Configurer la vérification en deux étapes pour WordPress

Avec la vérification en deux étapes (2FA), il vous faut, en plus de votre mot de passe, un deuxième élément pour vous connecter : le plus souvent un code à six chiffres généré par une application sur votre téléphone. Une personne qui connaît votre mot de passe ne peut alors toujours pas accéder à l'administration de votre site. WordPress n'intègre pas cette fonction. Vous l'ajoutez à l'aide d'une extension. Vous découvrirez ici comment procéder, et que faire si vous perdez votre téléphone.

Quelle extension choisir ?

Il existe de nombreuses extensions de vérification en deux étapes, et beaucoup d'extensions de sécurité l'intègrent également. L'une des plus simples est Two Factor, développée par des contributeurs de WordPress. Nous l'utilisons comme exemple ci-dessous ; les autres extensions fonctionnent de manière similaire. Lors de votre choix, vérifiez :

• la prise en charge d'une application d'authentification (codes selon la norme TOTP) ;
• la présence de codes de secours en cas de perte de votre téléphone ;
• la possibilité de rendre la vérification en deux étapes obligatoire pour les administrateurs. Two Factor ne le permet pas : chaque utilisateur l'active dans son propre profil ;
• que l'extension est toujours mise à jour et testée avec votre version de WordPress.

N'en utilisez qu'une seule. Si vous disposez déjà d'une extension de sécurité proposant la vérification en deux étapes, activez-la plutôt dans celle-ci.

Configuration avec Two Factor

1. Installez et activez l'extension via Extensions > Ajouter une extension.
2. Rendez-vous dans Utilisateurs > Profil et faites défiler jusqu'au bloc consacré à la vérification en deux étapes.
3. Choisissez l'application d'authentification. Scannez le QR code avec l'application sur votre téléphone, puis saisissez le code pour vérification.
4. Générez des codes de secours. Il s'agit de dix codes utilisables chacun une seule fois. Conservez-les dans votre gestionnaire de mots de passe ou sur papier, et pas uniquement sur votre téléphone.
5. Définissez l'application comme méthode par défaut et cliquez sur Mettre à jour le profil.
6. Déconnectez-vous puis reconnectez-vous pour vérifier que tout fonctionne.

Demandez à chaque autre administrateur et éditeur de faire de même dans son propre profil. Un site n'est jamais plus solide que son compte administrateur le plus faible.

Téléphone perdu ou nouveau téléphone

• Nouveau téléphone : transférez l'application avant d'effacer l'ancien téléphone, ou configurez à nouveau l'application dans votre profil.
• Téléphone perdu : connectez-vous avec l'un de vos codes de secours, puis configurez à nouveau l'application. Générez également de nouveaux codes de secours.
• Plus de codes de secours : un autre administrateur peut désactiver la vérification en deux étapes de votre compte dans Utilisateurs. Si vous êtes le seul administrateur, désactivez temporairement l'extension. La marche à suivre est décrite à l'étape 3 de Je ne parviens pas à me connecter à WordPress : que faire ? Connectez-vous, configurez à nouveau l'application et réactivez l'extension.

Passkeys

Avec une passkey, vous vous connectez avec votre empreinte digitale, votre visage ou une clé de sécurité. Une passkey ne fonctionne que sur le véritable site : un faux site ne peut donc pas l'intercepter. Two Factor ne prend pas en charge les passkeys ; il existe pour cela une extension complémentaire distincte, et d'autres extensions les intègrent directement. Pour en savoir plus sur les passkeys, consultez Gestionnaire de mots de passe et passkeys : sécuriser vos connexions.

Autres points d'attention

• Les mots de passe d'application (dans Utilisateurs > Profil) sont destinés aux applications et aux intégrations, et peuvent contourner la deuxième étape. Ne les créez qu'en cas de besoin et révoquez-les lorsque vous n'utilisez plus l'intégration.
• La vérification en deux étapes ne remplace pas un bon mot de passe. Utilisez un mot de passe long et unique, généré par un gestionnaire de mots de passe.
• Protégez aussi la page de connexion elle-même : consultez Sécuriser wp-login.php de WordPress et Renforcer la sécurité de WordPress : permissions, wp-config et .htaccess.

Autour de votre site également

Un intrus qui prend le contrôle de votre panneau d'hébergement ou de votre boîte mail n'a pas besoin de votre mot de passe WordPress. Activez donc également la vérification en deux étapes sur :

• Mon WebOké : Configurer la vérification en deux étapes dans Mon WebOké et une application d'authentification ;
• DirectAdmin : Configurer l'authentification à deux facteurs ;
• votre boîte mail et votre gestionnaire de mots de passe.

Pour aller plus loin

• Se connecter en toute sécurité (Veilig Internetten, gouvernement néerlandais, en néerlandais)
• Attaques par force brute (developer.wordpress.org, en anglais)

Envie d'en apprendre davantage ? Suivez le cours WordPress gratuit, leçon 7.3 Connexion : mots de passe, vérification en deux étapes et force brute.