Wordpress continue sa lutte dans la protection des comptes stockés dans son écosystème et compte apporter des modifications capitales au niveau de ses plugins et de ses thèmes.
WordPress : L’authentification à deux facteurs devient obligatoire à partir de cette date
Par Aghiles Slamani
Modifié le 17/09/2024 à 13 h 34 min
À partir du 1er octobre, la plateforme WordPress renforcera davantage la sécurité des comptes administrateurs en introduisant de nouvelles exigences de sécurité visant à protéger les utilisateurs des tentatives d'intrusion. En quoi consistent ces changements ? Où peut-on les effectuer ?
WordPress : l'A2F désormais obligatoire
Pour rappel, WordPress est non seulement un système de gestion de contenu (CMS) open source, mais aussi un outil de blog ainsi qu’une plateforme de publication qui permet aux utilisateurs de créer et gérer leurs sites web. De nombreux utilisateurs ont donc accès à une large bibliothèque de plugins, permettant la personnalisation de leurs espaces et l’inclusion de diverses fonctionnalités.
Afin de prévenir les intrusions, WordPress activera l’authentification à deux facteurs (A2F) dès le 1er octobre pour l’ensemble des comptes disposant d’un accès administrateur. Les administrateurs devront donc se rendre sur leur profil, dans la section « Edition ». Une fois cela fait, il suffit de cliquer sur l’onglet Compte et sécurité > Clé de sécurité à deux facteurs > Enregistrer une nouvelle clé, et de saisir un nom de clé dans le champ dédié avant d’enregistrer. Il ne restera ensuite qu’à suivre les instructions affichées sur le navigateur pour ajouter la clé de sécurité.
WordPress rappelle aux utilisateurs de s’assurer de stocker leurs codes de sauvegarde en toute sécurité, car si l’accès à l’A2F est compromis, le processus de récupération peut être complexe. Plus d'informations sur la configuration de l'A2F pourront être trouvées sur cette page.
Un changement même au niveau des scripts externes
WordPress a ajouté des mots de passe spécifiques à Subversion (SVN) qui permettent aux utilisateurs de mieux séparer l’accès aux modifications de code des informations d’identification du compte principal. « Ce mot de passe fonctionne comme un mot de passe d’application ou de compte utilisateur supplémentaire. Il protège votre mot de passe principal de toute divulgation et vous permet de révoquer facilement l’accès SVN sans avoir à modifier vos identifiants WordPress.org », précise le site dans son billet de blog.
Les auteurs de plugins utilisant des scripts de déploiement tels que « Github Actions » devront mettre à jour leurs scripts pour utiliser les nouveaux mots de passe spécifiques à SVN. Pour éditer un mot de passe SVN, il suffit de :
- Se connecter et accéder à son profil.
- Accéder à l’onglet Compte et sécurité.
- Cliquer sur Informations d’identification SVN puis sur Générer un mot de passe.
Plus d’informations sur la configuration d’un SVN pourront être trouvées dans cette rubrique.