Sécurité des mots de passe WordPress : pourquoi votre mot de passe est le plus gros risque
La plupart des sites WordPress piratés ne tombent pas faute d'extension de sécurité, mais à cause de mots de passe utilisateurs faibles. Pourquoi la longueur compte plus que les acrobaties de symboles, quels mythes abandonner et comment construire des mots de passe solides qui restent en tête.
Quand un site WordPress est piraté, le soupçon tombe par réflexe sur la technique manquante : pas d'extension de sécurité, pas de pare-feu, pas de scanner de logiciels malveillants. La vérité inconfortable est ailleurs. En pratique, le point faible le plus important de presque tous les sites WordPress est bien plus banal : des mots de passe utilisateurs faibles, réutilisés ou devinables. Un attaquant qui se connecte avec des identifiants valides ne déclenche aucune alarme du pare-feu. Il est simplement à l'intérieur.
Cet article explique pourquoi les mots de passe sont la première porte d'entrée, fait le tri dans les mythes les plus tenaces et montre une méthode pour construire des mots de passe réellement solides que vous pouvez malgré tout retenir. Et comme le sujet compte, la recette fonctionne sans aucun outil.
Pourquoi les mots de passe sont la première porte d'entrée
Les connexions WordPress ne sont pas attaquées par des individus qui s'ennuient, mais par des réseaux de robots qui travaillent en continu et de façon automatisée. Deux schémas d'attaque dominent :
Force brute et attaques par dictionnaire : les robots parcourent systématiquement des millions de combinaisons, en commençant par les classiques comme 123456, motdepasse ou le nom du site suivi d'une année. Les mots de passe courts ou évidents ne tombent pas en semaines mais en secondes ou en minutes. Les cibles préférées sont wp-login.php et l'interface souvent oubliée xmlrpc.php : sa fonction system.multicall permet d'empaqueter des centaines de tentatives de mot de passe dans une seule requête, ce qui contourne élégamment les limites de connexion classiques. Si vous n'avez pas besoin de XML-RPC, par exemple pour la liaison Jetpack ou d'anciennes applications, désactivez cette interface.
Credential stuffing : plus efficace encore, ne rien deviner du tout. Des milliards de combinaisons réelles de courriel et de mot de passe circulent après des fuites chez d'autres services. Les robots essaient simplement ces listes sur les connexions WordPress. Si vous utilisez le même mot de passe pour la boutique en ligne, la messagerie et l'administration WordPress, la prochaine fuite chez l'un de ces services vous compromet partout en même temps. La réutilisation d'un mot de passe n'est donc pas un défaut cosmétique, c'est le fil direct entre la fuite d'un tiers et votre zone d'administration.
Une extension de sécurité peut intercepter et ralentir beaucoup de ces tentatives, et cela a de la valeur. Mais contre un mot de passe valide, volé ou deviné, aucun pare-feu au monde n'aide. L'hygiène des mots de passe passe donc avant toute décision sur les extensions.
Les trois plus gros mythes sur les mots de passe
Autour des mots de passe survivent des règles bien intentionnées il y a vingt ans et qui aujourd'hui nuisent démontrablement plus qu'elles n'aident. Le NIST américain et le BSI allemand ont d'ailleurs réorienté leurs recommandations en ce sens.
Mythe 1 : le fouillis de symboles bat la longueur
Le court P@ssw0rd! a l'air sûr, mais ne l'est pas : ces substitutions précises (a en @, o en 0, point d'exclamation à la fin) font partie depuis longtemps de toute attaque par dictionnaire. Un mot de passe de huit caractères obscurs est arithmétiquement bien plus faible qu'un mot de passe de vingt caractères simples. La longueur bat la complexité, et pas de peu : par ordres de grandeur. Chaque caractère supplémentaire multiplie l'effort de l'attaquant au lieu de simplement s'y ajouter.
Mythe 2 : il faut changer les mots de passe régulièrement
Les changements imposés tous les 90 jours produisent en pratique un schéma prévisible : Ete2025! devient Automne2025!. Ces rotations abaissent la sécurité réelle, parce que les gens se construisent des systèmes mémorisables que les attaquants connaissent tout aussi bien. La recommandation actuelle est la suivante : un mot de passe solide reste en place jusqu'à ce qu'il y ait une raison concrète, par exemple une fuite chez le service ou le soupçon que quelqu'un a lu par-dessus l'épaule. Le changement est alors immédiat, pas calendaire.
