Les comptes administrateur WordPress trop nombreux sont la faille de sécurité la plus banale que je vois en reprise. Personne n'a de mauvaise intention. Tout le monde a eu « besoin d'admin » pour poser un pixel. Cet article dit qui a vraiment besoin de ce rôle, comment rétrograder, comment révoquer un prestataire parti, et le lien avec la 2FA, l'URL d'admin et la reprise sans le dev d'origine.
👥 Admin n'est pas un rôle de confort
Un éditeur publie. Un gestionnaire de boutique (shop manager) gère Woo. Un SEO n'a pas besoin d'installer des plugins. L'admin, c'est thèmes, utilisateurs, réglages. Moins il y en a, mieux on dort.
Le compte `admin` générique : on le tue. Un humain = un compte. 2FA sur tous les rôles élevés (article dédié).
🧹 Comment on nettoie
Export des utilisateurs, dernière connexion, on appelle si doute, on rétrograde ou on désactive. On ferme toutes les sessions ouvertes. Mots de passe tournés si le compte était partagé.
Les comptes « support thème » et les portes dérobées laissées par des constructeurs de pages : on les cherche. Reprise après piratage si ça sent mauvais.
- Un admin technique + un admin client max
- 2FA obligatoire
- Révocation écrite
- Pas de compte partagé
🔐 Après le ménage
Revue trimestrielle. Moins de bruit sur wp-login (URL personnalisée, XML-RPC désactivé). Monitoring des nouveaux admins.
Comptes admin WordPress trop nombreux : ce n'est pas méchant. C'est cher le jour où l'un d'eux fuit.
🧰 Donner un accès sans donner l'admin
Un prestataire demande souvent « un accès admin » par habitude. La plupart du temps, un rôle plus étroit suffit : éditeur pour le contenu, gestionnaire de boutique pour les commandes, un accès FTP ou SSH limité pour le code.
Quand l'admin est vraiment nécessaire, je crée un compte nominatif avec une date de fin notée. Le jour venu, on le désactive, sans attendre que quelqu'un s'en souvienne.
✅ Ordre des opérations pour un tri de comptes
On exporte la liste, on note pour chaque compte le dernier accès et le rôle réel. Puis on décide : garder, rétrograder ou supprimer.
Sauvegarde restaurable, un compte de secours connu de vous, double authentification pour ceux qui restent. Puis 24 à 72 h de suivi des connexions. Sans ce suivi, un compte oublié peut rester comme porte dérobée.
- Liste des comptes avec dernier accès
- Compte de secours testé avant suppression
- Un rôle modifié à la fois
- Vérification humaine puis 24 h de suivi des connexions
📌 Ce que je refuse sur ce sujet
Je refuse les comptes partagés du type « agence@ ». Je refuse d'accorder le rôle administrateur par commodité. Je refuse de laisser un accès actif à un prestataire dont la mission est terminée.
Je refuse aussi de me taire : si le vrai sujet est un piratage déjà en cours, on traite d'abord l'incident. Ce texte n'est pas un prétexte pour vendre un module de sécurité.
Chaque admin de trop est une porte. On n'en laisse pas cinq ouvertes « au cas où ».
🧭 Questions fréquentes
Faut-il nettoyer tout de suite ? Oui si un ancien prestataire ou un compte inconnu a encore les droits d'administration. Sinon, faites le tri cette semaine et planifiez une révision chaque trimestre.
Peut-on supprimer des comptes sans copie de test ? Oui, si la sauvegarde est fraîche et qu'on garde un compte de secours. Les comptes liés à une extension ou à des publications se testent d'abord sur une copie.
Combien de temps ? Une heure pour lister et classer les comptes, une demi-journée pour poser la double authentification et réattribuer les contenus. Plus long si personne ne sait qui est qui.
