Placer l’acc\u00e8s administrateur de WordPress ailleurs que sur \/wp-admin est le changement de s\u00e9curit\u00e9 le plus rentable que la plupart des sites puissent effectuer. L’URL par d\u00e9faut est la premi\u00e8re ligne du manuel de tout attaquant. La modifier n’am\u00e9liore pas la s\u00e9curit\u00e9 \u00e0 elle seule, mais elle retire enti\u00e8rement le site du pool d’attaques automatis\u00e9es. Ce guide explique pourquoi et comment.<\/p>
Les r\u00e9seaux de bots parcourent le web en interrogeant \/wp-login.php sur chaque domaine. Les sites qui r\u00e9pondent entrent dans la file d’attente des attaques. Ceux qui renvoient une erreur 404 n’y entrent pas. Le choix est binaire.<\/p>
Soit vous signalez que vous \u00eates un site WordPress, soit vous ne le faites pas. Changer l’URL, c’est basculer cet interrupteur.<\/p>
Un plugin de s\u00e9curit\u00e9 d’acc\u00e8s s’en charge. Defyn Security Manager remplace \/wp-admin et \/wp-login.php par une URL personnalis\u00e9e de votre choix. Les anciennes URL renvoient une erreur 404, une redirection ou une page de connexion leurre qui fait perdre du temps aux bots.<\/p>
Le plugin Defyn Security Manager enregistre aussi chaque tentative sur l’ancienne URL, pour que vous puissiez voir votre d\u00e9fense \u00e0 l’\u0153uvre.<\/p>
Le plugin propose une d\u00e9sactivation d’urgence via une constante dans wp-config.php. Vous modifiez wp-config.php pour ajouter la constante, le plugin se d\u00e9sactive et les URL d’origine reviennent. Vous vous connectez normalement et reconfigurez.<\/p>
Pour les sites sans acc\u00e8s au serveur, renommer un dossier en SFTP produit le m\u00eame r\u00e9sultat. Documentez la proc\u00e9dure dans le wiki de votre \u00e9quipe.<\/p>
Masquer l’URL arr\u00eate le bruit automatis\u00e9. Le verrouillage anti-force brute, la 2FA et les journaux d’audit interceptent ce qui passe malgr\u00e9 tout. Chaque couche renforce les autres.<\/p>
Masquer l’URL est n\u00e9cessaire, mais pas suffisant \u00e0 soi seul.<\/p>
Toute activit\u00e9 sur l’ancienne URL est, par d\u00e9finition, ind\u00e9sirable. Le journal d’audit affiche les adresses IP qui continuent de l’interroger. Beaucoup de ces IP m\u00e9ritent un blocage permanent au niveau du pare-feu.<\/p>
Ces donn\u00e9es constituent un renseignement exploitable.<\/p>
Non. C’est une premi\u00e8re couche majeure. Associez-la \u00e0 la 2FA et au verrouillage anti-force brute pour une s\u00e9curit\u00e9 r\u00e9elle.<\/p>
Non. Ajoutez la nouvelle URL \u00e0 vos favoris. Enregistrez-la dans votre gestionnaire de mots de passe. Utilisez-la comme n’importe quelle autre URL.<\/p>
La d\u00e9sactivation d’urgence via wp-config.php restaure temporairement l’URL par d\u00e9faut.<\/p>
Oui. Les cha\u00eenes d’apparence al\u00e9atoire valent mieux que \/secret-login. Traitez l’URL comme un secret.<\/p>