Des mots de passe WordPress robustes ne suffisent pas

Qu’un mot de passe robuste ne suffise pas, c’est la leçon que les équipes de sécurité ont apprise à la dure. Un mot de passe robuste est un socle, pas une défense complète. Les fuites d’identifiants, l’hameçonnage et les attaques par persistance battent tous les mots de passe. Ce guide explique pourquoi et ce qu’il faut ajouter.

Pourquoi les mots de passe robustes fuient quand même

Les fuites se produisent chez les fournisseurs auprès desquels vos utilisateurs réutilisent leurs mots de passe, pas nécessairement sur votre site. Un mot de passe Adobe divulgué lors d’une brèche vieille de dix ans peut compromettre votre site WordPress aujourd’hui si l’utilisateur l’a réutilisé.

La robustesse du mot de passe n’a aucune importance s’il a fuité ailleurs.

L’hameçonnage vainc les mots de passe robustes

Un utilisateur qui saisit son mot de passe robuste sur une fausse page de connexion le remet à l’attaquant. La robustesse n’a aucune incidence. C’était la mauvaise page.

Les campagnes d’hameçonnage visent spécifiquement les administrateurs. L’administration de WordPress est une cible de valeur bien connue.

L’authentification à deux facteurs comme réponse

Un second facteur résout à la fois le problème de la fuite et celui de l’hameçonnage. L’attaquant a le mot de passe, mais pas l’appareil. La connexion échoue. Defyn Security Manager fournit une 2FA basée sur TOTP, compatible avec Google Authenticator, Authy, 1Password, Microsoft Authenticator et Bitwarden.

L’extension Defyn Security Manager prend aussi en charge l’application par rôle et les codes de secours, de sorte que le déploiement est réaliste pour de vraies équipes.

La rotation des mots de passe est la mauvaise solution

Imposer une rotation des mots de passe tous les quatre-vingt-dix jours n’améliore pas la sécurité. Les utilisateurs choisissent des variantes plus faibles de leur mot de passe existant. La friction n’apporte aucune sécurité.

Ne procédez à une rotation qu’en cas de suspicion de compromission. Sinon, laissez les mots de passe robustes tranquilles.

Les gestionnaires de mots de passe sont le bon socle

Chaque administrateur devrait utiliser un gestionnaire de mots de passe. Des mots de passe uniques et aléatoires par site éliminent le problème de la réutilisation. 1Password, Bitwarden et KeePass sont tous des choix sensés.

Documentez la politique. Formez les nouveaux collaborateurs. Auditez chaque année.

Aucune couche à elle seule ne suffit ; la sécurité vient de leur empilement : un gestionnaire de mots de passe comme socle, la 2FA comme filet de sécurité et la rotation uniquement en cas de suspicion de compromission. Defyn peut mettre en place et renforcer ces couches sur votre site WordPress.

Foire aux questions

Les mots de passe WordPress restent-ils insuffisants même avec un gestionnaire de mots de passe ?

Mieux, mais toujours pas suffisant. L’hameçonnage vainc aussi les gestionnaires de mots de passe. La 2FA est le dernier rempart.

Dois-je exiger la 2FA pour chaque utilisateur ?

Pour les administrateurs et les éditeurs, oui. Pour les abonnés, c’est généralement facultatif.

Que se passe-t-il si un utilisateur perd son appareil de 2FA ?

Les codes de secours rétablissent l’accès. L’extension les génère lors de la configuration.

La 2FA ralentit-elle le flux de travail ?

Quelques secondes par connexion. Cela en vaut la peine pour le gain de sécurité.