Si vous ne faites qu’une seule chose cette ann\u00e9e pour s\u00e9curiser votre site WordPress, configurez l’authentification \u00e0 deux facteurs. C’est l’am\u00e9lioration de s\u00e9curit\u00e9 la plus rentable disponible, et elle ne co\u00fbte rien au-del\u00e0 de quelques minutes par utilisateur. L’authentification \u00e0 deux facteurs, aussi appel\u00e9e 2FA ou MFA, signifie qu’un mot de passe seul ne suffit pas pour se connecter. L’utilisateur a aussi besoin d’un code provenant d’un t\u00e9l\u00e9phone, d’une cl\u00e9 mat\u00e9rielle ou d’un autre second appareil que l’attaquant n’a pas.<\/p>
Attaques par force brute, bourrage d’identifiants, mots de passe hame\u00e7onn\u00e9s. Tous reposent sur l’hypoth\u00e8se que le mot de passe suffit. La 2FA brise cette hypoth\u00e8se. M\u00eame si votre mot de passe fuite, l’attaquant ne peut toujours pas se connecter.<\/p>
Les pages de connexion WordPress re\u00e7oivent un trafic de force brute constant. Des bots essaient des combinaisons de noms d’utilisateur et de mots de passe tir\u00e9s de fuites pass\u00e9es, souvent des milliers de tentatives par heure contre tout site qu’ils peuvent atteindre. Si votre mot de passe est apparu dans une fuite quelque part sur internet, il figure sur une liste, et cette liste est en cours d’utilisation.<\/p>
Un mot de passe fort et unique, c’est bien. Un mot de passe fort et unique plus la 2FA, c’est \u00e9norm\u00e9ment mieux. Le second facteur est ce qui arr\u00eate un attaquant qui a d\u00e9j\u00e0 devin\u00e9 ou vol\u00e9 le premier.<\/p>
Il existe trois principaux types de second facteur d’usage courant sous WordPress.<\/p>
Les mots de passe \u00e0 usage unique bas\u00e9s sur le temps, ou TOTP, sont des codes \u00e0 six chiffres qui changent toutes les trente secondes, g\u00e9n\u00e9r\u00e9s par une application comme Google Authenticator, Authy ou 1Password. C’est le plus largement pris en charge, facile \u00e0 configurer, et un bon choix par d\u00e9faut pour la plupart des sites et des utilisateurs.<\/p>
Les cl\u00e9s de s\u00e9curit\u00e9 mat\u00e9rielles, comme la YubiKey, sont des dispositifs physiques USB ou NFC qui signent un d\u00e9fi du site. Plus solides que le TOTP car elles ne peuvent pas \u00eatre hame\u00e7onn\u00e9es, mais elles n\u00e9cessitent l’achat de la cl\u00e9. Elles en valent la peine pour les administrateurs de sites \u00e0 forte valeur.<\/p>
Les codes par SMS, envoy\u00e9s par texto. L’option la plus faible, vuln\u00e9rable aux attaques par \u00e9change de SIM, mais mieux que rien. \u00c0 \u00e9viter si d’autres options sont disponibles.<\/p>
WordPress n’int\u00e8gre pas la 2FA d’origine, mais plusieurs extensions r\u00e9put\u00e9es l’ajoutent. Les choix les mieux \u00e9tablis sont Wordfence Login Security, le module 2FA de Jetpack de WordPress.com et l’extension autonome Two Factor, maintenue par des contributeurs du c\u0153ur.<\/p>
Pour la plupart des sites d’entreprise, Wordfence Login Security est un choix judicieux car il combine la 2FA avec une protection contre la force brute, le blocage par pays et la limitation des tentatives de connexion. L’extension Two Factor est excellente si vous pr\u00e9f\u00e9rez quelque chose de minimal et l\u00e9ger. Quel que soit votre choix, n’en installez qu’une. Empiler plusieurs extensions de s\u00e9curit\u00e9 qui tentent toutes de g\u00e9rer les connexions, c’est chercher les ennuis.<\/p>
Si votre site a plusieurs utilisateurs, n’activez pas la 2FA obligatoire sans pr\u00e9venir tout le monde au pr\u00e9alable. Des gens se retrouvent bloqu\u00e9s. Des tickets sont ouverts. Envoyez un avis clair par e-mail. Expliquez \u00e0 l’\u00e9quipe ce qu’est la 2FA, pourquoi vous l’activez et quelle application d’authentification installer.<\/p>
