Connexion à deux facteurs pour WordPress : codes d'application, clés d'accès et comment éviter de vous enfermer dehors

Par défaut, WordPress demande un nom d'utilisateur et un mot de passe, rien d'autre. La connexion à deux facteurs ajoute une deuxième étape : après le mot de passe, vous saisissez un code issu d'une application sur votre téléphone ou vous confirmez la connexion avec une clé d'accès. Un mot de passe seul n'ouvre alors plus le tableau de bord. Vous pouvez la mettre en place gratuitement avec une extension du répertoire WordPress.org, et cela prend quelques minutes par compte.

Ce guide présente les types de deuxième étape, comment les juger, comment les déployer sur un site qui a plusieurs utilisateurs, et ce qu'il faut avoir prêt avant que quelqu'un perde un téléphone.

Pourquoi s'en préoccuper si le mot de passe est solide

Un mot de passe solide empêche de le deviner. Il ne sert à rien dans trois cas courants :

• le même mot de passe a été utilisé sur un autre service, et ce service l'a laissé fuiter,
• quelqu'un l'a saisi sur une fausse page de connexion atteinte par un lien dans un e-mail,
• il a été enregistré dans le navigateur d'un ordinateur que d'autres personnes utilisent.

Dans chaque cas, quelqu'un d'autre connaît le mot de passe. Avec une deuxième étape, le connaître ne suffit pas pour entrer dans le tableau de bord.

Trois types de deuxième étape

Un code issu d'une application d'authentification (TOTP). Lors de la mise en place, vous scannez un code QR avec une application sur votre téléphone. Ensuite, l'application affiche un code à six chiffres qui change toutes les 30 secondes. Le téléphone n'a pas besoin de connexion pour cela : le code est calculé à partir d'un secret enregistré et de l'heure actuelle. Toutes les applications d'authentification courantes le prennent en charge.

Le point faible : un code peut être saisi sur une fausse page de connexion comme un mot de passe, et un attaquant rapide peut l'utiliser avant qu'il expire.

Un code envoyé par e-mail. Pratique, car aucune application à installer. Mais il vaut ce que vaut la boîte de messagerie. Si elle a le même mot de passe que WordPress, la deuxième étape n'apporte pas grand-chose.

Une clé d'accès (norme WebAuthn). Au lieu de saisir un code, vous confirmez avec une empreinte digitale, votre visage, le code PIN du téléphone ou une clé de sécurité USB. Le navigateur lie chaque clé d'accès au domaine sur lequel elle a été créée. Sur une page imitant la vôtre, sous un autre domaine, le navigateur ne propose tout simplement pas la clé d'accès, il n'y a donc rien à voler. Les clés d'accès exigent que le site fonctionne en HTTPS.

Peut-on le faire sans extension payante

Oui. Le manuel Advanced Administration de WordPress.org (dans sa mise à jour du 14 octobre 2026) renvoie à des extensions du répertoire pour la connexion en deux étapes, puisque WordPress ne l'inclut pas. Plusieurs extensions gratuites le font. Un exemple : le 19 octobre 2026, la page WordPress.org de l'extension Two Factor (par WordPress.org, version 0.17.0) énumérait les codes d'application d'authentification, les codes par e-mail et les codes de secours, et décrivait la prise en charge des clés d'accès WebAuthn comme un module complémentaire distinct.

Avant d'en installer une, cherchez quatre choses dans sa description :

1. Quelles méthodes de deuxième étape elle prend en charge, et si une application d'authentification en fait partie.
2. Si elle fournit des codes de secours en cas de téléphone perdu.
3. Si quelqu'un ayant accès au serveur peut désactiver la deuxième étape pour un compte bloqué.
4. Si elle peut imposer la deuxième étape à certains rôles choisis.

