Authentification à deux facteurs pour WordPress avec application, passkey ou YubiKey
Dans ReportedIP Hive, l’authentification à deux facteurs pour WordPress propose quatre méthodes intégrées à l’extension : une application d’authentification, une passkey ou clé de sécurité, un code par e-mail et un code par SMS. Application, passkey et e-mail sont gratuits dans toutes les formules : aucun compte administrateur n’a à se reposer sur un simple mot de passe.
Ce guide montre comment activer la 2FA sur votre site, comment les utilisateurs s’inscrivent, à quoi ressemble la connexion et comment suivre qui est protégé. D’autres guides approfondissent les passkeys et la configuration d’une YubiKey. L’interface de Hive est en anglais, les libellés sont donc cités tels qu’ils s’affichent.
Pourquoi WordPress a-t-il besoin de l’authentification à deux facteurs ?
Les mots de passe fuient, sont réutilisés et se devinent. Une fois qu’un attaquant détient le mot de passe d’un administrateur, WordPress lui cède tout : extensions, utilisateurs, contenus et souvent le serveur derrière. Un second facteur ferme cette porte, car le mot de passe volé ne suffit plus à se connecter. Les NIST Digital Identity Guidelines (SP 800-63B) présentent l’authentification multifacteur comme le socle de tout compte doté de droits étendus.
Quelles méthodes 2FA ReportedIP Hive prend-il en charge ?
| Méthode | Fonctionnement | Formule |
|---|---|---|
| Authenticator app | Une application comme Google Authenticator, Microsoft Authenticator ou 1Password affiche un nouveau code à 6 chiffres toutes les 30 secondes, même sans réseau mobile | Free |
| Passkey or security key | Une empreinte, le visage ou une clé matérielle comme une YubiKey confirme la connexion, et uniquement sur la vraie page de connexion | Free, une clé par compte |
| Email code | Un code à 6 chiffres part vers l’adresse e-mail du compte | Free |
| Text message (SMS) | Un code à 6 chiffres part vers le téléphone mobile, acheminé par le relais européen | Professional |
Les utilisateurs peuvent configurer plusieurs méthodes. Celle définie par défaut est demandée en premier ; toute autre méthode active reste disponible comme alternative sur l’écran de connexion. Plusieurs clés de sécurité par compte, par exemple une clé de secours dans un coffre, font partie de la formule Business.
Codes de récupération et appareils de confiance complètent chaque méthode
Chaque utilisateur reçoit 10 codes de récupération à usage unique pour le jour où le téléphone est perdu ou la clé oubliée à la maison. Le profil avertit quand il n’en reste que peu et en propose de nouveaux avec Generate new recovery codes. Sur l’écran de connexion, Trust this device dispense du second facteur dans ce navigateur pendant un nombre de jours défini, et Revoke all devices dans le profil met fin à toutes les confiances d’un coup.
Comment activer la 2FA sur votre site WordPress
Ouvrez Protection, carte Two-Factor Authentication. La vue normale comporte trois réglages :
- Two-factor authentication enabled est l’interrupteur principal. Désactivé, personne ne doit fournir de second facteur.
- Roles required to use 2FA liste les rôles qui doivent s’inscrire. Tous les autres peuvent le faire et y sont invités.
- Themed second factor on the storefront interroge les clients WooCommerce dans votre thème au lieu de wp-login.php, avec la formule Professional.
Le mode expert, dans l’en-tête de la page, ajoute les réglages plus fins : Allowed 2FA methods, le 2FA grace period (days) dont dispose un utilisateur obligé avant l’application, le Maximum onboarding skips, la durée de vie des appareils de confiance et l’exigence de la 2FA lors de la réinitialisation du mot de passe. Le démarrage rapide active déjà la 2FA pour les administrateurs avec un délai de grâce de 7 jours : sur une installation neuve, il suffit en général d’ajouter d’autres rôles.
Comment les utilisateurs configurent leur second facteur
Un utilisateur tenu de s’inscrire arrive, après sa prochaine connexion, dans une configuration guidée qui le mène du choix de la méthode au scan du QR code ou à l’enregistrement de la clé, puis à la sauvegarde des codes de récupération. La même chose se fait à tout moment dans le profil WordPress, section Your sign-in methods : chaque méthode a un bouton Set up, le gestionnaire de clés se trouve sous Security keys & passkeys, et Make default choisit la méthode demandée en premier à la connexion.
À quoi ressemble la connexion avec la 2FA
Après le bon mot de passe, WordPress affiche la page Verification required avec un onglet par méthode active. Pour l’application, l’utilisateur tape le code du moment. Pour une passkey ou une clé, le navigateur ouvre sa propre fenêtre. Pour l’e-mail et le SMS, l’utilisateur clique d’abord sur Send code by email ou Send code by SMS : aucun code n’est envoyé tant que personne ne le demande. L’onglet de récupération accepte l’un des codes sauvegardés.
