Google Authenticator for iPhone

Je l'utilise sur mon blog personnel depuis un an maintenant, et honnêtement ? C’est une de ces choses qu’on ne manque pas jusqu’à ce qu’elle disparaisse. J'en avais assez de me faire pirater tous les quelques mois par des attaques par force brute. La première fois que quelqu'un s'est connecté pendant que je dormais et a posté un commentaire de spam étrange… ouais, c'était le signal d'alarme. Maintenant? Fini les connexions aléatoires. Juste moi et mon téléphone.

Les bonnes choses

L’installation a été un jeu d’enfant. Si vous avez déjà utilisé Google Authenticator, comme pour Gmail ou Dropbox, vous savez déjà comment cela fonctionne. Scannez le QR code, saisissez le code à 6 chiffres, c'est fait. Il s’intègre parfaitement dans le flux de connexion WordPress. J'aime le fait que cela me permette d'activer 2FA par utilisateur. Mon éditeur n’en a pas besoin, mais moi si. Permet de garder les choses flexibles sans exclure les gens.

Et la fonction de mot de passe de l'application ? Ce n'est pas quelque chose que j'utilise souvent, mais cela m'a sauvé lorsque mon application mobile ne parvenait pas à se synchroniser. J'ai généré un mot de passe pour l'application, et boum, cela a fonctionné. C’est le genre de chose qui permet à votre site de rester utilisable sans trop sacrifier la sécurité.

Le moins bon

Voici le problème : si vous ne faites pas attention, l’activation des mots de passe des applications peut ouvrir une porte dérobée. Je ne le recommanderais que si vous en avez vraiment besoin pour un accès XMLRPC ou des applications mobiles. Sinon, restez simplement avec la configuration 2FA habituelle. De plus, aucune option de sauvegarde si vous perdez votre téléphone. Vous êtes bloqué à moins que vous n’ayez un code de récupération prêt. Et il n’y a aucune mention de codes de récupération dans la documentation du plugin, alors assurez-vous d’en écrire un dans un endroit sûr.

Oh, et le plugin n’est pas vraiment flashy. Cela ne vous crie pas « sécurité ». Mais là encore, c’est un peu le point. Cela fonctionne simplement en arrière-plan. Néanmoins, si vous débutez avec 2FA, la configuration peut sembler un peu technique. Pas de prise en main, juste un guide rapide.

Conclusion

Si vous gérez un site WordPress et souhaitez une réelle sécurité sans trop compliquer les choses, Google Authenticator pour iPhone pour Wordpress est solide. C’est gratuit, fiable et fonctionne exactement comme l’application d’authentification que vous utilisez probablement déjà. Pour tous ceux dont le site a été piraté une fois, il s’agit d’une récompense sans effort et très récompensée. Téléchargez-le. Configurez-le. N'attendez pas le prochain hack. Ce n’est pas compliqué, mais ça fait le travail. Cela en vaut la peine.