Authentification à deux facteurs WooCommerce au style de votre boutique
Avec ReportedIP Hive, l’authentification à deux facteurs pour WooCommerce demande le second facteur aux clients sur une page au style de votre boutique, et non sur l’écran de connexion brut de WordPress. Elle couvre la connexion de Mon compte, le paiement classique et le paiement en blocs, et renvoie les clients directement là où ils étaient.
Ce guide explique quelles connexions sont protégées, ce que voient les clients, comment ils s’inscrivent et comment activer la fonction. Elle fait partie de la formule Professional. L’interface de Hive est en anglais, les libellés sont donc cités tels qu’ils s’affichent.
Pourquoi la 2FA WordPress classique nuit-elle à une boutique WooCommerce ?
La plupart des extensions 2FA font passer chaque connexion par wp-login.php. Pour une boutique, cela signifie qu’un client qui se connecte au moment du paiement se retrouve soudain sur un écran WordPress gris avec un autre logo, puis doit retrouver le chemin du panier. Les comptes clients méritent d’être protégés, car ils contiennent adresses, historiques de commande et souvent des références de paiement enregistrées, mais un second facteur qui ressemble à un autre site fait abandonner l’achat ou éveille la méfiance.
Quelles connexions WooCommerce sont protégées ?
| Connexion | Second facteur |
|---|---|
| Connexion de Mon compte | Page de vérification au style de la boutique |
| Connexion au paiement classique | Page de vérification au style de la boutique, puis retour au paiement |
| Connexion au paiement en blocs | Page de vérification au style de la boutique, puis retour au paiement |
| wp-login.php, par exemple pour le personnel | La vérification WordPress standard |
Seules les connexions qui commencent dans WooCommerce sont envoyées vers la page au style de la boutique. Le personnel qui se connecte par wp-admin garde la vérification normale : un même site sert donc les deux groupes sans configuration supplémentaire.
Ce que voient les clients lors de la connexion
Après le bon mot de passe, le client arrive sur une page de vérification dédiée qui charge la feuille de style de votre thème : polices et couleurs correspondent à la boutique. Elle affiche les méthodes que le client a configurées, l’option de faire confiance à l’appareil et un retour vers la connexion. Pour un code par e-mail, rien n’est envoyé tant que le client n’a pas cliqué sur Send code by email.
Après la vérification, le client revient à Mon compte ou, si la connexion a eu lieu pendant le paiement, au paiement. Le panier reste tel quel, car la vérification ne touche pas à la session WooCommerce.
Comment les clients configurent leur second facteur
Les clients et abonnés tenus d’utiliser un second facteur sont guidés vers une page de configuration dans la boutique, au lieu d’être envoyés dans wp-admin. La page les mène du choix de la méthode au scan du QR code ou à l’enregistrement d’une passkey, puis à la sauvegarde des codes de récupération. Une fois une méthode active, la page renvoie le client vers Mon compte.
Les clients disposent des mêmes méthodes que le personnel : une application d’authentification, une passkey ou clé de sécurité et un code par e-mail dans toutes les formules, plus des codes SMS via le relais européen à partir de la formule Professional en mode Community Network. Codes de récupération et appareils de confiance fonctionnent comme sur wp-login.php, et un appareil approuvé au paiement l’est aussi lors de la connexion suivante par wp-login.php.
Comment activer la 2FA WooCommerce
- Ouvrez Protection, carte Two-Factor Authentication.
- Activez Two-factor authentication enabled si ce n’est pas déjà fait.
- Activez Themed second factor on the storefront.
- Sous Roles required to use 2FA, cochez Customer si chaque client doit utiliser un second facteur. Sans cela, les clients peuvent s’inscrire sans y être obligés.
- Enregistrez et testez le parcours avec un compte client de test.
Le mode expert, dans l’en-tête de la page, affiche d’autres options pour les boutiques : si les clients peuvent refuser la 2FA, si les utilisateurs de la boutique sont envoyés vers la page de configuration au style de la boutique, et les adresses des pages de vérification et de configuration si vous voulez les vôtres.
