Par défaut, WordPress utilise un mécanisme d’authentification à un seul facteur qui est le mot de passe.
Un mécanisme d’authentification à deux facteurs, également appelé authentification 2FA, TFA, requiert l’authentification de deux facteurs pour vous connecter.
Les deux facteurs sont un mot de passe et un code (one-time password) (OTP). Le mot de passe et le code ne sont connus que de l’utilisateur.
Le code est à usage unique, car il n’est valide que pendant une courte période, par exemple 30 secondes.
Vous l’aurez deviné, cette méthode d’authentification va considérablement améliorer la securité de votre site. Même en devinant votre mot de passe, un pirate ne pourra toujours pas se connecter, car il n’aura pas le code.
Pour installer une athenticiation à deux facteurs sur votre site wordpress, vous allez avoir besoin de deux choses.
1 : Une application mobile.
Je vous conseille l’application gratuite Google Authenticator
2 : Un plugin.
Je vous conseille un de ces deux plugins : Google Authenticator (gratuit) ou Updraftplus (version gratuite et payante)
Installer Google Authenticator sur WordPress
Téléchargez, installez et activez le plugin, puis rendez-vous sur le tableau de bord de wordpress, cliquez sur Réglages -> Google Authenticator.
Vous arrivez sur l’écran de configuration de Google Authenticator.
Cochez la case « ask for authenticator code on secondary login screen »
Sélectionnez le type d’utilisateur qui devra utiliser les deux facteurs d’authentification. Dans notre exemple, j’ai seulement sélectionné admin, cliquez ensuite sur « Enregistrer les modifications ».
Prochaine étape, l’écran des réglages, vous pouvez voir une clé secrète et un QRcode correspondant à cette clé.
Il est temps de lancer votre application mobile et de scanner le QRcode ou de rentrer manuellement la clé secrète.
Dès que vous scannez le code-barres ou entrez la clé secrète, la description de votre blog WordPress apparaît dans Google Authenticator.
Il affichera une chaîne aléatoire de 6 chiffres avec un compteur reglé sur 1 minute (c’est le temps de validité du code) qui est le code d’identification.
Retournez sur wordpress, entrez le code dans le champ « Authenticator Code » puis cliquez sur « verify athenticator code ». C’est fait !
Votre application est reliée à votre site et dorénavant à chaque fois que vous voudrez vous connecter à votre site wordpress, vous recevrez un code sur votre smartphone. Il vous faudra rentrer ce code pour pouvoir accéder à l’administration du site.
Que faire si vous perdez votre téléphone et ne pouvez plus recevoir le code de connexions ?
C’est très simple : vous vous connectez au compte ftp de votre site WordPress, allez ensuite dans : WordPress -> wp-content –> plugins et supprimez le dossier : google-authenticator.
