Un compte administrateur oublié peut devenir une porte d’entrée durable vers les réglages, les extensions et les données d’un site. Pourtant, retirer trop vite ce rôle peut aussi bloquer une mise à jour, une boutique ou une tâche de maintenance. La vérification des utilisateurs ne consiste donc pas à réduire mécaniquement le nombre de comptes, mais à déterminer qui a encore besoin de pouvoirs étendus, pour quelle mission et pendant combien de temps.
Pour illustrer la démarche, prenons l’exemple de l’Atelier Boréal, une petite entreprise dont le site a été créé par une agence, puis confié à une équipe éditoriale. Au fil des années, plusieurs prestataires ont reçu un accès administrateur. Un audit des comptes permet de distinguer les personnes toujours responsables de la maintenance des anciens intervenants et des collègues qui n’ont besoin que de publier des articles. Cette approche protège le site sans empêcher le travail quotidien.
- Recensez les comptes administrateurs et confirmez l’identité de chaque personne qui les utilise.
- Vérifiez le rôle, les capacités et l’activité récente, sans confondre absence de connexion et compte compromis.
- Réduisez les privilèges élevés lorsque les tâches peuvent être réalisées avec un rôle moins puissant.
- Contrôlez séparément les accès SFTP, SSH et aux services externes : ils ne se limitent pas toujours au rôle WordPress.
- Testez les changements et consignez-les afin de pouvoir rétablir un accès légitime si nécessaire.
Comment repérer les administrateurs WordPress qui nécessitent un contrôle
Commencez par ouvrir le tableau de bord, puis accédez à Utilisateurs → Tous les utilisateurs. Filtrez la liste par rôle administrateur et relevez, pour chaque compte, le nom, l’adresse électronique, la date de création si elle est disponible et la fonction déclarée. Une adresse inconnue, un nom générique ou un compte associé à une ancienne agence mérite une vérification, mais ne prouve pas à lui seul une intrusion.
Il faut ensuite relier chaque compte à une personne réelle. Dans une petite organisation, un échange direct suffit souvent : demandez à l’équipe qui utilise encore l’accès et pour quelles tâches. Dans une structure plus importante, comparez la liste avec les contrats de maintenance, les dossiers d’arrivée et de départ, ainsi que les responsables des outils connectés au site.
Différencier un compte oublié d’un compte suspect
Un compte inactif depuis plusieurs mois peut appartenir à un consultant dont la mission est terminée, à un ancien salarié ou à un administrateur qui n’intervient qu’en cas d’incident. La date de dernière connexion, si elle est enregistrée par une extension de journalisation, constitue un indice, pas un verdict. Certains sites ne conservent pas cette information par défaut ; ne déduisez donc pas l’inactivité d’une absence de trace.
Examinez aussi le contexte : une adresse électronique qui ne correspond à aucun prestataire connu, un compte créé à une heure inhabituelle ou des changements récents de rôle appellent un contrôle plus poussé. Si le compte paraît inconnu, préservez les journaux disponibles, vérifiez les sessions et les modifications récentes, puis changez les identifiants concernés après avoir sécurisé les accès légitimes. Supprimer immédiatement le compte peut effacer des éléments utiles à l’analyse.
Établir un inventaire exploitable
Pour l’Atelier Boréal, le tableau d’audit révèle quatre administrateurs : la responsable technique, le propriétaire du site, une agence dont le contrat est clos et une adresse générique sans responsable identifié. La responsable technique conserve son rôle, le propriétaire confirme qu’il n’intervient que sur les contenus, l’agence est contactée avant modification et le compte générique est placé en revue.
Notez le motif de chaque décision et la date de vérification. Cette trace transforme une opération ponctuelle en procédure reproductible : au prochain départ d’un prestataire ou changement d’équipe, le propriétaire du site sait qui doit confirmer les accès. Un compte administrateur doit toujours correspondre à une personne identifiable et à un besoin actuel.
Comprendre les rôles WordPress et appliquer le moindre privilège
WordPress attribue des rôles qui regroupent des capacités. Sur une installation classique, l’administrateur peut gérer les réglages, les extensions, les thèmes et les utilisateurs ; l’éditeur s’occupe principalement des contenus et de ceux des autres auteurs. L’auteur publie ses propres articles, le contributeur prépare des textes sans les publier et l’abonné dispose généralement d’un accès limité à son profil.
