Passkeys WordPress : sécuriser les accès sans friction

L’accès à l’administration WordPress est une cible évidente : il permet de publier du contenu, de modifier les réglages, d’installer des extensions ou, dans certains cas, d’accéder à des données personnelles. Pour un indépendant, un cabinet ou une petite équipe, un compte administrateur compromis peut rapidement devenir un problème opérationnel autant qu’un incident de sécurité.

Les mots de passe restent très présents, mais ils cumulent des défauts connus : ils peuvent être faibles, réutilisés entre plusieurs services, divulgués dans une fuite de données ou saisis sur une fausse page de connexion. Les passkeys, aussi appelées clés d’accès, proposent une autre approche : s’authentifier avec l’empreinte digitale, la reconnaissance faciale, le code de verrouillage de l’appareil ou une clé de sécurité physique.

Ce n’est pas une raison pour activer une nouvelle technologie sans préparation. Dans WordPress, la sécurité doit rester compréhensible, maintenable et compatible avec les habitudes réelles de l’équipe. L’objectif n’est pas d’ajouter une couche technique de plus : il est de mieux protéger les accès sensibles, sans transformer chaque connexion en parcours compliqué.

Pourquoi les mots de passe restent le point faible des sites WordPress

Un mot de passe robuste est utile, mais il ne suffit pas toujours. Sa sécurité dépend du comportement de chaque personne qui possède un compte : choix du mot de passe, absence de réutilisation, stockage correct, vigilance face aux e-mails frauduleux et aux pages d’imitation. C’est une responsabilité importante à faire porter à une équipe qui a avant tout besoin de gérer son activité et ses contenus.

Les scénarios les plus courants sont rarement spectaculaires. Un même mot de passe peut avoir été utilisé sur un ancien service victime d’une fuite. Une personne peut le transmettre par e-mail ou messagerie. Un collaborateur peut aussi valider trop vite une page qui ressemble à l’écran de connexion WordPress habituel. Le phishing reste particulièrement efficace parce qu’il exploite la confiance et l’urgence, pas seulement une faiblesse technique.

Pour un site WordPress, les comptes à privilèges méritent une attention particulière :

• les administrateurs, qui peuvent modifier les extensions, les thèmes et les réglages globaux ;
• les éditeurs, qui peuvent publier ou modifier des contenus visibles ;
• les comptes techniques utilisés par une agence, un prestataire ou un hébergeur ;
• les comptes anciens, créés pour un besoin ponctuel et jamais supprimés.

La double authentification (2FA) constitue déjà une amélioration nette : après le mot de passe, un second facteur est demandé. Une application d’authentification compatible TOTP, telle qu’Aegis, Microsoft Authenticator ou Google Authenticator, est généralement préférable au SMS, qui est plus exposé à certains détournements. Des extensions WordPress comme WP 2FA ou les fonctions de sécurité proposées par certains services de protection peuvent aider à mettre en place ce second facteur.

Mais la 2FA ne fait pas disparaître le mot de passe : l’utilisateur doit encore le choisir, le retenir ou le récupérer dans un gestionnaire. Les passkeys cherchent précisément à supprimer cette dépendance.

Passkeys : ce qui se passe réellement lors de la connexion

Les passkeys reposent sur les standards FIDO2 et WebAuthn. Plutôt que d’envoyer un secret réutilisable au serveur, l’appareil de l’utilisateur génère une paire de clés cryptographiques. La clé publique est enregistrée par le service concerné ; la clé privée reste protégée sur l’appareil ou dans une clé de sécurité compatible.

Au moment de se connecter, le navigateur demande à l’appareil de prouver qu’il possède la clé privée. L’utilisateur confirme son identité avec le mécanisme qu’il utilise déjà pour déverrouiller son ordinateur ou son téléphone : empreinte digitale, visage, code PIN local ou autre méthode prévue par son appareil. Le site ne reçoit pas l’empreinte digitale ni le code de déverrouillage. Il reçoit une preuve cryptographique.

