Comment changer l’URL de connexion de WordPress ?

Pourquoi c’est important

Tous les sites WordPress du monde répondent aux deux mêmes adresses : /wp-login.php et /wp-admin. Les robots le savent. Ils n’ont pas besoin de trouver votre page de connexion ; ils la demandent simplement sur chaque site qu’ils peuvent atteindre et commencent à deviner des mots de passe.

Déplacer la connexion vers un chemin que vous seul connaissez fait sortir votre site de la foule. Les scripts de devinette automatisés tombent sur une erreur 404 et passent leur chemin. Vos journaux deviennent plus calmes, votre serveur travaille moins, et les tentatives restantes sont plus faciles à lire.

Ce que cela ne fait pas. Masquer la connexion est une couche d’obscurité. Cela supprime la cible facile, mais ne verrouille rien. WordPress a d’autres portes, la plus importante étant xmlrpc.php, qui accepte à lui seul identifiants et mots de passe. Une page de connexion masquée avec une porte XML-RPC ouverte, c’est comme un portail d’entrée caché à côté d’une porte latérale non verrouillée. Considérez cette étape comme la première de plusieurs :

• limitez les tentatives de connexion échouées,
• ajoutez la double authentification pour les administrateurs,
• fermez la connexion par XML-RPC et les fuites d’identifiants,
• utilisez des mots de passe forts et uniques et tenez WordPress à jour.

Erreurs courantes

• Se déconnecter avant d’avoir testé. Testez toujours le nouveau chemin dans une fenêtre privée pendant que votre onglet principal est encore connecté. Si quelque chose ne va pas, vous pouvez encore corriger.
• Ne pas noter l’URL. « Je m’en souviendrai » est la cause de blocage la plus fréquente. Mettez-la dans votre gestionnaire de mots de passe.
• Choisir un chemin évident. /login, /admin et /secure sont les premières choses que les robots essaient. Utilisez quelque chose qui n’est pas un mot courant à lui seul.
• Oublier les autres portes. Si la connexion par XML-RPC est encore ouverte, les tentatives de mot de passe s’y déplacent tout simplement. Voir comment désactiver XML-RPC sans risque.
• Mettre le nouveau chemin en cache. Si un CDN ou un cache de page stocke la page de connexion, le formulaire peut casser. Excluez le chemin du cache, comme vous le feriez pour wp-login.php.

Sans extension

Il n’existe aucun réglage dans WordPress pour changer l’URL de connexion. Les méthodes manuelles sont :

Renommer wp-login.php. Certains guides suggèrent de copier wp-login.php sous un nouveau nom de fichier et de remplacer toutes les références à l’intérieur. Cela casse dès que WordPress se met à jour, car la mise à jour restaure le fichier d’origine et votre copie devient obsolète. Nous ne le recommandons pas.

Restreindre le fichier au niveau du serveur. Sur Apache, vous pouvez limiter wp-login.php à votre propre adresse IP dans .htaccess :

<Files wp-login.php>
  Require ip 203.0.113.10
</Files>

C’est solide si vous travaillez toujours depuis une seule adresse fixe. Cela vous bloque le jour où votre IP change, et cela ne sert à rien sur les configurations Nginx ou LiteSpeed sans règle équivalente. Cela ne masque pas non plus les redirections de wp-admin.

Utiliser l’authentification HTTP basique. Beaucoup d’hébergeurs permettent de protéger wp-login.php par un mot de passe depuis leur panneau de contrôle. Cela fonctionne, mais ajoute une seconde boîte de connexion pour tout le monde, et peut casser les appels admin-ajax.php depuis le front si elle est appliquée trop largement.

Le bilan honnête : les méthodes manuelles soit cassent lors des mises à jour, soit dépendent d’une IP fixe. Une extension qui intercepte la requête est plus simple et survit aux mises à jour.

En cas de problème

• Le nouveau chemin affiche une erreur 404. Vérifiez qu’il n’y a pas de faute de frappe dans le chemin, puis videz votre cache de page et le cache de votre CDN, et réessayez dans une nouvelle fenêtre privée.

• Vous êtes bloqué. Ajoutez cette ligne à wp-config.php, au-dessus de « That's all, stop editing! » (« C’est tout, ne touchez pas à ce qui suit » sur les installations en français) :

  define( 'GATEKEEPER_LOGIN_SLUG', 'new-path' );
  

  Le formulaire de connexion s’ouvre aussitôt à l’adresse yoursite.com/new-path.

• Pas d’accès au fichier wp-config.php ? Supprimez le dossier hushfort-security de /wp-content/plugins/ par FTP ou avec le gestionnaire de fichiers de votre hébergeur. WordPress revient à sa connexion par défaut.

Le guide de récupération complet se trouve dans Bloqué après avoir changé l’URL de connexion.

Avec Hushfort

La Connexion masquée est incluse dans Hushfort Security, l’extension de sécurité WordPress gratuite. La couche Connexion masquée de Hushfort (module Masquage de la connexion) ne fait rien tant que vous n’avez pas choisi de chemin : l’activer ne peut donc pas vous bloquer par accident. Une fois le chemin défini :

• wp-login.php et wp-admin renvoient une erreur 404 (ou, si vous préférez, redirigent vers votre page d’accueil ou vers une URL de votre choix).
• admin-ajax.php, l’API REST, WP-Cron et XML-RPC continuent de fonctionner : votre thème et vos extensions se comportent comme avant.
• Le tableau de bord conserve une carte « Si vous perdez l’accès » avec votre URL de connexion actuelle et la ligne de secours.
• Désactiver l’extension rétablit la connexion normale de WordPress.

La Connexion masquée est incluse dans l’extension gratuite. Hushfort Pro ajoute les Limites de connexion, la Double authentification et le Verrou XML-RPC : la connexion masquée est ainsi un rempart parmi d’autres, et non le seul.