Les possibilités exactes dépendent toutefois du site. Des extensions de commerce, de membres ou de sécurité peuvent ajouter des rôles et des capacités, tandis que certains hébergeurs, notamment les offres WordPress.com, imposent des règles propres à leur plateforme et à leur forfait. Il faut donc examiner la configuration réellement utilisée plutôt que supposer que tous les sites affichent les mêmes options.
Choisir un rôle adapté aux tâches réelles
La gestion des rôles doit partir du travail à effectuer, non du statut hiérarchique. Une personne chargée de rédiger et de publier des articles n’a généralement pas besoin de modifier les réglages du site. Un prestataire qui intervient uniquement sur les contenus peut recevoir un rôle éditorial adapté, tandis qu’un spécialiste technique peut garder un accès administrateur pendant la durée précise de son intervention.
Le principe du moindre privilège consiste à accorder uniquement les droits nécessaires, pour la durée nécessaire. Il réduit les conséquences d’une erreur, d’un mot de passe volé ou d’une extension vulnérable. Si le compte d’un auteur est compromis, l’attaquant ne devrait pas pouvoir installer un fichier malveillant ou créer de nouveaux administrateurs simplement parce que ce compte avait reçu des droits excessifs.
Comparer les rôles et les besoins
| Rôle courant | Usage adapté | Point de vigilance |
|---|---|---|
| Administrateur | Maintenance et configuration générale du site | À réserver aux personnes responsables des changements techniques |
| Éditeur | Gestion et publication de contenus pour plusieurs auteurs | Peut modifier des contenus qui ne lui appartiennent pas |
| Auteur | Rédaction et publication de ses propres articles | Vérifier les besoins liés aux médias et aux extensions |
| Contributeur | Préparation de contenus soumis à validation | Ne publie pas nécessairement lui-même ses textes |
| Abonné | Accès au profil ou à des fonctions de membre | Des extensions peuvent étendre ses capacités |
Dans l’exemple de l’Atelier Boréal, le propriétaire n’a pas besoin de modifier les extensions pour approuver les articles. Le passage à un rôle éditorial est cohérent si les droits de son installation le permettent. Avant d’enregistrer, l’équipe vérifie qu’aucune tâche essentielle — gestion de commandes, paramètres d’une extension ou administration d’une boutique — ne dépend de capacités qui seraient retirées.
Des extensions comme User Role Editor ou Members peuvent aider à créer des rôles personnalisés, mais elles ajoutent aussi une couche de configuration. Testez toute modification avec un compte de test et documentez les capacités modifiées. La réduction des accès est réussie quand les tâches restent possibles et que les pouvoirs inutiles disparaissent.
Vérifier les comptes inactifs sans interrompre le fonctionnement du site
Un ancien compte ne doit pas nécessairement être supprimé dès qu’il semble inutilisé. Il peut être lié à une intégration, à une procédure de récupération ou à un service externe. Avant toute action, identifiez son propriétaire, les contenus qui lui appartiennent et les outils qui pourraient dépendre de lui. Sur un site professionnel, vérifiez également les règles internes de conservation des données.
La première étape consiste à demander une confirmation à la personne ou à l’entreprise concernée. Fixez une échéance raisonnable et indiquez clairement la prochaine action : maintien du rôle, réduction des droits ou suppression du compte. Si l’identité ne peut pas être confirmée, traitez le cas comme un risque à examiner, plutôt que comme une simple tâche administrative.
Réduire les accès par étapes
Lorsque le titulaire n’a plus besoin du rôle administrateur, attribuez-lui le rôle adapté après avoir vérifié les responsabilités restantes. Si la mission est terminée, désactivez ou supprimez son accès selon le fonctionnement du site et les besoins de conservation. Lors de la suppression d’un utilisateur, WordPress peut proposer de réattribuer ses contenus à un autre compte ; choisissez un responsable connu pour éviter de perdre la continuité éditoriale.
Avant de supprimer un compte, contrôlez également les connexions externes : comptes d’hébergement, SFTP, SSH, services de sauvegarde, DNS, outils d’analyse et plateformes de paiement. Une personne peut avoir perdu son rôle WordPress tout en conservant un accès direct aux fichiers ou à l’infrastructure. Sur certaines plateformes, l’accès SSH peut permettre d’utiliser la ligne de commande et d’interagir avec la base de données ; il doit être traité comme un accès distinct et puissant.
