Publié initialement à : https://korben.info/securiser-wordpress-les-utilisateurs.html
Maintenant que votre blog Wordpress est en place au un minimum sécurisé, voici une autre petite astuce concernant les utilisateurs. Sur les anciennes versions de Wordpress, il était possible pour n'importe qui de se créer un compte. Même si ces comptes sont limités en droits, ils peuvent toutefois servir à exploiter une faille qui donnera alors plus de droits à l'attaquant.
Heureusement, ce n'est plus le cas depuis quelques versions, mais si vous avez un gros passif avec Wordpress, il vaut mieux vérifier que vous seul êtes maitre sur la création de comptes. Le mieux c'est donc d'interdire à quiconque de se créer un compte sur votre site sauf bien évidemment si vous souhaitez créer un espace réservé à des membres.
Pour cela, rendez-vous dans le menu Réglages -> Général et décochez la case qui dit "Tout le monde peut s'enregistrer".
Maintenant si vous laissez vos utilisateurs créer des comptes (parce qu'ils peuvent s'inscrire pour effectuer un achat par exemple), vérifiez bien quels sont leurs droits. Et si vous partagez l'administration avec plusieurs personnes, n'oubliez pas de supprimer ou désactiver leurs comptes, une fois que ces derniers quittent votre petite équipe. Ne négligez pas non plus la force des mots de passe.
Enfin, même si vous avez changé de login comme je l'explique dans l'article "Sécuriser Wordpress - L'installation", il est simple pour un pirate de deviner votre nouveau login.
Comment ?
Et bien pour cela, il n'a qu'à cliquer sur le lien "auteur" qui pointera vers une URL de type "http://exemple.com/author/NOM_UTILISATEUR/" qui rassemble tous vos posts écrits sous ce nom. Avec votre login en tête, il peut alors concentrer ses efforts sur la découverte de votre mot de passe.
Pour modifier ce nom public et protéger votre login, rien de plus simple. Il suffit de vous rendre dans l'interface d'admin de Wordpress puis de cliquer sur "Votre profil" dans la section "Utilisateurs".
Modifiez ensuite le champ "pseudonyme" ou choisissez dans les suggestions un "Nom à afficher publiquement". Faites l'effort de prendre quelque chose de très différent de votre "Identifiant". C'est ce que verront les visiteurs de votre site et les pirates seront alors incapables de déterminer votre login.
Ici c'est Raymond qui sera affiché publiquement alors que j'utiliserai le pseudo _K0Rb3n_ pour m'identifier sur l'interface admin de Wordpress.
Toutefois, l'affichage de ce "nom public" ne sera effectif que si c'est ce que votre thème appelle comme variable. Vérifiez donc dans les pages de votre thème que c'est bien le nom public qui est appelé avec la fonction suivante :
<?php the_author(); ?>
Dans la série, Sécuriser WordPress: