Les propriétaires de sites Web doivent donner la priorité à la sécurité de WordPress pour protéger leurs données sensibles et maintenir la confiance de leurs utilisateurs/utilisatrices. Une façon très efficace de le faire chez WPBeginner est de protéger par mot de passe notre répertoire d’administration WordPress.
Le répertoire wp-admin est le centre de contrôle de votre site WordPress. C’est là que vous gérez tout, du contenu aux Réglages, ce qui en fait une cible de choix pour les pirates. La protection par mot de passe de vos fichiers d’administration les mettra à l’abri des attaques.
Cet article propose un guide simple pour protéger facilement votre répertoire wp-admin par un mot de passe et renforcer la sécurité de votre site.
Pourquoi protéger par mot de passe votre répertoire d’administration WordPress ?
En protégeant votre répertoire d’administration WordPress par un mot de passe, vous ajoutez une calque de sécurité supplémentaire au point d’entrée le plus important de votre site WordPress.
Le tableau de bord WordPress est l’élément central de votre site. C’est là que vous publiez des publications et des pages, que vous personnalisez votre thème, que vous installez des extensions WordPress, etc.
Souvent, lorsque des pirates tentent de s’introduire sur votre site, ils le font via l’écran wp-admin en utilisant une attaque par force brute.
Vous pouvez protéger votre site web contre les attaques potentielles en utilisant des mesures de sécurité telles qu’un mot de passe fort et en limitant les tentatives de connexion.
Pour plus de sécurité, vous pouvez également protéger le répertoire wp-admin par un mot de passe. Ainsi, lorsque quelqu’un tentera d’accéder à votre zone d’administration, il devra saisir un identifiant et un mot de passe avant de pouvoir accéder à la page de connexion de WordPress.
Ceci étant dit, voyons comment vous pouvez protéger votre répertoire d’administration WordPress par un mot de passe, étape par étape.
La première méthode est recommandée pour la plupart des utilisateurs/utilisatrices, et vous pouvez utiliser les liens rapides ci-dessous pour passer directement à la méthode que vous souhaitez utiliser :
Tutoriel vidéo
Si vous préférez des instructions écrites, continuez à lire.
Méthode 1 : Protéger le mot de passe de wp-admin à l’aide de Directory Confidentialité (Recommandé)
La façon la plus simple de protéger par mot de passe votre répertoire d’administration WordPress est d’utiliser l’application Directory Confidentialité de votre fournisseur d’hébergement WordPress.
Tout d’abord, vous devez vous connecter au tableau de bord de votre compte hébergeur et cliquer sur l’option « Confidentialité du répertoire » dans la section Fichiers du tableau de bord cPanel de votre site.
Note : La plupart des hébergeurs utilisant cPanel, comme Bluehost, ont des étapes similaires. Cependant, votre tableau de bord pourrait être légèrement différent de nos captures d’écran, en fonction de votre fournisseur d’hébergement.
Vous accédez alors à un écran qui répertorie tous les différents répertoires de votre serveur. Vous devez trouver le dossier qui contient les fichiers de votre site.
Pour la plupart des propriétaires de sites, vous le trouverez en cliquant sur le dossier « public_html ».
Cela permet d’afficher tous les fichiers du site que vous avez installés sur votre serveur.
Ensuite, vous devez cliquer sur le dossier contenant le nom de domaine de votre site.
Dans ce dossier, vous verrez un dossier wp-admin.
Au lieu de cliquer sur le nom du dossier, vous devez cliquer sur le bouton « Modifier » situé à côté du dossier.
Vous accédez alors à un écran dans lequel vous pouvez activer la protection par mot de passe.
Il vous suffit de cocher la case « Protéger ce répertoire par un mot de passe ». Si vous le souhaitez, vous pouvez également donner un nom à votre répertoire, comme « Admin Area », pour vous aider à vous en souvenir.
Une fois que vous avez fait cela, vous devez cliquer sur le bouton « Enregistrer ».
Vous accéderez à une page où le message de confirmation s’affichera.
Vous devez maintenant cliquer sur le bouton « Retour », et vous serez amené à un écran où vous pourrez créer un compte utilisateur qui sera en mesure d’accéder à ce répertoire.
Il vous sera demandé de saisir un identifiant et un mot de passe, puis de confirmer le mot de passe. Confirmez bien que vous avez noté votre identifiant et votre mot de passe dans un endroit sûr, par exemple dans une appli de gestion de mots de passe.
Confirmez-vous que vous avez bien cliqué sur le bouton « Enregistrer ».
Désormais, lorsque quelqu’un tentera d’accéder à votre répertoire wp-admin, il sera invité à saisir l’identifiant et le mot de passe que vous avez saisis/saisie ci-dessus.
