Un site WordPress, même bien conçu, reste une cible logique. La surface d’entrée la plus évidente, c’est la page de connexion. Et c’est précisément là que les attaques par force brute prennent le relais: quelqu’un tente des identifiants au hasard ou à partir de listes divulguées, en automatisant les essais et en changeant de machine ou d’adresse quand c’est possible.
Le résultat, ce n’est pas seulement “un accès en plus”. Une attaque réussie peut mener à une modification de contenu, à une implantation de code malveillant, à une prise de contrôle d’extensions, ou simplement à une course coûteuse pour nettoyer, restaurer, et sécuriser. Même sans compromission, les tentatives répétées peuvent augmenter la charge serveur, remplir des logs, et dégrader l’expérience utilisateur.
La bonne nouvelle, c’est qu’on peut réduire drastiquement le risque avec une stratégie réaliste, par couches: limiter les tentatives, durcir l’authentification, réduire l’exposition, et surveiller. Je l’ai fait à plusieurs reprises, sur des sites de clients allant de petits blogs partagés à des installations plus solides. Les détails changent, mais les principes reviennent toujours.
Comprendre la force brute sur WordPress
Une attaque par force brute vise rarement un “mot de passe mystère”. Elle vise le mécanisme de connexion lui-même. Concrètement, l’attaquant peut:
- essayer des mots de passe communs (123456, saison, password, etc.) tester des combinaisons email ou identifiant connus (par exemple via une fuite de données) adapter sa cadence pour éviter de déclencher des défenses trop tôt automatiser jusqu’à trouver une association valide
WordPress est parfois configuré avec une page de connexion par défaut, un nom d’utilisateur plus ou moins devinable (souvent l’admin, ou un prénom très courant), et des mots de passe trop faciles. Si en plus la réponse serveur est rapide, l’attaque peut réussir plus vite qu’on ne le croit.
Il faut aussi garder en tête un point pratique: l’attaque n’a pas besoin d’être “massive” pour être efficace. Quelques milliers de tentatives peuvent suffire, surtout si les mots de passe sont réutilisés ou si les identifiants sont connus. Sur un site réel, on voit souvent des attaques “propres”, pas toujours bruyantes.
D’abord: ce que vous devez mesurer (avant d’agir)
Si vous lancez des protections au hasard, vous pouvez créer des faux positifs qui bloquent vos propres accès, ou casser des mécanismes légitimes (connexion d’un outil de gestion, accès via VPN, intégration mobile). Avant de modifier, regardez ce que vos logs racontent.
Sur un hébergement standard, vous pouvez déjà observer:
- les IP qui tentent des connexions échouées les URL visées (wp-login.php, parfois des variantes) les patterns, par exemple un pic après l’activation d’un bot
Si vous avez accès à l’hébergement, vérifiez aussi le niveau de sécurité déjà en place (WAF, rate limiting, filtrage sur le reverse proxy). Dans beaucoup d’environnements managés, une partie de la réduction de trafic existe déjà, mais pas toujours pour le chemin exact de connexion.
Cette étape n’est pas “optionnelle” dans les projets qui comptent. Je préfère toujours savoir d’où viennent les tentatives, plutôt que de deviner.
Durcir la page de connexion: réduire les tentatives
La première ligne de défense, c’est la limitation des essais. L’idée est simple: si un acteur tente cent fois sans succès, on ne veut pas qu’il puisse continuer indéfiniment. On veut soit ralentir, soit bloquer temporairement, soit exiger un second facteur.
En pratique, vous avez plusieurs leviers qui se complètent.
Une base de travail concrète (checklist de départ)
Voici un point de départ raisonnable, que j’utilise souvent avant de pousser plus loin. L’objectif est de gagner un ordre de grandeur sur la capacité des bots.
- Activer une limitation de tentatives de connexion (avec blocage temporaire ou ralentissement progressif) Mettre en place une authentification à double facteur pour les comptes administrateurs Forcer l’usage de mots de passe robustes et uniques, avec un verrouillage si un mot de passe est compromis Réduire l’information renvoyée lors d’échec (sans casser les retours légitimes pour vos utilisateurs) Vérifier l’accès à wp-login.php, et s’assurer que votre politique anti-robot couvre bien cette route
Le “comment” dépend de votre stack, mais ces cinq lignes structurent la plupart des déploiements efficaces.