Cette différence a une conséquence importante : une passkey n’est pas un mot de passe à recopier sur une page. Le protocole vérifie aussi l’origine du site. Une tentative de connexion sur un domaine imitant votre adresse d’administration ne peut pas utiliser la passkey créée pour votre véritable domaine. Cela limite fortement l’intérêt des fausses pages de connexion pour l’attaquant.

Les passkeys peuvent être :

• liées à un appareil, par exemple une clé de sécurité matérielle ;
• synchronisées entre les appareils d’un même écosystème, selon les choix de l’utilisateur et du fournisseur concerné ;
• utilisées depuis un autre appareil, par exemple lorsqu’un téléphone valide une connexion sur un ordinateur à proximité.

La synchronisation apporte du confort, mais elle doit être comprise avant le déploiement. Une petite structure ne doit pas supposer qu’une passkey sera automatiquement disponible sur tous les appareils, tous les navigateurs ou tous les profils professionnels. Les règles varient selon l’environnement utilisé et les réglages de chaque compte.

Les bénéfices concrets pour un site professionnel

Le premier bénéfice est la réduction du risque de phishing. Comme la preuve d’authentification est liée au bon site, l’utilisateur n’a pas un mot de passe à révéler à une page frauduleuse. Ce n’est pas une garantie absolue contre toutes les formes d’ingénierie sociale, mais cela retire un levier majeur aux campagnes de vol d’identifiants.

Le deuxième bénéfice est la simplicité quotidienne. Un rédacteur qui travaille sur un ordinateur personnel ou un téléphone sécurisé peut se connecter sans chercher un mot de passe complexe, sans attendre un SMS et sans recopier un code temporaire. Pour les personnes qui se connectent peu souvent à l’administration, cette réduction de friction peut faire une vraie différence.

Enfin, les passkeys réduisent la nécessité de gérer des mots de passe pour les comptes qui les utilisent. Elles ne remplacent pas tous les dispositifs de sécurité : il faut toujours appliquer les mises à jour WordPress, limiter les droits, réaliser des sauvegardes et surveiller les comptes. Elles renforcent un maillon précis : l’authentification humaine à l’administration.

Une passkey protège une connexion. Elle ne corrige pas une extension vulnérable, un compte administrateur inutile ou une sauvegarde absente.

Cette distinction est essentielle. Une démarche durable reste globale : hébergement correctement administré, mises à jour testées, extensions limitées et comptes attribués selon le besoin réel. Notre article sur la mise à jour de WordPress dès sa sortie rappelle d’ailleurs pourquoi une mise à jour mérite toujours une vérification préalable, même lorsqu’elle est importante pour la sécurité.

WordPress et passkeys : ne pas présumer d’une compatibilité native

Avant toute décision, il faut distinguer le standard WebAuthn de son intégration dans votre installation. Le fait qu’un navigateur ou qu’un téléphone prenne en charge les passkeys ne signifie pas automatiquement que l’écran de connexion de votre site WordPress les accepte.

Selon la configuration, plusieurs voies sont possibles :

• une extension WordPress qui ajoute l’authentification WebAuthn ou sans mot de passe ;
• un fournisseur d’identité externe, qui gère la connexion avant l’accès à WordPress ;
• une solution de connexion unique (SSO) déjà utilisée par l’entreprise ;
• une protection d’accès mise en place au niveau de l’hébergeur, d’un réseau privé ou d’un service de sécurité.

Les offres et les intégrations évoluent vite. Il est donc préférable de partir des documentations du fournisseur choisi, de votre hébergeur et de l’extension envisagée, plutôt que de rechercher une solution « universelle ». Le répertoire officiel des extensions reste un point de départ utile pour examiner les options disponibles : extensions WordPress.org.

Lors de cette recherche, regardez surtout la qualité du suivi : date de mise à jour, compatibilité annoncée avec votre version de WordPress et de PHP, support disponible, documentation d’installation et méthode de récupération de compte. Une extension qui touche à la connexion doit être évaluée avec plus de prudence qu’un simple bloc d’affichage.