D\u00e9ployez par \u00e9tapes. Commencez par les administrateurs, qui ont le plus \u00e0 prot\u00e9ger. Ajoutez ensuite les \u00e9diteurs et les auteurs. Les comptes de niveau abonn\u00e9 peuvent g\u00e9n\u00e9ralement \u00eatre laiss\u00e9s pour plus tard. La plupart des extensions permettent d’exiger la 2FA par r\u00f4le plut\u00f4t que pour tout le monde d’un coup.<\/p>
Le flux de configuration est similaire pour la plupart des extensions. Connectez-vous normalement, allez dans votre profil utilisateur, trouvez la section deux facteurs et cliquez sur activer. Le site affiche un code QR. Ouvrez votre application d’authentification, scannez le code QR, et une nouvelle entr\u00e9e appara\u00eet dans l’application. Saisissez le code actuel \u00e0 six chiffres de l’application pour confirmer. Le site active le second facteur.<\/p>
D\u00e8s la connexion suivante, apr\u00e8s avoir saisi le mot de passe, le site demandera le code actuel. Ouvrez l’application, tapez les six chiffres, connectez-vous. L’ensemble du processus ajoute environ dix secondes \u00e0 chaque connexion.<\/p>
Lorsque vous activez la 2FA, l’extension vous proposera un ensemble de codes de secours \u00e0 usage unique. Sauvegardez-les. Imprimez-les et rangez-les en lieu s\u00fbr. Enregistrez-les dans votre gestionnaire de mots de passe. Sans codes de secours, si vous perdez votre t\u00e9l\u00e9phone, vous serez bloqu\u00e9 hors de votre propre site, et la seule voie de r\u00e9cup\u00e9ration est de contacter votre h\u00e9bergeur ou votre d\u00e9veloppeur pour d\u00e9sactiver manuellement la 2FA sur votre compte.<\/p>
Les codes de secours sont aussi utiles dans le cas o\u00f9 vous voyagez sans votre t\u00e9l\u00e9phone, ou o\u00f9 l’application d’authentification a \u00e9t\u00e9 effac\u00e9e lors d’une migration d’appareil.<\/p>
Certaines extensions, applications mobiles ou int\u00e9grations externes se connectent \u00e0 WordPress via l’API REST et ne peuvent pas accomplir un flux de 2FA. Pour celles-ci, WordPress prend en charge les mots de passe d’application. L’utilisateur g\u00e9n\u00e8re une longue cha\u00eene unique depuis son profil, limit\u00e9e \u00e0 une seule application. L’application utilise cette cha\u00eene \u00e0 la place d’un mot de passe, tandis que le compte humain conserve la 2FA activ\u00e9e pour les connexions par navigateur.<\/p>
Les mots de passe d’application sont plus s\u00fbrs que de d\u00e9sactiver la 2FA sur les comptes qui ont besoin d’int\u00e9grations. Chacun est r\u00e9vocable individuellement, et ils ne donnent pas \u00e0 l’int\u00e9gration l’acc\u00e8s au tableau de bord.<\/p>
La 2FA n’est pas une fonctionnalit\u00e9 \u00ab installez et oubliez \u00bb. Passez r\u00e9guli\u00e8rement en revue qui l’a activ\u00e9e et sur quel appareil. Lorsqu’un employ\u00e9 ou un prestataire part, supprimez enti\u00e8rement son compte. Lorsqu’un t\u00e9l\u00e9phone est remplac\u00e9, r\u00e9initialisez sa 2FA pour que l’ancien appareil ne puisse plus produire de codes valides. Auditez les mots de passe d’application chaque ann\u00e9e et r\u00e9voquez tous ceux qui ne sont plus utilis\u00e9s.<\/p>
La 2FA de WordPress est excellente, mais ce n’est pas le tableau complet. La m\u00eame logique s’applique \u00e0 votre gestionnaire de mots de passe, votre compte e-mail et votre bureau d’enregistrement de domaine. Si l’un de ceux-ci n’est prot\u00e9g\u00e9 que par un mot de passe, c’est votre maillon faible. De nombreuses compromissions WordPress commencent par un e-mail d’hame\u00e7onnage qui am\u00e8ne le propri\u00e9taire \u00e0 se connecter sur une fausse page d’administration, ou par un d\u00e9tournement de domaine qui a point\u00e9 le DNS vers un serveur contr\u00f4l\u00e9 par l’attaquant.<\/p>
Activez la 2FA partout o\u00f9 elle est propos\u00e9e. L’effet combin\u00e9 est sup\u00e9rieur \u00e0 toute am\u00e9lioration d’un seul compte.<\/p>