Méthode 2 : Protéger le mot de passe de wp-admin à l’aide d’un code
Vous pouvez également protéger manuellement votre répertoire d’administration WordPress par un mot de passe. Pour ce faire, vous devez créer deux fichiers appelés .htpasswd et .htaccess.
Note : L’ajout de code à votre site WordPress peut être dangereux. Même une petite erreur peut provoquer des erreurs majeures sur votre site. Nous recommandons cette méthode uniquement aux utilisateurs/utilisatrices avancés.
Création du fichier .htaccess
Tout d’abord, ouvrez votre éditeur/éditrices de texte préféré et nommez le nouveau fichier .htaccess.
Ensuite, vous devez copier l’extrait de code suivant et l’ajouter au fichier :
AuthName "Admins Only"
AuthUserFile /home/user/public_html/example.com/wp-admin/.htpasswd
AuthGroupFile /dev/null
AuthType basic
require user yourusername
Veillez à modifier le chemin ‘AuthUserFile’ à l’Emplacement où vous téléverserez le fichier .htpasswd et à modifier ‘yourusername’ au nom d’utilisateur que vous souhaitez utiliser pour vous connecter.
N’oubliez pas d’enregistrer le fichier lorsque vous avez terminé.
Création du fichier .htpasswd
Une fois que vous avez fait cela, vous devez créer un fichier .htpasswd.
Pour ce faire, ouvrez un éditeur/éditrices de texte et créez un fichier appelé .htpasswd. Ce fichier contient votre identifiant et votre mot de passe dans un format chiffré.
La manière la plus simple de générer le mot de passe chiffré est d’utiliser un générateur htpasswd.
Il vous suffit de saisir votre identifiant et votre mot de passe, de sélectionner le format de chiffrement et de cliquer sur le bouton « Créer un fichier .htpasswd ».
Le générateur htpasswd affiche une ligne de texte que vous devez coller dans votre fichier .htpasswd. Confirmez votre choix en enregistrant le fichier une fois que vous l’avez fait.
Téléverser les fichiers .htaccess et .htpasswd dans le répertoire wp-admin
La dernière étape consiste à téléverser les deux fichiers que vous avez créés dans le dossier wp-admin de votre site.
Vous devrez vous connecter à votre compte d’hébergement WordPress à l’aide d’un client FTP ou de l’outil de gestion de fichiers en ligne fourni par votre fournisseur d’hébergement. Pour plus de détails, consultez notre guide pour débutants sur l’utilisation du FTP pour téléverser des fichiers sur WordPress.
Pour ce tutoriel, nous utiliserons FileZilla parce qu’il est gratuit et fonctionne sur Mac et Windows.
Une fois que vous vous êtes connecté à votre site, vous verrez les fichiers sur votre ordinateur dans la fenêtre de gauche et les fichiers sur votre site dans la fenêtre de droite. Sur la gauche, vous devez naviguer jusqu’à l’Emplacement où vous avez enregistré les fichiers .htaccess et .htpasswd.
Ensuite, sur la droite, vous devez vous rendre dans le répertoire wp-admin du site que vous souhaitez protéger. La plupart des utilisateurs/utilisatrices devront double-cliquer sur le dossier public_html, puis sur le dossier contenant leur nom de domaine, puis sur le dossier wp-admin.
Vous pouvez maintenant sélectionner les deux fichiers de gauche et cliquer sur « Téléverser » dans le menu du clic droit ou simplement faire glisser les fichiers dans la fenêtre de gauche.
Désormais, votre répertoire ‘wp-admin’ sera protégé par un mot de passe.
Dépannage de la protection par mot de passe de wp-admin
Selon la façon dont votre serveur et votre site sont configurés, il est possible que vous rencontriez des erreurs WordPress. Ces erreurs peuvent être corrigées en ajoutant soigneusement du code à votre fichier .htaccess.
Note : Il s’agit du fichier .htaccess situé dans le dossier principal de votre site, et non de celui que vous avez téléversé dans le dossier ‘wp-admin’. Si vous avez du mal à le trouver, consultez notre guide sur les raisons pour lesquelles vous ne trouvez pas le fichier .htaccess et sur la manière de le localiser.
Corrigé l’erreur Ajax qui ne fonctionne pas
L’une des erreurs les plus courantes est que la fonctionnalité Ajax peut cesser de fonctionner sur l’interface publique de votre site. Si vous avez des extensions WordPress qui nécessitent Ajax, comme la recherche Ajax directe ou les formulaires de contact Ajax, vous remarquerez que ces extensions ne fonctionnent plus.
Pour corriger ce problème, ajoutez simplement le code suivant au fichier .htaccess qui se trouve dans votre dossier wp-admin:
<Files admin-ajax.php>
Order allow,deny
Allow from all
Satisfy any
</Files>
Corrigé l’erreur 404 et le trop grand nombre de redirections
Deux autres erreurs que vous pourriez rencontrer sont l’erreur 404 et l’erreur « trop de redirections ».