Mythe 3 : « mon blog est trop petit pour être attaqué »
Les robots ne connaissent pas l'audience. Ils balaient des plages d'adresses IP et des listes de domaines entières, et un petit blog de jardinage les intéresse autant qu'un grand magazine : comme relais de spam, hébergement d'hameçonnage, ferme de liens pour le référencement ou tremplin vers d'autres attaques. La question n'est pas de savoir si votre page de connexion est attaquée automatiquement. Elle l'est déjà, probablement plusieurs fois par jour. La seule question est de savoir si ces tentatives se perdent dans le vide.
Ce qui aide vraiment : longueur, hasard, unicité
La force d'un mot de passe tient en un seul terme : l'entropie, c'est-à-dire la quantité de hasard réel qu'il contient. En simplifiant : combien de possibilités un attaquant doit-il parcourir avant de trouver votre mot de passe à coup sûr ? Chaque caractère aléatoire supplémentaire multiplie ce nombre. Un mot de passe aléatoire de 12 caractères mêlant lettres, chiffres et symboles offre déjà plus de combinaisons que tous les ordinateurs du monde ne pourraient en essayer en des siècles, et un mot de passe de 16 à 20 caractères est, à échéance prévisible, pratiquement incassable.
Le mot décisif est aléatoire. Le début d'une chanson de 20 caractères n'est pas aléatoire, il figure dans les mêmes listes que les dictionnaires. Il en découle trois règles simples :
1. Longueur : au moins 16 caractères, davantage si possible. 2. Hasard : les briques doivent être tirées au sort, pas inventées, car les êtres humains sont de piètres générateurs de hasard. 3. Unicité : chaque service reçoit son propre mot de passe, pour qu'une fuite chez le service A n'ouvre pas le service B. Qui respecte les trois règles a réglé le problème sur le fond. Reste une question : comment retenir une chose pareille ?
La méthode de l'histoire : des mots de passe à partir d'images
Notre cerveau est mauvais avec la salade de caractères et excellent avec les images et les histoires. C'est exactement ce qu'exploite la méthode de l'histoire : au lieu de mémoriser L1c0rn3!Id33#B41gn01r3-4711 comme une chaîne, vous mémorisez une image absurde : « La licorne a une idée dans la baignoire » 🦄💡🛁. De cette phrase, le mot de passe est dérivé selon des règles fixes et simples : reprendre les mots marquants, remplacer quelques lettres par des chiffres, ajouter des séparateurs et un nombre. L'image est assez bizarre pour rester, et le mot de passe dérivé est long, mélangé et ne figure dans aucun dictionnaire.
Le piège des phrases inventées soi-même : les gens imaginent des phrases prévisibles. L'histoire devrait donc être tirée au sort, pas choisie.
Un point à situer correctement : la méthode de l'histoire est faite pour les rares mots de passe que vous devez vraiment avoir en tête. Pour tous les autres, il existe une meilleure réponse, nous y venons. Un guide plus détaillé de la méthode, exemple chiffré compris, se trouve dans notre article Créer un mot de passe sûr.
Mesures concrètes pour les exploitants de sites WordPress
Un mot de passe personnel solide, c'est la moitié du travail. L'autre moitié : veiller à ce qu'aucun autre compte de votre site ne soit une porte d'entrée. Ces cinq mesures couvrent la pratique :
1. Une politique de mots de passe stricte pour tous les rôles
Le mot de passe administrateur le plus solide sert à peu de chose si un compte de rédaction est protégé par automne123. Les comptes avec moins de droits sont eux aussi un butin intéressant, par exemple pour des contenus indésirables ou comme point de départ d'une élévation de privilèges. WordPress affiche un indicateur de force au moment du choix, mais accepte quand même les mots de passe faibles après confirmation. Une force minimale imposée à tous les rôles, par extension ou par consigne d'équipe, ferme cette brèche. La responsabilité est particulière pour qui exploite un espace membres : des centaines ou des milliers de comptes utilisateurs se rattachent vite à votre site, et vous protégez aussi leurs identifiants. Qui prévoit ou exploite un tel espace devrait choisir une solution qui pense la sécurité dès le départ, comme notre MemberJet conçu avec la sécurité au coeur. Ce que coûtent les versions payantes figure sur la page des tarifs, et la version gratuite reste gratuite.
