No Login by Email Address for WordPress

Je gère quelques sites WordPress depuis des années et je vois toujours des gens dire « oh ouais, j'utilise juste mon e-mail pour me connecter ». Ce n’est pas comme ça que je roule. Cela semble trop facile à deviner ou à hameçonner. Alors, quand j’ai vu ce plugin No Login by Email Address pour WordPress, je me suis dit pourquoi ne pas l’essayer ? Je l'ai installé sur un site de test et boum - du coup, vous ne pouvez plus vous connecter avec un e-mail. Vous devez utiliser votre nom d'utilisateur. Aussi simple que ça.

Les bonnes choses

En fait, cela fonctionne exactement comme indiqué. Pas de peluches, pas de gonflement du tableau de bord. Après l'activation, le formulaire de connexion change automatiquement - l'étiquette indique « Nom d'utilisateur » au lieu de « E-mail ou nom d'utilisateur », ce qui est une touche agréable. Je l'ai testé avec un vrai compte utilisateur, et ils ont reçu le message haut et fort : "Utilisez votre nom d'utilisateur". Aucune confusion. Et comme cela ne repose pas sur les e-mails, vous éliminez un vecteur d’attaque courant. Si quelqu’un essaie de forcer votre connexion, il ne peut plus simplement spammer des e-mails aléatoires. Petite victoire, mais ça s'additionne.

Le moins bon

Oui, c'est gratuit, mais cela comporte des mises en garde. Inconnu du développeur, aucun téléchargement répertorié, aucun journal des modifications. Ce n’est pas un problème, mais cela me fait réfléchir. De plus, si vous avez des utilisateurs habitués à se connecter avec leur courrier électronique (ce qui est le cas de la plupart des gens), ils seront confus au début. Un ami a essayé de se connecter et a dit « attendez, quel est mon nom d’utilisateur ? genre de chose. Ce n’est pas un gros problème, mais c’est quelque chose que vous devez communiquer. Et honnêtement, si vous utilisez déjà l’authentification à deux facteurs, cela ressemble plus à un pansement qu’à une solution. Cela n’arrêtera pas les pirates informatiques déterminés, mais cela rendra les tentatives occasionnelles un peu plus difficiles.

Conclusion

Si vous êtes paranoïaque à propos des fuites de connexion de base et que les petites frictions pour les utilisateurs ne vous dérangent pas, ce plugin No Login by Email Address pour WordPress est un moyen léger de resserrer les choses. Ce n’est pas tape-à-l’œil, mais il fait ce qu’il promet. Gratuit, simple et suffisamment efficace pour la plupart des sites. Informez simplement vos utilisateurs à l'avance, sinon ils regarderont l'écran en se demandant pourquoi leur messagerie ne fonctionne pas. Cela vaut la peine d’être téléchargé si vous souhaitez effectuer des ajustements de sécurité minimes.