La manière la plus simple de les corriger est d’ouvrir votre fichier .htaccess principal, situé dans le répertoire de votre site, et d’ajouter la ligne de code suivante avant les règles de WordPress :
ErrorDocument 401 default
Bonus : Les meilleurs guides WordPress pour la sécurité de wp-admin
Nous espérons que cet article vous a aidé à apprendre comment protéger par mot de passe votre répertoire d’administration WordPress (wp-admin). Vous pouvez consulter d’autres guides sur la sécurisation de votre zone d’administration :
- Comment restreindre l’accès à l’administration de WordPress par adresse IP
- Astuces vitales pour protéger la zone d’administration de WordPress (mise à jour)
- Comment ajouter une URL de connexion personnalisée dans WordPress (étape par étape)
- Comment et pourquoi limiter les tentatives de connexion sur WordPress ?
- Comment ajouter l’authentification à deux facteurs dans WordPress (méthode gratuite)
- Comment ajouter des questions de sécurité à l’écran de connexion de WordPress
- Comment forcer les utilisateurs/utilisatrices à modifier leur mot de passe sur WordPress – Expire Password
- Comment réinitialiser les mots de passe de tous les utilisateurs/utilisatrices dans WordPress
Si vous avez aimé cet article, veuillez alors vous abonner à notre chaîne YouTube pour obtenir des tutoriels vidéo sur WordPress. Vous pouvez également nous trouver sur Twitter et Facebook.
Mrteesurez
Thanks. I found it helpful.
I want to ask if the methods are all offering the same level of security, I would prefer and recommend to stick to the first method as it seems easy and straight forward.
Or is there any one that is better than the other ??
WPBeginner Support
These are different methods to achieve the same result so it would depend on your preference for which one you would use.
Administrateur
Mark
Is there anyway for hackers to gain access to this password and even change it, like in phpMyAdmin ?
WPBeginner Support
They would need access to your hosting provider or site files for this guide.
Administrateur
Salman
I have changed my login URL using the « WPS Hide Login » plugin. Lets say the previous URL ended in wp-admin/ and the new URL ends in hidden/ now how can I password protect this new URL?
WPBeginner Support
It would depend on what method you are using and how you changed the URL, as long as there is a file/folder in the new location you should be able to select that folder or change the path on line 2 of the htaccess method
Administrateur
Jiří Vaněk
WPShide doesn’t create a new folder, I use that too. The wp-admin folder is still on the server and functional. So if you use WPSHide, secure the wp-admin folder exactly the same.
Jiří Vaněk
A good practice is also to rename the WordPress administration URL and choose a different administrator username than ‘admin.’ Changing the URL makes it harder for attackers to locate the administration, and not using ‘admin’ as the administrator reduces the risk of a successful brute force attack.
WPBeginner Support
Having a username other than admin is definitely recommended but for changing the wp-admin url is not always recommended as that can cause trouble with some plugins as well as make troubleshooting more difficult.
Administrateur
Jose
Ajax fix worked fine. Thanks a lot for this.
WPBeginner Support
Glad our article could help
Administrateur
Umer Yaseen
What if someone accesses our WordPress admin directory by entering mywebsite.com/wp-login.php instead of mywebsite.com/wp-admin. This method only protects wp-admin and not protects wp-login.php. So how it is useful?
WPBeginner Support
This would show the same prompt for users trying to log in using the wp-login.php
Administrateur
nadia
you are the best. thanks for thousand time like allways.
WPBeginner Support
Glad you’ve found our content helpful
Administrateur
Lordemmaculate
I want to do this but my server is Nginx not Apache so I can’t use .htaccess
WPBeginner Support
We’ll see if we can add a method for that type of server when we update this article
Administrateur
Rajah
The first method through cPanel worked like a charm. However, when I logout again from WP and login again it doesn’t ask again for the directory password. Is it meant to ask only once?
WPBeginner Support
Your cookies/cache will remember the login information. Normally the next time you start up your computer it will require you to log in again.
Administrateur
Webo
Very good, Thank you…
WPBeginner Support
You’re welcome
Administrateur
Izzy
The « Password Protect Directories » is not on my cPanel under « securitiy », so I tried the manual way, but it doesn’t seem to work as it doesn’t ask for login when I open wp-admin…
WPBeginner Support
If you reach out to your hosting provider they should be able to assist and take a look if there’s any reason it wouldn’t be working.
Administrateur
Ahsan Ali
Thanks for your efforts!
I used cpanel method it works fine but the problem is that the password prompt appearing on every page of my website!
What i have to do so that it appear only at wp-admin page?
WPBeginner Support
It sounds like you may have password protected your public_html folder instead of the wp-admin folder. You would want to remove the current protection and attempt to set it up again
Administrateur