Déployer la 2FA auprès des clients existants
- Commencez en facultatif : activez l’option boutique mais laissez le rôle Customer décoché, pour que les clients s’inscrivent sans pression.
- Annoncez-le dans votre newsletter ou la confirmation de commande, en une phrase expliquant que cela protège leurs adresses et commandes enregistrées.
- Suivez la page 2FA Status avec le filtre de rôle sur Customer pour voir combien ont configuré une méthode.
- Quand la plupart des clients réguliers sont inscrits, cochez le rôle Customer. Le délai de grâce laisse aux autres le temps de configurer une méthode avant que la connexion ne l’exige.
Protéger d’abord les gérants de boutique
Les gérants de boutique voient chaque commande et chaque client : leurs comptes sont la cible la plus précieuse. Cochez le rôle Shop manager sous Roles required to use 2FA avant de vous occuper des comptes clients. Le personnel se connecte par wp-admin et reçoit la vérification standard ; une passkey ou une application d’authentification est la bonne méthode pour lui.
Ce qui se passe en cas de passage à une formule inférieure
Les pages au style de la boutique sont une fonction de la formule Professional. Si le site passe à une formule inférieure, les connexions WooCommerce reviennent à la vérification WordPress standard. Les clients qui ont déjà configuré un second facteur le conservent et peuvent toujours se connecter : personne n’est bloqué parce qu’un abonnement a pris fin.
Aider les clients qui ont perdu leur téléphone
Un client qui a perdu son téléphone se connecte avec l’un des codes de récupération sauvegardés lors de la configuration. S’ils ont disparu eux aussi, un administrateur de la boutique réinitialise le second facteur de ce compte, par exemple avec wp reportedip 2fa reset <user_id>, et le client configure une nouvelle méthode à la connexion suivante. Mentionnez les codes de récupération dans votre e-mail de bienvenue : cette seule phrase évite la plupart des demandes de support.
Questions sur l’authentification à deux facteurs pour WooCommerce
La 2FA au paiement fait-elle perdre des ventes ?
La vérification n’apparaît que lorsqu’un client se connecte, pas pour un achat en tant qu’invité, et la page garde l’apparence de la boutique. Après le code, le client revient au paiement avec son panier inchangé. Grâce aux appareils de confiance, les clients réguliers ne voient la deuxième étape que de temps en temps sur leurs propres appareils.
Les clients peuvent-ils utiliser une passkey au lieu d’un code ?
Les clients peuvent enregistrer lors de la configuration une passkey comme Face ID, Touch ID ou Windows Hello et confirmer avec elle la connexion à Mon compte et au paiement. C’est l’option la plus rapide pour les clients et elle résiste à l’hameçonnage, car la passkey ne fonctionne que sur le vrai domaine de votre boutique.
La 2FA WooCommerce est-elle disponible dans la formule gratuite ?
La vérification au style de la boutique fait partie de la formule Professional. Dans la formule gratuite, les clients peuvent tout de même utiliser la 2FA, mais la vérification apparaît sur la page standard wp-login.php. La détection des attaques contre les connexions WooCommerce est incluse dans toutes les formules.
Dois-je obliger chaque client à utiliser la 2FA ?
Non, l’obligation est un choix. Cochez le rôle Customer sous Roles required to use 2FA pour la rendre obligatoire, ou laissez-le décoché pour que les clients s’inscrivent librement. Beaucoup de boutiques commencent en facultatif et la rendent obligatoire plus tard, une fois que les clients connaissent la fonction.
Pour aller plus loin
- Toutes les méthodes 2FA de Hive
- Les passkeys pour WordPress
- Le relais e-mail et SMS pour la 2FA
- Le Hardening Mode sous attaque
La documentation de Hive détaille la connexion WooCommerce en frontend et l’authentification à deux facteurs.