WP Admin Basic Auth for WordPress

Je l'utilise sur quelques sites clients où je suis paranoïaque à l'idée de robots aléatoires essayant de forcer brutalement la connexion wp. Ce n’est pas tape-à-l’œil, mais cela fait très bien une chose : verrouille le panneau d’administration avec une authentification de base avant même d’accéder à WordPress. Vous connaissez ce sentiment lorsque vous vous dites « mec, ma page de connexion est juste là grande ouverte » ? Ouais, ça arrête ça rapidement.

Les bonnes choses

C’est très simple. Installez, activez et boum : vous êtes invité à saisir un nom d'utilisateur et un mot de passe avant même de voir l'écran de connexion WordPress. Pas d'assistant de configuration, pas de paramètres bizarres. Juste un fichier texte brut (généralement .htpasswd) contenant les informations d'identification. Je l'ai utilisé sur un site de test qui était touché par des scanners automatisés toutes les quelques heures. Après son installation, les attaques se sont arrêtées net. C’est comme mettre une serrure sur la porte d’entrée d’une maison qui possède déjà un clavier.

Et honnêtement ? Le plugin n’essaie pas de faire autre chose. Pas de fonctionnalités supplémentaires, pas de widgets de tableau de bord, pas de suivi. C’est ce qui le rend digne de confiance. Ce n’est ni gonflé ni sommaire. Si vous souhaitez empêcher les gens de deviner votre URL d’administrateur, c’est une première étape solide. Comparé aux plugins de sécurité plus lourds livrés avec 30 paramètres et une demi-douzaine de bannières, cela semble d'une honnêteté rafraîchissante.

Le moins bon

Ce n’est pas vraiment convivial si vous n’êtes pas à l’aise avec l’édition de fichiers. Vous devez configurer manuellement le fichier .htpasswd, ce qui n'est pas intuitif pour les débutants. Il n'existe pas de formulaire intégré pour créer le mot de passe. Vous devez donc utiliser un générateur en ligne ou une ligne de commande. Et si vous gâchez le format de fichier, tout se brise silencieusement. Aucun message d'erreur. Juste "vous ne pouvez pas vous connecter".

De plus, comme il s’agit d’une couche d’authentification de base, elle ne fonctionne pas bien avec certains plugins de mise en cache ou CDN à moins que vous ne les configuriez correctement. J'ai dû modifier les règles de cache sur un site pour m'assurer que l'invite d'authentification n'était pas mise en cache. Ce n’est pas un problème, mais quelque chose à garder à l’esprit si vous utilisez une infrastructure sophistiquée.

Conclusion

Si vous exploitez un site WordPress et souhaitez empêcher les robots de marteler votre page de connexion, WP Admin Basic Auth pour WordPress est une option légère et gratuite qui fonctionne réellement. Ce n'est pas pour tout le monde, surtout si vous détestez toucher aux fichiers, mais si vous êtes d'accord avec une petite configuration, c'est un moyen fiable d'ajouter un mur supplémentaire entre votre site et Internet. Ça vaut le coup d'être téléchargé. Sérieusement.