com­pro­mis, tous les autres deviennent vulnérables.

La com­plexi­té est éga­le­ment impor­tante. Un bon mot de passe mélange des lettres, des chiffres et éven­tuel­le­ment des carac­tères spéciaux.

Une bonne méthode consiste à uti­li­ser comme mot de passe, une phrase. Par exemple, une phrase longue, facile à mémo­ri­ser pour vous, mais dif­fi­cile à devi­ner pour un robot. En ajou­tant quelques varia­tions, comme des majus­cules ou des carac­tères spé­ciaux, on obtient un mot de passe à la fois solide et utilisable.

Quand vous uti­li­sez des mots de passe com­plexes, pen­sez à uti­li­ser un ges­tion­naire de mots de passe. Cet outil per­met de géné­rer et sto­cker des mots de passe très com­plexes sans avoir à les mémo­ri­ser. C’est aujourd’hui l’une des meilleures pratiques.

Ain­si, pour se pro­té­ger, on uti­lise un mot de passe long et com­plexe. Limi­ter le nombre de ten­ta­tives de connexion per­met de blo­quer rapi­de­ment les robots (cela peut être mis en place par une exten­sion de sécu­ri­té par exemple). On n’u­ti­lise pas l’identifiant « admin » et on change l’URL de connexion/

L’ajout d’une double authen­ti­fi­ca­tion ren­force encore la sécu­ri­té, car même si le mot de passe est décou­vert, l’accès reste bloqué.