2. Activer l'authentification à deux facteurs
Un deuxième facteur (application d'authentification ou clé de sécurité) rend un mot de passe volé inutile à lui seul. Pour les comptes administrateur et rédacteur, la double authentification devrait être obligatoire et non facultative. La mise en place prend quelques minutes par compte et reste de loin le complément le plus efficace à un mot de passe solide.
3. Limiter les tentatives de connexion
Par défaut, WordPress autorise un nombre illimité de tentatives de connexion, un cadeau pour tout robot de force brute. Une limite suivie d'un blocage ou d'un délai d'attente freine fortement les attaques automatisées. Beaucoup d'extensions de sécurité courantes proposent cette fonction, et comme décrit plus haut xmlrpc.php doit entrer dans la limite, sinon l'attaque continue simplement par la porte de derrière.
4. Des mots de passe d'application au lieu du mot de passe principal pour les API
Quand des services externes, des applications ou des scripts accèdent à votre site via l'API REST, votre mot de passe principal n'a rien à y faire. WordPress propose depuis la version 5.6 les mots de passe d'application : des codes d'accès propres, générés aléatoirement pour chaque application, que vous pouvez révoquer un par un sans changer votre véritable mot de passe. Si un service compromet un tel code, vous retirez celui-là et le reste demeure intact.
5. Pas de nom d'utilisateur « admin »
Le nom d'utilisateur est la moitié de la combinaison d'accès, et admin est la première moitié que tout robot essaie. Un nom d'utilisateur personnel n'est pas une protection forte en soi, mais il élimine d'avance les 90 pour cent les plus bêtes des tentatives automatisées. Si votre compte administrateur tourne encore sur admin : créez un nouveau compte avec un nom propre, transférez les droits, supprimez l'ancien compte.
Pour tout le reste : le gestionnaire de mots de passe
La méthode de l'histoire est volontairement réservée à quelques mots de passe : les deux ou trois que vous ne pouvez consulter nulle part, c'est-à-dire le mot de passe maître de votre gestionnaire et la connexion de vos appareils. Pour tous les autres comptes, le gestionnaire de mots de passe est la recommandation standard, sans réserve : il génère pour chaque service un mot de passe long, aléatoire et unique et le retient à votre place. La règle d'unicité est alors respectée automatiquement, et le credential stuffing se perd dans le vide chez vous.
La répartition est donc simple : un mot de passe maître solide, construit avec la méthode de l'histoire, protège le gestionnaire, le gestionnaire protège tout le reste, et l'authentification à deux facteurs sécurise en plus les comptes les plus importants. Qui combine ces trois briques a fait davantage pour la sécurité de son site WordPress que n'importe quelle extension de sécurité bien configurée à elle seule.
Un espace membres pensé pour la sécurité
Qui exploite des comptes utilisateurs protège aussi les identifiants d'autres personnes. MemberJet apporte des niveaux d'accès, une structure de cours et la liaison Digistore24, sans participation au chiffre d'affaires ni frais par transaction.
Questions fréquentes
Quelle longueur pour un mot de passe WordPress sûr ?
Au moins 16 caractères, davantage si possible. Au-delà de la longueur, l'essentiel est que le mot de passe soit composé au hasard et ne serve à aucun autre service. Un mot de passe long et aléatoire de 16 à 20 caractères est pratiquement impossible à casser par essais avec la technique actuelle, tandis qu'un mot de passe court avec des substitutions comme « P@ssw0rd! » tombe en quelques secondes, parce que ces schémas font partie de toute attaque par dictionnaire.
Dois-je changer régulièrement mon mot de passe WordPress ?
Non, les changements imposés par le calendrier sont aujourd'hui considérés comme contre-productifs, parce qu'ils mènent à des schémas prévisibles comme « Ete2025! » qui devient « Automne2025! ». Le NIST comme le BSI allemand recommandent désormais : un mot de passe solide et unique reste en place jusqu'à ce qu'il y ait une raison concrète, par exemple une fuite connue ou un soupçon d'abus. Il doit alors être changé immédiatement, pas à la prochaine échéance.
Une extension de sécurité ne règle-t-elle pas le problème des mots de passe ?
Pas à elle seule. Une extension de sécurité intercepte et ralentit beaucoup de tentatives automatisées, et limiter les tentatives de connexion fait partie des bonnes pratiques. Mais contre un mot de passe valide, volé ou deviné, aucun pare-feu n'aide : celui qui se connecte avec des identifiants corrects ne déclenche aucune alarme. L'hygiène des mots de passe passe donc avant le choix de l'extension, pas après.
