Vous ouvrez les journaux de votre WordPress et voyez des dizaines, parfois des centaines, de tentatives de connexion échouées par jour. La première réaction est l’alarme : suis-je spécifiquement visé ? La réponse est presque toujours plus rassurante qu’il n’y paraît.
Pourquoi vous recevez autant de tentatives (ce n’est probablement pas personnel)
L’immense majorité de ces tentatives ne viennent pas d’une personne qui vous a choisi spécifiquement. Ce sont des bots automatisés qui parcourent internet en testant la même liste de noms d’utilisateur et mots de passe courants contre des milliers de sites WordPress à la fois, sans distinguer lequel est le vôtre. Que votre site reçoive ces tentatives est, hélas, normal — presque tout WordPress public en reçoit.
Comment savoir s’il s’agit de trafic automatisé ou de quelque chose de ciblé
Quelques signes qu’il s’agit d’une attaque générique automatisée, pas de quelque chose de personnel :
- Les identifiants testés sont génériques : “admin”, “administrator”, votre propre nom de domaine
- Ils viennent de nombreuses IP différentes réparties dans le monde, pas d’une seule
- Le schéma est constant dans le temps, pas un pic ponctuel coïncidant avec quelque chose de précis
Si au contraire vous voyez des tentatives très concentrées sur un identifiant spécifique et peu commun, ou coïncidant avec un événement (vous avez publié quelque chose de polémique, vous êtes apparu dans la presse), il vaut mieux y prêter davantage attention.
Que faire pour qu’elles cessent d’être un risque réel
Limiter les tentatives par IP
Bloquer temporairement une IP après plusieurs tentatives échouées consécutives arrête la plupart des bots basiques, même si les plus sophistiqués changent d’IP pour contourner cela.
Utiliser des mots de passe absents de toute liste courante
Ces attaques testent des mots de passe issus de dictionnaires divulgués, elles ne devinent pas au hasard. Un mot de passe long et aléatoire fait que, statistiquement, il ne correspondra jamais par simple force brute.
Ajouter une seconde couche en plus de l’identifiant et du mot de passe
L’authentification à deux facteurs fait que, même si un bot devinait le mot de passe exact, il ne pourrait toujours pas entrer sans le second facteur.
Bloquer selon le comportement, pas seulement l’IP répétée
La protection la plus efficace n’attend pas de compter plusieurs échecs : elle reconnaît les schémas typiques des bots (vitesse, en-têtes, origine) et coupe la tentative avant même qu’elle n’essaie le mot de passe.
Questions fréquentes
Dois-je m’inquiéter si je vois 50 à 100 tentatives de connexion échouées par jour ?
C’est un volume habituel pour un WordPress public sans protection spécifique de la connexion. Ce qui compte n’est pas la quantité, mais de confirmer qu’aucune n’a réussi.
Changer l’URL de connexion réduit-il ces tentatives ?
Oui, considérablement — de nombreux bots ne testent que le chemin standard /wp-login.php. Ce n’est pas une protection complète à elle seule, mais elle réduit beaucoup le bruit.
Puis-je savoir de quel pays viennent ces tentatives ?
Oui, un tableau de bord de sécurité avec un journal d’activité affiche le pays d’origine de chaque tentative — utile pour décider si vous souhaitez bloquer le trafic de certaines zones si vous n’y avez ni clients ni visiteurs légitimes.