En 2025, selon les données de Wordfence, plus de 90 milliards de tentatives de connexion malveillantes sont bloquées chaque mois sur les sites WordPress dans le monde. La grande majorité de ces attaques par force brute testent en priorité le couple admin / mot de passe courant. Si votre site utilise encore « admin » comme identifiant, vous êtes une cible idéale.
Pourquoi « admin » est-il aussi risqué ?
WordPress créait historiquement un compte « admin » par défaut lors de l’installation. Bien que ce comportement ait été supprimé depuis plusieurs versions, des millions de sites anciens conservent encore cet identifiant. Les bots d’attaque automatisés le savent parfaitement.
Utiliser « admin » comme identifiant, c’est offrir la moitié du travail à un attaquant. Il ne lui reste plus qu’à trouver le mot de passe — une tâche considérablement accélérée par les outils modernes capables de tester des milliers de combinaisons par minute.
Comment changer son identifiant administrateur ?
WordPress ne permet pas de modifier directement un identifiant depuis l’interface. Voici la procédure correcte :
- Créez un nouvel utilisateur avec un rôle Administrateur et un identifiant unique.
- Connectez-vous avec ce nouvel utilisateur.
- Réattribuez tous les articles et contenus au nouvel utilisateur lors de la suppression de l’ancien compte.
- Supprimez le compte « admin » d’origine.
Les 3 règles d’or pour un compte admin sécurisé
- Identifiant non devinable : évitez prénom, nom, nom du site ou toute information publiquement accessible.
- Mot de passe fort et unique : au minimum 16 caractères, avec majuscules, chiffres et caractères spéciaux. Utilisez un gestionnaire comme Bitwarden ou 1Password.
- Authentification à deux facteurs (2FA) : même avec des identifiants compromis, le 2FA bloque l’accès. Des plugins comme WP 2FA ou Two Factor (plugin officiel WordPress) permettent de l’activer en quelques minutes.
Aller plus loin : limiter les tentatives de connexion
Changer d’identifiant est nécessaire, mais pas suffisant. Couplé à une limitation des tentatives de connexion (via Limit Login Attempts Reloaded ou le firewall de Wordfence), vous réduisez drastiquement la surface d’attaque. Configurez un blocage après 3 à 5 tentatives échouées, avec une durée de blocage progressive.
