Comptes et rôles

Module 3: Adresse, https et utilisateurs · Temps de lecture : 8 minutes

Objectif pédagogique : après cette leçon, vous saurez répartir les rôles et droits de façon à ce que chacun ne puisse faire que ce dont il a besoin.

Notions clés : rôle, capability (droit), administrateur, éditeur, auteur, contributeur, abonné, moindre privilège, un compte par personne, nom public et identifiant, mot de passe d'application, suppression d'un utilisateur et attribution du contenu

Rôles et droits

Toute personne qui se connecte à votre site WordPress possède un rôle. Un rôle est un ensemble de droits (en langage WordPress, des capabilities) : cette personne peut-elle écrire des articles, modifier les articles d'autrui, installer des extensions, créer des comptes ? WordPress propose cinq rôles standard (les noms français entre parenthèses) :

Dans un réseau de sites (multisite), il existe aussi un super administrateur. Certaines extensions ajoutent leurs propres rôles, comme Gestionnaire de boutique et Client avec WooCommerce, ou un rôle dédié au référencement.

Notez la différence entre auteur et éditeur : un auteur ne peut agir que sur ses propres articles, un éditeur sur tout. Et un éditeur ne peut ni installer d'extensions ni modifier les réglages. C'est exactement le but recherché.

Le principe : le moins de droits possible

Chaque compte est une porte d'entrée potentielle pour un intrus. Un mot de passe d'abonné qui fuite ne cause que peu de dégâts. Un mot de passe d'administrateur qui fuite donne un contrôle total : un intrus peut téléverser une extension contenant du code malveillant et accéder ainsi à tous les fichiers et à la base de données de votre site.

C'est pourquoi vous attribuez à chacun le rôle le plus bas avec lequel il peut accomplir son travail :

• Le collègue du marketing qui rédige des articles de blog : auteur ou éditeur, pas administrateur.
• Le stagiaire qui fournit des actualités : contributeur ; quelqu'un d'autre publie.
• Le créateur de site qui intervient une seule fois : un compte administrateur temporaire que vous supprimez ou rétrogradez ensuite.
• Vous-même : envisagez deux comptes, un administrateur pour la maintenance et un éditeur pour l'écriture quotidienne. Une personne connectée en administrateur qui consulte une page infectée ou clique sur un faux lien expose davantage qu'un éditeur.

Quelques règles complémentaires :

• Un compte par personne. Jamais de compte partagé « bureau » ou « rédaction ». Vous ne saurez alors pas qui a fait quoi, vous ne pourrez retirer l'accès à une seule personne, et le mot de passe circulera par e-mail et sur des petits papiers.
• Faites le ménage. Quand quelqu'un part, supprimez le compte ou passez-le en abonné. Vérifiez chaque trimestre quels administrateurs existent (leçon 9.4). Un administrateur inconnu est l'un des signes les plus clairs d'un piratage (leçon 7.5).
• Pas de comptes pour des applications qui n'en ont pas besoin. Si une connexion (une application, un autre système) doit accéder à WordPress, utilisez un mot de passe d'application (voir plus bas).

Identifiant et nom public

Chaque compte possède un identifiant (utilisé pour se connecter, non modifiable) et un nom public (ce qui apparaît avec vos articles, comme « Lisa Martin »). Choisissez le nom public dans le profil, sous « Afficher publiquement en tant que ».

Votre identifiant est-il secret ? Pas vraiment. WordPress affiche à plusieurs endroits un nom qui en est dérivé : dans l'adresse d'une archive d'auteur (/author/lisa/) et dans le point d'entrée REST du site (/wp-json/wp/v2/users), pour toute personne ayant publié un article. Ce nom (le slug) est souvent identique à l'identifiant. Un intrus dispose alors de la moitié de ce dont il a besoin. La véritable protection repose sur un mot de passe fort et l'authentification à deux facteurs (leçon 7.3), mais un identifiant différent de votre nom public aide un peu. En leçon 7.3, vous vérifierez ce que votre site révèle.

Mots de passe d'application

Depuis WordPress 5.6, chaque profil dispose en bas de page de la section Mots de passe d'application. Elle permet de créer un mot de passe distinct pour une seule connexion, par exemple une application sur votre téléphone ou un système qui publie des articles via l'API REST. Avantages :

• Vous ne communiquez pas votre véritable mot de passe.
• Vous pouvez révoquer une connexion sans changer votre propre mot de passe.
• Un mot de passe d'application ne permet pas de se connecter à l'écran d'administration classique.

Le mot de passe d'application a les mêmes droits que le compte. Créez-le donc sur un compte au rôle adapté (bas). Si vous n'utilisez aucune connexion de ce type, vous n'en avez pas besoin.

Supprimer quelqu'un

Si vous supprimez un utilisateur qui a écrit des articles, WordPress vous demande ce qu'il faut faire de ce contenu :

• Supprimer tout le contenu : tous les articles et pages de cette personne disparaissent. Presque jamais ce que vous souhaitez.
• Attribuer tout le contenu à un autre utilisateur : les articles restent en place, avec le nouvel utilisateur comme auteur.

Choisissez presque toujours la seconde option. Vous voulez conserver le nom de l'ancien auteur sur les articles ? Rétrogradez alors le compte en abonné et donnez-lui un nouveau mot de passe long, plutôt que de le supprimer.

En pratique : à quoi cela ressemble dans un panneau

Dans l'administration de WordPress :

1. Comptes > Tous les comptes : en haut, le nombre de comptes par rôle est affiché. Cliquez sur Administrateur pour n'afficher que les administrateurs.
2. Comptes > Ajouter : renseignez l'identifiant et l'e-mail, puis choisissez le rôle. Laissez WordPress envoyer un lien de création de mot de passe plutôt que d'envoyer vous-même un mot de passe par e-mail.
3. Profil : choisissez le nom public, et gérez en bas de page les mots de passe d'application.

Résumé

• Un rôle est un ensemble de droits ; WordPress propose administrateur, éditeur, auteur, contributeur et abonné.
• Attribuez à chacun le rôle le plus bas avec lequel il peut accomplir son travail, et limitez le nombre d'administrateurs.
• Un compte par personne, jamais partagé ; supprimez les comptes quand quelqu'un part.
• Les identifiants ne sont pas secrets ; la véritable protection est un mot de passe fort et l'authentification à deux facteurs.
• Lors d'une suppression, attribuez le contenu à quelqu'un d'autre ; utilisez des mots de passe d'application pour les connexions externes.

Quiz

Exercice

Exercice D3.3 : Un audit des rôles de votre site. Ouvrez Comptes > Tous les comptes et dressez une liste : pour chaque compte, le rôle, si la personne est encore active et de quel rôle elle a réellement besoin. Indiquez combien d'administrateurs vous aviez et combien il en reste après votre nettoyage. Cochez : pas de comptes partagés, pas d'administrateurs inconnus, personnes parties supprimées ou rétrogradées (avec le contenu attribué), mots de passe d'application inutilisés révoqués. Expliquez en une phrase pourquoi vous vous attribuez, ou non, un compte éditeur distinct.

Pour aller plus loin

Ces articles décrivent les étapes dans les panneaux de WebOké ; dans d'autres panneaux, le fonctionnement est comparable.

• Guide DirectAdmin 3.7: Mots de passe sécurisés et que faire en cas de mot de passe compromis
• Je ne parviens pas à vous connecter à WordPress : que faire ?
• Rôles et capacités (wordpress.org, en anglais) : https://wordpress.org/documentation/article/roles-and-capabilities/