Double authentification WordPress : le guide

Un mot de passe seul, aussi complexe soit-il, reste vulnérable : il peut être volé dans une fuite de données sur un autre site, deviné par une attaque automatisée, ou intercepté. La double authentification ajoute une deuxième vérification, par exemple un code généré par une application sur le téléphone, qui bloque l'accès même si le mot de passe est compromis.

L'activer sur WordPress prend quelques minutes, à condition de suivre l'ordre des étapes pour ne pas se retrouver bloqué hors de son propre site. Ce guide ajoute ce que les tutoriels passent sous silence : les limites de la protection, les pièges qui verrouillent un compte et la marche à suivre en cas de téléphone perdu.

Ce que la double authentification arrête, et ce qu'elle n'arrête pas

Elle arrête le scénario le plus courant : un mot de passe réutilisé, fuité ou deviné. L'ANSSI, via son service MonServiceSécurisé, consacre d'ailleurs une fiche à l'activation de l'authentification multifacteur pour l'accès des administrateurs d'un service : le compte administrateur d'un site WordPress en est l'exemple type, puisqu'il donne la main sur tout le contenu et toutes les extensions.

Elle n'arrête pas, en revanche, l'exploitation d'une faille dans une extension. Selon le rapport State of WordPress Security in 2026 de Patchstack, publié le 25 février 2026, 91 % des nouvelles vulnérabilités de 2025 se trouvaient dans des extensions, et le contrôle d'accès défaillant figurait parmi les types de failles les plus exploités. Une telle attaque n'a pas besoin de passer par l'écran de connexion. La double authentification protège la porte d'entrée ; les mises à jour protègent le reste de la maison. Le détail est dans notre guide sur les failles de sécurité WordPress.

Sur WordPress.com ou sur un site auto-hébergé : ne pas se tromper de procédure

Le premier résultat de Google pour cette recherche est la documentation de WordPress.com, qui concerne la version hébergée, où la fonction est intégrée au compte. Sur un site auto-hébergé, c'est-à-dire un site installé chez un hébergeur, à la date de rédaction (octobre 2026) le cœur de WordPress ne propose pas de double authentification : il faut passer par une extension. Les guides francophones et l'aperçu IA de Google citent surtout WP 2FA, Two-Factor et miniOrange ; Wordfence Login Security fait aussi partie des options.

Installer une extension dédiée

Le choix dépend des extensions déjà installées et des préférences de configuration : une extension de sécurité complète peut déjà proposer le second facteur, ce qui évite d'en ajouter une de plus. Une extension supplémentaire est aussi un composant à mettre à jour : mieux vaut en limiter le nombre.

Choisir une application d'authentification plutôt qu'un e-mail

Une application dédiée (Google Authenticator, Authy, Microsoft Authenticator) génère un code à usage unique toutes les 30 secondes, sans dépendre d'une connexion réseau. Cette méthode est considérée comme plus sûre qu'un code envoyé par e-mail, qui reste vulnérable si la messagerie est compromise.

Scanner le code et sauvegarder les codes de secours

Une fois l'application installée sur le téléphone, un code QR affiché dans WordPress permet de lier le compte en un scan. L'étape à ne surtout pas sauter : les codes de secours fournis à ce moment doivent être conservés ailleurs que sur le téléphone lui-même (gestionnaire de mots de passe, document imprimé). En cas de perte du téléphone, ce sont eux qui évitent de se retrouver bloqué hors de son propre site.

Limiter l'obligation aux rôles sensibles

Sur un site avec plusieurs comptes, il est possible de rendre la double authentification obligatoire seulement pour les administrateurs et les rédacteurs, sans l'imposer à un rôle client qui n'a pas accès à l'administration.

Les pièges qui verrouillent un compte

• Imposer avant de tester. Activer la fonction sur son propre compte, se déconnecter, puis se reconnecter dans une fenêtre de navigation privée avant de l'imposer aux autres. Garder un second compte administrateur protégé, pour pouvoir débloquer le premier.
• Une horloge de téléphone décalée. Les codes dépendent de l'heure : si le téléphone n'est pas synchronisé automatiquement, les codes sont refusés alors qu'ils sont corrects.
• Les mots de passe d'application. Ces identifiants, utilisés par des outils qui pilotent le site par l'API REST, ne passent pas par l'écran de connexion et ne sont donc pas soumis au second facteur. Les révoquer lorsqu'ils ne servent plus, depuis la page de profil de l'utilisateur.
• Les autres formulaires de connexion. Sur un site avec espace client ou boutique, vérifier que l'extension couvre aussi ces formulaires, ou que les clients n'y ont pas de rôle sensible.
• Une mise à jour qui casse la connexion. Avant de mettre à jour l'extension de double authentification, disposer d'une sauvegarde récente et testée : voir le guide pour tester la restauration d'une sauvegarde.

Téléphone perdu et plus aucun code : la sortie de secours

Sans le téléphone ni les codes de secours, le dernier recours consiste à désactiver l'extension depuis l'accès aux fichiers de l'hébergeur (FTP ou gestionnaire de fichiers) en renommant son dossier dans wp-content/plugins. WordPress la considère alors comme absente, et la connexion par mot de passe redevient possible. Cette manœuvre retire la protection : à réserver à l'urgence, puis à refaire dans l'ordre (renommer le dossier à nouveau, reconfigurer l'application, générer et ranger de nouveaux codes de secours).

Une demande modeste, mais un réflexe de base

Les relevés Google Ads obtenus via DataForSEO pour la France (septembre 2025 à août 2026) donnent environ 30 recherches mensuelles pour « double authentification wordpress » et environ 90 pour « 2fa wordpress ». Les deux courbes sont plates, sans saison : 20 à 40 et 70 à 90 selon les mois. Le sujet ne dépend donc d'aucune actualité ; il se traite une fois, au moment de configurer un site, ou à chaque arrivée d'un nouveau compte administrateur. Pour compléter la protection de la connexion, voir sécuriser son site WordPress : les mesures essentielles et le guide sur les mises à jour automatiques.