Protéger contre le brute force sans bloquer les humains
Un piège courant est de confondre “protection” avec “blocage aveugle”. Si vous bloquez trop agressivement, vous pénalisez:
- un utilisateur qui a un clavier en langue différente une connexion depuis un réseau d’entreprise avec IP partagée un compte administrateur géré par un mot de passe stocké sur un gestionnaire qui peut resynchroniser un intégrateur qui fait une connexion automatique (outil d’édition, plugin de synchronisation)
Quand je mets en place une limitation, j’essaie d’adopter une approche graduelle. Par exemple, plutôt qu’un blocage immédiat et long après quelques erreurs, je préfère un ralentissement progressif puis un blocage temporaire, assez court pour ne pas immobiliser un vrai accès, mais assez long pour casser la boucle d’automatisation.
Le bon réglage dépend du trafic. Un blog avec quelques dizaines de connexions mensuelles n’a pas les mêmes tolérances qu’une boutique WooCommerce avec des comptes nombreux et parfois plusieurs connexions simultanées.
Le rôle du WAF et du reverse proxy
Si vous avez un service en amont du site (proxy, CDN, WAF), vous pouvez y appliquer un rate limiting et des règles de filtrage sur le chemin de connexion. C’est souvent plus efficace que de faire tout dans WordPress, parce que la demande est traitée plus tôt, avant d’atteindre le moteur PHP.
Un WAF ou un reverse proxy peut:
- limiter le débit par IP sur wp-login.php utiliser des signatures comportementales (par exemple une cadence trop régulière) imposer des challenges après un seuil d’échecs, selon votre politique
Le point délicat est la compatibilité. Les challenges peuvent gêner des utilisateurs légitimes, surtout s’ils utilisent des appareils mobiles avec réseaux instables. Si vous utilisez un challenge, testez sur différents navigateurs et réseaux, pas uniquement sur votre PC au bureau.
Dans certains cas, j’ai vu des règles WAF trop strictes sur les endpoints d’authentification et qui bloquaient des identifications depuis des IP de centre de données. Le correctif a consisté à ajuster le seuil, ou à exclure certains parcours en fonction du contexte.
Plugins de sécurité: utiles, mais à choisir avec soin
Les plugins de sécurité peuvent aider à la limitation, au durcissement et à la surveillance. Ils sont souvent pratiques, et pour des sites “simples”, c’est une entrée rapide.
Mais il y a des compromis:
- certains ajoutent des couches d’obfuscation qui rendent le debug pénible d’autres changent la façon dont WordPress gère les redirections et les champs de login certains modifient des paramètres côté serveur, parfois sans prise en compte de votre configuration exacte les performances peuvent varier, surtout si vous activez plusieurs options “anti-bot” en même temps
Je recommande de ne pas tout activer. Prenez le temps d’identifier les fonctionnalités dont vous avez vraiment besoin, et gardez un contrôle sur les réglages. Un plugin qui fait trop peut transformer un incident réel en problème d’accès interne.
Si vous optez pour un plugin, vérifiez aussi s’il offre un mode de journalisation clair, pour voir quelles IP sont bloquées, et pourquoi. Sans visibilité, vous finissez par “deviner” quand un administrateur ne peut plus se connecter.
Authentification forte: le meilleur antidote quand le mot de passe est compromis
La force brute travaille surtout sur la phase “mot de passe uniquement”. L’authentification à double facteur change la donne. Même si l’attaquant devine ou récupère un mot de passe, il doit encore franchir la seconde étape.
Dans WordPress, l’ajout du second facteur peut se faire via des plugins dédiés, ou via des systèmes d’authentification en amont (par exemple, une solution de single sign-on). Le choix dépend de votre gestion des comptes et de la manière dont vous accédez au site au quotidien.
Mon conseil pragmatique: imposez le 2FA d’abord sur les rôles sensibles, au minimum administrateurs et comptes techniques. Si votre équipe est petite, c’est généralement le meilleur rapport effort-risque.
Le second facteur n’élimine pas tout. Il ne protège pas contre une attaque qui cherche plutôt des sessions volées, ou une compromission via un autre canal. Mais contre la force brute “pure”, c’est souvent la barrière la plus rentable.
Choisir des identifiants moins “devinables”
On sous-estime parfois l’impact du nom d’utilisateur. Les bots testent souvent des motifs simples. Si votre site a un compte “admin” ou “admin1”, un attaquant peut commencer par là.
Ce n’est pas une solution miracle. Mais réduire la prédictibilité aide. Je recommande:
- d’utiliser des identifiants qui ne sont pas directement liés au prénom ou à une fonction évidente de renommer les comptes si nécessaire, et surtout de ne pas garder un admin historique si ce n’est pas indispensable de ne pas réutiliser des schémas identiques entre environnements (prod, staging)
Le renommage de comptes peut avoir des impacts sur certaines intégrations ou sur des scripts existants. À faire avec attention, idéalement avant la mise en production et après un inventaire.