Les codes erronés sont freinés par un délai croissant et, s’ils continuent, entraînent le blocage de l’adresse. Deviner un code à 6 chiffres n’est donc pas une voie d’entrée praticable.
Suivre qui est protégé
La page 2FA Status montre d’un coup d’œil combien d’utilisateurs ont la 2FA, combien ne l’ont pas, qui est encore dans le délai de grâce, qui a épuisé ses reports et à qui il reste peu de codes de récupération. Le tableau en dessous liste chaque utilisateur avec son rôle, ses méthodes, ses codes de récupération restants et son statut, et se filtre par statut, méthode et rôle.
User status CSV exporte ce tableau dans toutes les formules, pour un audit ou un rapport client. Le CSV du journal d’audit avec chaque événement 2FA fait partie de la formule Business.
Le contrôle à la réinitialisation ferme la porte dérobée de l’e-mail
Le lien « mot de passe oublié » est le moyen classique de contourner la 2FA : qui contrôle la boîte mail reçoit le lien de réinitialisation et, avec la 2FA par e-mail, le code aussi. Hive exige donc un second facteur qui n’est pas l’e-mail avant d’accepter un nouveau mot de passe : un code d’application, un code SMS, une clé de sécurité ou un code de récupération. Si un utilisateur n’en a aucun, la réinitialisation est refusée et l’administrateur reçoit un e-mail, au lieu que l’utilisateur tourne en rond avec des codes invalides.
Passkeys et clés matérielles en bref
Une passkey ou une clé de sécurité est le seul second facteur qui résiste à l’hameçonnage, car la clé refuse de signer pour un domaine imité. Hive prend en charge les passkeys de plateforme comme Face ID, Touch ID et Windows Hello ainsi que les clés matérielles FIDO2 comme la série YubiKey 5, en USB et en NFC, sur wp-login, sur la boutique WooCommerce et au contrôle de réinitialisation. Une clé de sécurité copiée hors de son matériel est détectée et la connexion refusée. Les guides sur les passkeys pour WordPress et sur la YubiKey 5C NFC détaillent la configuration et le dépannage.
WP-CLI et REST pour les agences et les connexions sur mesure
Les administrateurs disposant d’un accès shell gèrent la 2FA avec wp reportedip 2fa : status, enforce --role=editor, reset <user_id> pour un compte bloqué et audit pour une vue d’ensemble. Les parcours de connexion headless et sur mesure utilisent l’espace de noms REST reportedip-hive/v1 avec les routes /2fa/challenge, /2fa/verify et /2fa/methods pour les méthodes à code ; les passkeys ont besoin du navigateur et restent sur la page de connexion normale.
Questions sur l’authentification à deux facteurs dans WordPress
Quelle méthode 2FA les administrateurs doivent-ils utiliser ?
Une passkey ou une clé de sécurité matérielle offre la meilleure protection, car elle ne peut être ni hameçonnée ni lue sur un écran. Une application d’authentification est le meilleur choix suivant et fonctionne hors ligne. Les codes par e-mail sont pratiques mais partagent leur canal avec la réinitialisation du mot de passe : gardez-les comme solution de secours plutôt que comme seule méthode.
Que se passe-t-il si un utilisateur perd son téléphone ?
L’utilisateur se connecte avec l’un des 10 codes de récupération et configure le nouveau téléphone dans son profil. Si les codes sont perdus eux aussi, un administrateur réinitialise le second facteur de cet utilisateur avec la commande WP-CLI, et l’utilisateur s’inscrit de nouveau à la connexion suivante.
Puis-je exiger la 2FA uniquement pour les administrateurs et les éditeurs ?
Cochez exactement ces rôles sous Roles required to use 2FA. Les utilisateurs des autres rôles sont invités à s’inscrire sans y être obligés. Le délai de grâce laisse aux utilisateurs concernés le temps de configurer une méthode avant que la connexion ne l’exige, et la page 2FA Status montre qui manque encore.
La 2FA fonctionne-t-elle avec les comptes clients WooCommerce ?
Avec la formule Professional, Themed second factor on the storefront demande aux clients leur second facteur sur Mon compte et au paiement, dans votre thème. Les clients ne voient jamais wp-login.php, et les mêmes méthodes, codes de récupération et appareils de confiance s’appliquent que pour les comptes du personnel.
Pour aller plus loin
- La 2FA WooCommerce dans votre thème
- Le relais e-mail et SMS pour la 2FA
- Le démarrage rapide de Hive
- Le blocage IP progressif
La documentation de Hive détaille l’authentification à deux facteurs, les clés de sécurité matérielles et les routes REST de la 2FA headless.