Déployer sans enfermer personne dehors

1. Commencez par votre propre compte. Une bonne extension ne demande les codes qu'après que vous avez saisi un code valide pendant la mise en place. Cela confirme que l'application produit les bons codes avant que quoi que ce soit en dépende.
2. Gardez les codes de secours hors du téléphone. Un gestionnaire de mots de passe est un bon endroit. Des codes stockés sur le même téléphone que l'application sont perdus avec lui.
3. Décidez qui secourt un compte bloqué. Repérez qui a accès au serveur (vous, votre développeur, votre hébergeur) et comment il désactive la deuxième étape pour un compte. Écrivez-le avant d'en avoir besoin.
4. Imposez-la aux rôles qui ont du pouvoir. Les administrateurs, les éditeurs et les gestionnaires de boutique peuvent modifier le site ou voir les données des clients. Laissez-leur quelques jours pour la configurer, et prévenez-les d'abord par e-mail.
5. Faites passer les applications aux mots de passe d'application. L'application mobile WordPress, ou un outil qui publie par l'API REST, ne peut pas afficher d'écran de saisie de code. WordPress propose pour cela les mots de passe d'application : dans le profil de l'utilisateur, vous créez un mot de passe distinct pour un seul outil, et vous pouvez le révoquer à tout moment.
6. Mettez fin aux anciennes sessions. WordPress vous garde connecté pendant deux jours, ou 14 jours si « Se souvenir de moi » est coché. Après avoir activé la deuxième étape, déconnectez le compte de ses autres appareils pour que les anciennes sessions ne contournent pas la nouvelle règle.

Points de vigilance

• L'horloge du téléphone. Les codes d'application dépendent de l'heure. Si les codes cessent soudain de fonctionner, vérifiez que le téléphone règle son heure automatiquement.
• Un nouveau domaine. Une clé d'accès fonctionne pour le domaine sur lequel elle a été créée. Après un transfert du site vers une nouvelle adresse, il faudra en ajouter une nouvelle, gardez donc l'application ou les codes de secours comme deuxième moyen d'entrer.
• Un départ. Supprimez le compte ou retirez le rôle. Éteindre son téléphone ne ferme pas son compte.
• Elle protège la connexion et rien d'autre. Une faille dans une extension obsolète n'a pas besoin de connexion. Les mises à jour comptent toujours, comme l'explique l'article sur les extensions WordPress obsolètes.

Comment Ensomedia Security procède

Ensomedia Security est une extension gratuite du répertoire WordPress.org que j'ai conçue pour ShieldWave. Tout y fonctionne de la même façon sans compte ShieldWave. Les faits, d'après sa fiche et son code :

• la deuxième étape est un code d'application d'authentification (TOTP), et vous recevez dix codes de secours lors de la mise en place,
• la commande WP-CLI wp shieldwave two-factor disable <user> la désactive pour un compte, de sorte que personne n'est enfermé dehors pour toujours,
• les applications se connectent avec un mot de passe d'application,
• vous pouvez imposer la connexion à deux facteurs aux rôles de votre choix, avec de 0 à 30 jours (7 par défaut) pour la configurer,
• les clés d'accès (WebAuthn) fonctionnent comme deuxième étape après le mot de passe, et le mot de passe reste nécessaire. Elles demandent HTTPS et l'extension OpenSSL de PHP,
• comme le navigateur lie une clé d'accès au domaine du site, une page de connexion imitée n'obtient au mieux que le mot de passe, jamais la deuxième étape,
• l'ajout ou la suppression d'une clé d'accès demande d'abord le mot de passe ou un code valide, et le propriétaire du compte reçoit un e-mail quand une clé d'accès est ajoutée,
• la section des sessions montre où le compte est connecté, vous déconnecte partout ailleurs ou déconnecte tous les utilisateurs, et règle la durée de la session d'un administrateur,
• la protection de la connexion limite les connexions échouées par adresse (5 par défaut, puis un délai d'attente) et par nom d'utilisateur toutes adresses confondues (20 par heure par défaut). Les blocages sont temporaires, et les adresses de confiance ne sont jamais bloquées.

Ce n'est pas un pare-feu applicatif complet, et il ne nettoie pas les fichiers infectés. La page de l'extension liste ce qu'envoie chaque service optionnel, et le guide écran par écran passe en revue les réglages.

Une courte liste pour aujourd'hui

1. Activez la deuxième étape sur votre propre compte administrateur et mettez les codes de secours dans un gestionnaire de mots de passe.
2. Découvrez comment la désactiver pour un compte quand quelqu'un perd un téléphone.
3. Imposez-la à tous les rôles qui peuvent modifier le site, avec quelques jours pour la configurer.
4. Donnez aux outils et aux applications leurs propres mots de passe d'application.
5. Déconnectez votre compte des appareils que vous n'utilisez plus.

Vérifiez votre site depuis l'extérieur. Saisissez votre adresse sur shieldwave.io. Cela prend environ 90 secondes, sans mot de passe et sans extension.