Pour une organisation déjà équipée d’un annuaire ou d’un fournisseur d’identité, une connexion centralisée peut être plus cohérente. Des services comme Microsoft Entra ID, Google Workspace, Okta, Auth0 ou Keycloak proposent, selon leur configuration et leurs offres, des mécanismes d’authentification modernes. Le bon choix dépend de l’existant : créer une identité externe juste pour deux comptes WordPress n’est pas forcément proportionné.

Ce qu’il faut vérifier avant d’activer des passkeys

La première vérification concerne les utilisateurs. Faites un inventaire des comptes WordPress et de leurs rôles. Un administrateur est-il encore actif ? Un compte est-il partagé entre plusieurs personnes ? Un prestataire dispose-t-il d’un compte nominatif et limité à la durée de son intervention ? Les comptes partagés sont à éviter : ils empêchent de savoir qui a agi et rendent le départ d’un collaborateur difficile à gérer.

Ensuite, vérifiez les appareils réellement utilisés. L’équipe se connecte-t-elle uniquement depuis des ordinateurs récents, ou aussi depuis un vieux poste partagé ? Utilise-t-elle Safari, Chrome, Firefox ou plusieurs navigateurs ? A-t-elle des téléphones professionnels ? Les passkeys dépendent des capacités de l’appareil, du système d’exploitation et du navigateur. Le test doit porter sur les conditions réelles, pas seulement sur l’ordinateur de la personne qui administre le site.

Le domaine est également un point de vigilance. Les passkeys sont associées à un domaine web. Un changement de domaine, un environnement de préproduction sur une autre adresse ou une migration mal préparée peut demander une nouvelle configuration. Testez toujours la solution sur l’URL exacte où les utilisateurs se connecteront.

Enfin, examinez la compatibilité avec le reste de la sécurité existante :

• la 2FA actuellement imposée aux administrateurs ;
• la limitation des tentatives de connexion ou le pare-feu applicatif ;
• les extensions de connexion sociale ou de SSO ;
• les outils de journalisation des connexions ;
• les procédures de maintenance effectuées par un prestataire.

Un empilement mal compris peut générer des blocages ou, à l’inverse, créer un chemin de connexion moins protégé que prévu. Gardez une architecture simple et documentée.

Prévoir le secours : la condition souvent oubliée

Une connexion plus sûre ne doit pas pouvoir vous exclure définitivement de votre propre site. Une passkey peut devenir indisponible après la perte d’un téléphone, le remplacement d’un ordinateur, le départ d’un salarié ou un changement de compte dans un écosystème de synchronisation.

Avant l’activation, définissez un scénario de récupération concret. Il ne doit pas reposer sur une personne absente ou sur un identifiant partagé dans une boîte e-mail commune. Plusieurs options peuvent coexister :

• enregistrer au moins deux passkeys pour les comptes d’administration les plus importants ;
• conserver une clé de sécurité physique compatible FIDO comme solution de secours, dans un lieu sécurisé ;
• prévoir des codes de récupération si la solution retenue en délivre ;
• maintenir un processus documenté permettant à l’hébergeur ou au responsable technique de restaurer l’accès, avec vérification d’identité ;
• documenter la révocation d’une passkey lorsqu’un appareil est perdu ou qu’un collaborateur quitte l’équipe.

Il ne s’agit pas de multiplier les accès de secours. Chaque alternative est aussi une surface à protéger. Le principe est simple : un plan de récupération, testé et connu des bonnes personnes, vaut mieux qu’un mot de passe administrateur écrit dans un document non sécurisé « au cas où ».

Une méthode simple pour déployer sans bloquer l’équipe

Pour une petite structure, le déploiement progressif est généralement la meilleure option. Commencez par les comptes les plus sensibles et les personnes les plus à l’aise avec les outils numériques. Ne changez pas en même temps l’extension de sécurité, l’hébergement, les rôles et le mode de connexion.