Réponses d’erreur et surfaces d’info: ce que vous pouvez et ne pouvez pas cacher
Beaucoup de gens veulent “ne rien dire” à propos des erreurs de connexion. Sans entrer dans des subtilités, l’objectif est de ne pas faciliter la tâche du bot.
WordPress répond en général de manière assez standard. Les modifications qui visent à masquer des détails peuvent parfois gêner des vrais utilisateurs ou compliquer votre support interne.
Dans l’approche que je privilégie, on cherche surtout à réduire les indices exploitables, tout en gardant des messages suffisamment informatifs pour un humain. Et on laisse les véritables barrières à la limitation de tentatives et au second facteur.
Edge cases: quand la protection casse quelque chose
Il y a des cas concrets où la limitation de force brute crée des désagréments.
1) Un outil externe qui se connecte automatiquement, par exemple pour publier du contenu via l’API, ou pour synchroniser un inventaire. Si le mot de passe change et que l’outil n’est pas mis à jour immédiatement, l’outil envoie des échecs en boucle. Au bout d’un certain seuil, il peut être bloqué, puis vous perdez du temps à diagnostiquer la cause.
2) Un utilisateur en mobilité sur un réseau instable. Des IP différentes peuvent s’afficher rapidement, et selon votre politique, cela peut déclencher des restrictions par session ou par empreinte. Vous voulez que ces restrictions existent, mais elles doivent être temporaires et raisonnablement tolérantes.
3) Plusieurs comptes tentent depuis la même machine. Dans un environnement familial ou un bureau partagé, plusieurs personnes peuvent essayer d’accéder à WordPress. Un seuil trop bas, côté IP, peut bloquer tout le monde.
Ces cas ne sont pas des “exceptions”. Ils reviennent, surtout dès que vous avez une équipe ou un site utilisé de façon non centralisée. La bonne réponse n’est pas de supprimer la protection, c’est de calibrer et de garder une procédure de déblocage.
Déblocage, procédures et accès de secours
Quand vous activez des mécanismes de blocage, vous devez prévoir le jour où vous en aurez besoin. Un administrateur bloqué, c’est souvent un mélange de mauvaise configuration et de difficulté à retrouver la cause.
Je recommande de préparer, avant d’activer des seuils stricts:
- un accès d’urgence via une méthode alternative (accès serveur, wp-cli, ou une procédure de déblocage documentée) une capacité à vérifier rapidement les logs et les IP bloquées une façon de mettre en pause temporairement la règle si un incident survient
Sans procédure, vous passez du temps à tâtonner au lieu de résoudre.
Dans un projet, j’ai vu une équipe découvrir trop tard que l’outil de déploiement envoyait des tentatives de connexion après chaque nouvelle configuration. La mise au point a consisté à exclure ces IP “machine” de la règle agressive, et à laisser la protection sur le reste.
Exemple d’amélioration progressive sur un site réel
Sur un site WordPress de taille moyenne, on a constaté des tentatives régulières sur wp-login.php, avec des patterns très automatisés. Au départ, le site n’avait qu’une protection minimale. Les logs montraient des échecs distribués sur quelques plages d’IP, avec une cadence qui ressemblait à un bot.
La correction n’a pas été “un plugin magique”. On a fait en trois étapes:
D’abord, on a activé une limitation de tentatives avec blocage temporaire et une logique de ralentissement avant le blocage. Puis, on a imposé le second facteur pour les administrateurs. Enfin, on a ajusté la politique pour éviter de bloquer une IP de gestion interne utilisée par l’équipe (le genre d’adresse que personne ne pense à inclure jusqu’au jour où ça casse).
Résultat attendu: les tentatives continuent parfois, mais elles ne génèrent plus de progression vers une authentification, parce que le compteur d’échecs et le second facteur neutralisent la recherche du mot de passe. Et surtout, le site reste accessible aux humains, avec un impact minimal sur le support.
Verrouiller l’accès à l’administration sans changer toute l’architecture
Certains sites font un “masquage” de l’URL de connexion, ou déplacent l’accès admin. C’est utile comme couche, mais je le traite comme un complément. Un attaquant sérieux finira par trouver l’entrée ou utilisera d’autres vecteurs.
L’intérêt, c’est de réduire le volume immédiat de tentatives, les bots “bruts” qui balayent des chemins connus. Le risque, c’est que vous compliquiez votre propre exploitation: scripts, outils, documentation interne. Si vous changez l’URL, vous devez assurer la cohérence avec tout ce qui se connecte.
Dans les déploiements que j’ai vus réussir, le changement d’URL n’était pas la seule défense. C’était un bonus, pendant que la limitation, le 2FA et la supervision faisaient le gros du travail.
