Modifier l’URL de connexion WordPress (/wp-login.php ou /wp-admin) est souvent présenté comme un geste de sécurité indispensable. La réalité est un peu plus nuancée. C’est une mesure utile — mais elle est fréquemment survalorisée, et surtout, elle ne remplace pas les fondamentaux.
Ce que cette mesure apporte réellement
La grande majorité des attaques par force brute sur WordPress sont automatisées. Des bots scannent en permanence le web à la recherche de pages /wp-login.php accessibles pour y tenter des milliers de combinaisons identifiant/mot de passe. Changer cette URL élimine ce vecteur d’attaque de masse — les bots génériques passent à autre chose.
C’est une technique de sécurité par l’obscurité (security through obscurity). Elle réduit le bruit et les tentatives automatisées, mais n’offre aucune protection contre un attaquant ciblé et déterminé qui peut retrouver l’URL par d’autres moyens.
Comment le faire correctement
La méthode la plus simple et la plus sûre passe par un plugin dédié :
- WPS Hide Login : plugin léger, +4 millions d’installations actives, très simple à configurer.
- Solid Security (ex iThemes Security) : solution plus complète qui inclut cette fonctionnalité parmi d’autres mesures de durcissement.
⚠️ Attention avant de modifier : notez la nouvelle URL dans un endroit sûr. Si vous la perdez et que votre cache ou votre hébergeur a des règles de redirection, vous pourriez vous retrouver bloqué hors de votre propre administration.
Ce que cette mesure ne remplace pas
- Un mot de passe fort : une URL cachée avec un mot de passe faible reste vulnérable.
- L’authentification à deux facteurs (2FA) : c’est la vraie barrière contre les accès non autorisés, même si l’URL est connue.
- Un identifiant non prévisible : si vous utilisez encore « admin », l’URL masquée n’apporte qu’une protection partielle.
- La limitation des tentatives : un firewall qui bloque les IPs suspectes est plus robuste que l’obscurité seule.
Notre recommandation
Masquer l’URL de connexion est une bonne mesure complémentaire — rapide à mettre en place, sans impact sur les performances, qui réduit significativement le volume d’attaques automatisées. Mais elle doit s’inscrire dans un ensemble : identifiant robuste, mot de passe fort, 2FA, et firewall actif. Seule, elle ne suffit pas.