1. Faire le ménage dans les comptes

Supprimez les utilisateurs qui n’ont plus de raison d’accéder au site. Réduisez les rôles lorsque c’est possible : un rédacteur n’a pas besoin d’être administrateur. Vérifiez aussi que chaque personne possède son propre compte nominatif. Cette étape améliore la sécurité, avec ou sans passkeys.

2. Sauvegarder et tester hors production

Réalisez une sauvegarde vérifiable des fichiers et de la base de données. Si votre hébergeur propose un environnement de préproduction, utilisez-le pour tester le parcours de connexion. Sinon, commencez avec un compte non critique sur le site en ligne et préservez un accès d’administration de secours pendant les essais.

Le sujet des sauvegardes ne doit pas être traité comme une formalité : une sauvegarde utile est une sauvegarde que l’on sait restaurer. Les passkeys protègent l’accès, mais elles ne dispensent jamais d’un plan de reprise.

3. Lancer un pilote avec un ou deux administrateurs

Enregistrez une passkey depuis les appareils habituels de ces personnes. Testez la connexion après fermeture du navigateur, depuis une session différente et, si pertinent, depuis un second appareil. Vérifiez aussi le comportement en cas d’utilisation d’un navigateur non habituel.

Demandez aux testeurs de noter les difficultés rencontrées : intitulés peu clairs, absence de solution de secours, incompatibilité avec un appareil, ou confusion avec le mot de passe WordPress existant. Ces retours permettent d’écrire une consigne simple pour le reste de l’équipe.

4. Documenter une procédure d’une page

Une bonne procédure explique comment enregistrer une passkey, comment se connecter, quoi faire en cas de nouvel appareil et qui contacter en cas de problème. Évitez le jargon. Indiquez explicitement qu’une passkey est personnelle et qu’elle ne doit pas être créée sur un appareil partagé sans validation du responsable du site.

5. Étendre, puis retirer les accès devenus inutiles

Quand le pilote est stable, activez la solution pour les autres comptes à privilèges. Ne forcez pas immédiatement le changement pour tous les profils si l’équipe n’a pas les mêmes appareils ou les mêmes contraintes. Après une période de fonctionnement validée, réévaluez les anciennes méthodes d’accès : les maintenir sans raison peut annuler une partie du bénéfice.

Passkeys, 2FA et bonnes pratiques : une sécurité cohérente

Les passkeys peuvent remplacer le mot de passe dans certains parcours, mais elles ne sont pas nécessairement la réponse unique à tous les cas. Une équipe peut, par exemple, utiliser des passkeys pour les administrateurs et une double authentification classique pour des comptes moins exposés, si cela correspond mieux aux appareils disponibles.

L’essentiel est de conserver des règles claires : mises à jour suivies, extensions peu nombreuses, droits limités, sauvegardes restaurables et accès supprimés dès qu’ils ne sont plus nécessaires. Pour les sites qui collectent des demandes de contact, des données de patients ou des informations clients, ces principes s’articulent aussi avec les obligations de confidentialité. Vous pouvez compléter cette démarche avec notre guide consacré aux mentions légales, à la confidentialité et aux cookies.

Une connexion moderne ne doit pas devenir une usine à gaz. Si vous êtes seul et que vous utilisez un gestionnaire de mots de passe fiable avec une 2FA bien configurée, l’urgence n’est pas forcément de tout changer. En revanche, si plusieurs personnes administrent le site, si les mots de passe circulent encore ou si les tentatives de phishing vous préoccupent, les passkeys méritent une évaluation sérieuse.

Conclusion : renforcer l’accès sans alourdir WordPress

Les passkeys apportent une réponse concrète à deux problèmes fréquents : le vol de mots de passe et la friction des connexions. Elles sont particulièrement pertinentes pour les comptes WordPress sensibles, à condition de vérifier la compatibilité de la solution, d’organiser la récupération d’accès et de déployer progressivement.

Commencez par auditer vos comptes administrateurs, puis testez la solution retenue sur un périmètre réduit. Une sécurité efficace est celle que votre équipe comprend, utilise réellement et peut maintenir dans le temps.