Les tentatives de connexion à votre site : la solution qui les arrête

« De toute façon, mon site n'intéresse personne »

C'est la phrase qu'on se dit tous, et elle part d'une idée juste : vous n'avez pas de secret d'État sur votre site vitrine.

Sauf que les tentatives de connexion automatiques ne choisissent pas leurs cibles. Personne ne s'est intéressé à vous en particulier. Ce sont des programmes qui parcourent le web en continu et essaient de se connecter à tout ce qui ressemble à un site WordPress — le vôtre, celui du fleuriste d'à côté, celui d'une mairie.

Ce n'est pas personnel. C'est justement pour ça que ça vous concerne.

Et l'objectif n'est presque jamais de lire votre contenu : c'est d'utiliser votre site pour autre chose — envoyer des courriers indésirables, ajouter des liens invisibles vers d'autres sites, servir de relais. Vous ne vous en apercevriez pas tout de suite.

La cause : la porte est toujours au même endroit

Sur des millions de sites, l'adresse de connexion de WordPress est identique. Un programme sait donc exactement où frapper, sans chercher.

Ensuite, il essaie. Des mots de passe courants, des combinaisons, des listes entières récupérées lors de fuites d'autres services. Il ne se fatigue pas, ne s'ennuie pas, et recommence la nuit.

On appelle ça une attaque par force brute : aucune finesse, aucune intelligence — juste de l'insistance à très grande vitesse. Le nom fait peur ; le principe est bête comme un tourniquet de portes qu'on essaie une par une.

D'où découle une conséquence rassurante : on ne se défend pas contre l'intelligence de l'attaquant, on se défend contre son insistance. Et l'insistance, ça se bloque.

La solution : trois gestes, du plus simple au plus efficace

1. Un mot de passe long plutôt qu'un mot de passe compliqué

On nous a appris à faire des mots de passe tordus, avec des symboles et des chiffres à la place des lettres. C'est pénible à retenir, et ce n'est pas ce qui protège le mieux.

Ce qui compte le plus, c'est la longueur. Une phrase entière — quatre ou cinq mots qui n'ont rien à faire ensemble, que vous seul associez — résiste mieux et se retient sans effort. Un mot de passe qu'on retient est un mot de passe qu'on ne réutilise pas partout, et c'est déjà énorme.

Point crucial : n'utilisez jamais sur votre site un mot de passe qui vous sert ailleurs. Si un autre service se fait voler sa liste, votre site devient accessible sans qu'aucune attaque n'ait été nécessaire.

2. Limiter le nombre d'essais

C'est le geste qui neutralise l'insistance. Le principe : après cinq tentatives ratées, on refuse les suivantes pendant un moment.

Un programme qui doit essayer des milliers de mots de passe mais n'a droit qu'à cinq essais par heure ne peut plus rien faire. On ne l'a pas rendu plus bête — on lui a retiré son seul avantage, la répétition.

3. La double authentification — celui qui change tout

C'est le plus efficace des trois, et le plus mal connu.

Le principe : pour entrer, il faut votre mot de passe et un code à six chiffres, qui change toutes les trente secondes, affiché dans une application sur votre téléphone.

La conséquence est simple à énoncer : même quelqu'un qui connaît votre mot de passe n'entre pas. Il lui faudrait aussi votre téléphone, physiquement, à cet instant précis.

Mettre ça en place prend cinq minutes : une application d'authentification gratuite sur votre téléphone, un code à scanner une seule fois, et c'est fait. Les applications les plus répandues sont gratuites et fonctionnent toutes de la même manière.

Un conseil pratique que personne ne donne à temps : au moment de l'activation, la plupart des services affichent des codes de secours à conserver ailleurs qu'au même endroit. Notez-les. Ils vous serviront le jour où vous changerez de téléphone.

Si vous voulez que ce soit en place sans y passer la journée

AIFORYA Login Security est une extension gratuite qui réunit ces protections : anti-force brute, listes d'adresses autorisées ou bloquées, authentification à deux facteurs (TOTP), connexion sans mot de passe par lien envoyé par e-mail, et un tableau de bord de sécurité.

Elle fonctionne à 100 % sur votre propre serveur, sans clé API ni service extérieur. Compatible WordPress 6.0 et plus, PHP 8.0 et plus.