Sécuriser les comptes conservés
Pour chaque administrateur maintenu, exigez une adresse électronique contrôlée, un mot de passe unique et robuste et, lorsque le site le permet, une authentification à deux facteurs. Les comptes partagés compliquent l’attribution des actions : préférez un compte nominatif par personne. Si un administrateur quitte l’équipe, révoquez ses sessions et mettez à jour les secrets qu’il connaissait, notamment ceux des services externes.
Un changement de rôle peut affecter des fonctions d’extension. Procédez donc dans une fenêtre où l’équipe peut tester le site : connexion, publication, gestion des contenus et opérations métier. Si un problème apparaît, restaurez le rôle précédent le temps d’identifier la capacité manquante, au lieu d’accorder durablement des droits étendus à tout le monde.
Un registre simple peut contenir le nom du compte, son titulaire, sa fonction, le niveau d’accès, la date de validation et le responsable de l’approbation. Pour l’Atelier Boréal, cette liste permet de renouveler les confirmations chaque fois qu’un contrat ou une responsabilité change. Un compte oublié devient moins dangereux lorsqu’il est repéré, attribué à un responsable et traité selon une procédure claire.
Contrôler les capacités et corriger les permissions WordPress
Le rôle affiché dans le tableau de bord ne raconte pas toujours toute l’histoire. Une extension peut ajouter des capacités, modifier celles d’un rôle existant ou attribuer plusieurs rôles à une même personne. Un compte présenté comme éditeur peut ainsi disposer de droits supplémentaires. En cas d’accès inattendu, examinez les capacités effectives et les extensions de gestion des utilisateurs avant d’accuser le compte ou la plateforme.
Avec WP-CLI, une personne autorisée peut consulter les capacités associées à un utilisateur à l’aide de la commande wp user list-caps identifiant, en adaptant l’identifiant à l’installation. Cette vérification exige un accès SSH et des connaissances suffisantes : une commande exécutée sur le mauvais site ou avec un mauvais paramètre peut compliquer le diagnostic. Conservez une sauvegarde et vérifiez l’environnement avant toute intervention.
Réinitialiser un rôle avec prudence
Si les capacités du rôle standard ont été modifiées de manière accidentelle, WP-CLI permet, selon les commandes disponibles dans l’environnement, de réinitialiser un rôle avec wp role reset editor. Cette opération peut affecter toutes les personnes associées à ce rôle, pas seulement le compte en cours d’examen. Vérifiez donc les personnalisations légitimes et testez l’effet dans un environnement de préproduction lorsqu’il existe.
Une extension désinstallée peut laisser subsister un rôle personnalisé ou des capacités orphelines. Ne supprimez pas un rôle sur la seule base d’un nom inconnu : identifiez d’abord l’extension qui l’a créé et les utilisateurs qui le possèdent. La commande de suppression d’un rôle, telle que wp role delete nom_du_role, peut être irréversible sans sauvegarde et doit être suivie d’une réaffectation réfléchie des comptes concernés.
Ne pas confondre droits utilisateur et permissions de fichiers
Les capacités WordPress déterminent ce qu’un compte peut faire dans l’application ; les permissions de fichiers contrôlent l’accès du système aux dossiers et aux fichiers. Sur un hébergement WordPress classique, des valeurs telles que 755 pour les répertoires et 644 pour les fichiers sont souvent utilisées, mais l’hébergeur peut imposer une configuration différente. Sur WordPress.com, certains fichiers et dossiers gérés sont protégés et ne peuvent pas être modifiés par le client.
Modifier les permissions de fichiers au hasard peut provoquer des erreurs ou affaiblir la sécurité. Avant d’utiliser SFTP ou SSH, consultez la documentation de l’hébergeur et sauvegardez les données. Les accès techniques ne se limitent pas aux rôles du tableau de bord : partager des identifiants SSH peut accorder des pouvoirs bien plus larges qu’un rôle administrateur WordPress.
Si un utilisateur ne peut plus ouvrir une page d’administration, confirmez d’abord qu’il est connecté au bon compte et que son rôle convient. Désactivez temporairement, sur un site de test si possible, les extensions susceptibles de modifier les capacités afin de repérer un conflit. Le diagnostic doit isoler la cause avant de changer plusieurs couches de permissions à la fois.