Surveillance: voir venir, plutôt que réagir après coup
Une protection qui bloque les tentatives est bien, mais une protection qui vous informe est encore mieux. Sur WordPress, vous pouvez suivre:
- le volume d’échecs de connexion les IP récurrentes l’évolution des tentatives après modifications les alertes sur changements d’extensions ou d’utilisateurs, si vous surveillez aussi l’intégrité du site
La surveillance ne doit pas devenir une corvée. J’aime les seuils simples: quand les échecs montent en flèche, on vérifie si c’est un pic normal (par exemple après un changement de mot de passe) ou un comportement qui ressemble à une campagne.
Et si vous êtes seul à administrer, pensez à la fatigue opérationnelle. Trop d’alertes inutiles finissent par être ignorées, donc vous perdez de la valeur quand un événement devient réellement sérieux.
Une comparaison pratique: limitation côté WordPress versus amont
Il y a souvent un débat: faut-il protéger au niveau WordPress (via plugins ou règles PHP) ou au niveau amont (WAF, reverse proxy, firewall) ?
Voici comment je raisonne, sans prétendre à une vérité universelle.
- Si votre infrastructure permet de filtrer tôt, le fait de limiter au niveau amont réduit la charge et stoppe plus vite. Si vous n’avez pas de WAF ou si les règles amont ne couvrent pas bien wp-login.php, WordPress doit compenser avec une limitation applicative. Le meilleur résultat vient souvent d’un cumul, avec des réglages cohérents et une procédure de déblocage.
Pour décider concrètement, vous pouvez comparer ces deux approches:
| Option | Points forts | Risques à gérer | |---|---|---| | Limitation au niveau reverse proxy / WAF | Moins de charge serveur, blocage rapide, bonnes métriques | Faux positifs si l’authentification est challengée, règles à ajuster selon les IP légitimes | | Limitation au niveau WordPress (plugin, logique applicative) | Couverture ciblée sur les routes d’auth, contrôle fin côté application | Peut consommer davantage de ressources, nécessite une maintenance et un bon diagnostic |
Réglages de sécurité “classiques” qui aident aussi contre le brute force
La force brute n’existe pas seule, elle s’inscrit dans un ensemble. Si votre WordPress est en retard sur les mises à jour, ou si des plugins obsolètes créent des failles, vous ouvrez un autre type de risque.
Même si ce n’est pas directement “force brute”, un site maintenu réduit les possibilités d’attaque et simplifie la réponse en cas d’incident.
Je recommande aussi de contrôler quelques habitudes d’hygiène:
- garder WordPress, thèmes et extensions à jour limiter les comptes avec des droits élevés désactiver les comptes inutiles éviter des rôles administrateurs partagés entre plusieurs personnes
Cela ne stoppe pas un bot de tenter des mots de passe, mais cela limite la valeur d’un accès éventuel, et ça accélère le rétablissement si un incident survient.
Plan d’action réaliste en une journée
Si vous devez agir vite, sans transformer votre site en chantier permanent, vous pouvez viser un plan court, mais solide.
Je propose généralement de commencer par la barrière la plus directe, limiter les tentatives sur wp-login.php, puis d’ajouter le second facteur pour les administrateurs. Une fois en place, vous observez les logs sur quelques jours, vous ajustez les seuils, et seulement ensuite vous complétez avec des optimisations plus “cosmétiques” comme le masque d’URL, si votre équipe les souhaite.
Et si vous avez un staging, testez-y d’abord. Un changement de politique d’accès, même “simple”, peut avoir des effets sur les outils internes.
Ce que je choisirais aujourd’hui, en résumé opérationnel
Si je devais résumer ma manière de sécuriser un site WordPress contre la force brute, je penserais en couches, et je garderais une posture de maintenance:
- une limitation de tentatives fiable, avec un blocage temporaire ou un ralentissement progressif un second facteur pour les comptes sensibles une visibilité sur les tentatives échouées, avec des logs compréhensibles une calibration pour éviter de bloquer les humains et les outils des accès de secours pour ne pas rester bloqué si vous faites un mauvais réglage
La force brute évolue, les bots aussi, mais cette approche garde sa valeur parce qu’elle n’attaque pas un détail, elle attaque le mécanisme.
Si vous voulez, vous pouvez me décrire votre contexte, par exemple: hébergement https://gardewp.fr/securite-wordpress/ (managed ou non), présence d’un WAF, nombre de comptes admin, et ce que montrent vos logs sur wp-login.php. Je pourrai vous proposer une stratégie plus précise, avec des réglages typiques et les points de vigilance pour éviter les faux positifs.