Trois ans. C’est le temps qu’il aura fallu pour que quelqu’un trouve la petite porte que j’avais déplacée sur mon site.
Dimanche 4 octobre, mon outil de surveillance m’a remonté cinq tentatives de connexion ratées. Cinq adresses IP différentes, le tout en moins de trois minutes. Un visiteur qui se trompe de mot de passe, ça arrive. Cinq machines qui frappent à la même porte à la suite, en revanche, ce n’est pas un hasard : c’est quelqu’un qui teste la poignée.
La porte de service
Sur un WordPress, l’accès à l’administration se trouve par défaut au même endroit pour tout le monde : /wp-admin. Autant dire que c’est la première adresse que les robots essaient.
Il y a trois ans, j’avais donc fait simple : j’ai déplacé cette entrée vers un autre chemin, /jemeconnect. Pas une ligne de code. Une extension gratuite, WPS Hide Login, et dix secondes de réglage : vous choisissez l’adresse, elle remplace /wp-admin.
C’est comme déplacer l’entrée du personnel d’une boutique. La porte existe toujours, elle n’est simplement plus là où tout le monde la cherche. Et ça a marché pendant trois ans.
Ce qui a tenu
Une porte cachée finit toujours par être trouvée. C’est pour ça qu’elle ne travaillait pas seule. Derrière, WP Login Lockdown (de son nom complet Login Lockdown & Protection) limite les tentatives de connexion et bloque ceux qui insistent. Il fait partie des extensions que j’installe d’office pour protéger un site, et il a fait exactement son travail : les cinq essais se sont cassé le nez.
La leçon tient en une phrase : cacher l’entrée vous fait gagner du temps, c’est le verrou derrière qui vous protège.
Et maintenant ?
La porte est grillée, donc on la déplace à nouveau. Il me reste à choisir une nouvelle adresse de connexion pour le site. Et cette fois, je la garde pour moi.
Sources
- WPS Hide Login, extension WordPress — https://wordpress.org/plugins/wps-hide-login/
- Login Lockdown & Protection, extension WordPress — https://wordpress.org/plugins/login-lockdown/