Organiser un audit des comptes administrateurs récurrent
Un audit des comptes est plus efficace lorsqu’il devient une routine. Après un départ, la fin d’un contrat, une refonte ou une migration, vérifiez les administrateurs, les rôles personnalisés et les accès techniques. Pour un site stable, l’équipe peut fixer une revue périodique adaptée à son activité, par exemple à chaque trimestre ou à chaque changement important, sans attendre qu’une erreur d’accès révèle un compte oublié.
Lors de chaque revue, comparez la liste WordPress avec les personnes autorisées dans les outils d’hébergement et les services associés. Notez les comptes à confirmer, ceux à réduire et ceux à retirer. Une deuxième personne peut valider les changements sensibles, en particulier la suppression du seul administrateur opérationnel ou la modification d’un rôle partagé par plusieurs collaborateurs.
Une méthode de contrôle reproductible
- Exporter ou relever la liste des utilisateurs, en limitant la diffusion des données personnelles au strict nécessaire.
- Identifier chaque titulaire et faire confirmer sa mission par un responsable interne.
- Comparer les tâches et les droits : publication, gestion de boutique, maintenance ou administration technique.
- Examiner les rôles personnalisés et les capacités ajoutées par les extensions actives.
- Contrôler les accès hors WordPress, notamment hébergement, SFTP, SSH, sauvegardes et services tiers.
- Réduire ou retirer les permissions inutiles, puis tester les tâches essentielles avec les utilisateurs concernés.
- Consigner la décision et sa date, et prévoir une nouvelle vérification après les changements d’équipe.
Sur l’Atelier Boréal, l’audit conduit à transférer les contenus de l’ancien prestataire vers un compte éditorial interne, puis à révoquer ses accès après confirmation de la fin du contrat. Le compte générique, lui, n’est pas supprimé avant que le responsable technique ait vérifié qu’il ne sert pas à une intégration. Cette distinction évite à la fois de conserver un accès inutile et de casser un service utilisé.
Les erreurs d’accès ne proviennent pas toujours d’un rôle incorrect. Sur une plateforme hébergée, une offre peut limiter l’installation d’extensions ou certains réglages ; un fichier média trop volumineux, un format non pris en charge ou un espace de stockage saturé relève d’un autre diagnostic. Vérifiez le message précis, le forfait et la documentation de l’hébergeur avant de modifier les permissions.
De même, une page inaccessible ou une réponse 403 peut être liée à un site privé, à un mode de maintenance ou à une règle de sécurité, pas nécessairement à un compte administrateur défaillant. Testez l’accès avec un compte autorisé, contrôlez la visibilité du site et les extensions de restriction, puis rétablissez le réglage approprié. Une revue régulière transforme la sécurité WordPress en pratique de gestion plutôt qu’en intervention d’urgence.
Comment savoir si un compte administrateur WordPress est encore nécessaire ?
Associez le compte à une personne identifiée, puis comparez ses tâches actuelles aux capacités du rôle. S’il ne gère que les contenus, un rôle éditorial ou d’auteur peut suffire ; confirmez les besoins avant de modifier l’accès.
Faut-il supprimer immédiatement un compte administrateur inactif ?
Non. Vérifiez d’abord son titulaire, ses responsabilités, les contenus associés et les éventuelles dépendances. Si le compte n’est plus nécessaire, réattribuez les contenus utiles, révoquez les accès concernés et consignez l’opération.
Un rôle administrateur WordPress donne-t-il accès au serveur ?
Pas automatiquement. Les rôles du tableau de bord et les accès SFTP ou SSH sont distincts. Un accès SSH peut donner des pouvoirs étendus sur les fichiers, la base de données et les commandes disponibles ; gérez ces identifiants séparément.
Une extension peut-elle modifier les permissions d’un utilisateur ?
Oui. Certaines extensions ajoutent des rôles ou des capacités, ou modifient des rôles existants. Vérifiez les capacités effectives et testez les changements avant de retirer un rôle ou de désinstaller l’extension concernée.
À quelle fréquence faut-il réaliser un audit des comptes ?
Planifiez une revue selon le niveau de risque du site et répétez-la lors des départs, changements de prestataires, migrations ou incidents. L’essentiel est de conserver une liste à jour des titulaires, des rôles et des accès techniques.