Masquer une adresse de connexion peut réduire les sollicitations automatisées, mais ne remplace pas une authentification solide. Le guide de durcissement WordPress et la documentation de WPS Hide Login permettent d'organiser ces protections sans improviser une modification des fichiers système.
1. Préparer le retour et limiter les essais
Avant tout changement, vérifiez votre accès au gestionnaire de fichiers ou au SFTP de l'hébergement. Sauvegardez les fichiers et la base. Gardez votre session administrateur ouverte pendant les tests, avec un second navigateur pour simuler une nouvelle connexion.
Dans votre extension de sécurité existante, activez la limitation des tentatives si elle est disponible. Choisissez un blocage temporaire plutôt qu'un bannissement définitif pour le premier essai. Notez le seuil, la durée et la procédure de déblocage ; les noms des réglages dépendent de l'extension.
Effectuez le test avec un compte dédié sur une copie de test. Après le nombre d'échecs configuré, vérifiez le refus, puis le retour à une connexion normale après déblocage. Si tous les visiteurs apparaissent avec la même adresse IP derrière un proxy, faites corriger sa reconnaissance avant d'activer la règle en production.
Conservez des mots de passe uniques et activez une seconde étape d'authentification si votre solution la propose. Le changement d'URL ne protège pas un compte dont les identifiants ont été volés.
2. Fermer l'éditeur et déplacer le formulaire
Dans wp-config.php, avant le commentaire de fin de configuration, ajoutez cette constante, ou modifiez sa définition existante :
define( 'DISALLOW_FILE_EDIT', true );Reconnectez-vous et vérifiez l'absence des éditeurs de fichiers des thèmes et extensions. Cette restriction ne bloque pas toutes les possibilités d'installation ou de téléversement.
Pour changer l'adresse, utilisez une extension dédiée comme WPS Hide Login. Dans ses réglages, choisissez un chemin que vous consignerez dans votre gestionnaire de mots de passe. Ne renommez jamais manuellement wp-login.php.
Enregistrez, puis ouvrez la nouvelle adresse dans le second navigateur. Testez connexion, déconnexion et mot de passe oublié. Vérifiez aussi l'ancienne adresse en visite anonyme.
3. Tester la récupération et les exceptions
Avant de fermer votre première session, assurez-vous que la nouvelle connexion fonctionne réellement. Partagez son adresse avec les administrateurs concernés par un canal privé.
En cas de blocage lié au changement d'URL, désactivez WPS Hide Login depuis la session encore ouverte. Si elle n'est plus accessible, renommez uniquement son dossier dans wp-content/plugins via SFTP pour le désactiver, puis essayez l'adresse habituelle. Notez le nom initial pour pouvoir le rétablir.
Erreurs courantes : cumuler plusieurs extensions qui changent la connexion, mettre le formulaire en cache, ou déclencher les essais ratés sur son seul compte administrateur. Contrôlez également les espaces membres et les liens de récupération envoyés par email. Arrêtez le déploiement si ces parcours ne passent pas.
Sources : WordPress, WPS Hide Login.
Retrouvez-le dans nos publications
Les étapes clés de cet article, en carrousel. Suivez-nous pour découvrir les prochaines. Nos publications sont rédigées en anglais.