Double authentification

Après le mot de passe, WordPress demande un code à 6 chiffres qui change toutes les 30 secondes. Aucune session n’est ouverte avant ce code.

L’activer pour votre compte

1. 1Installez une application d’authentification : Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden…
2. 2Dans WordPress, ouvrez Utilisateurs > Double authentification (ou Profil > Double authentification).
3. 3Scannez le QR code avec l’application, ou saisissez la clé affichée.
4. 4Entrez le code à 6 chiffres pour confirmer.
5. 5Conservez les 10 codes de secours dans un endroit sûr : ils ne seront plus affichés.

Se connecter

Saisissez votre mot de passe, puis le code de l’application. Si vous n’avez pas votre téléphone, saisissez un code de secours : chacun ne fonctionne qu’une fois.

• 5 codes faux d’affilée : le mot de passe est redemandé.
• 10 codes faux en 15 minutes : la deuxième étape du compte est bloquée temporairement.
• Un code déjà utilisé est refusé.

L’imposer à certains rôles

Dans l’onglet Pare-feu, carte Double authentification, cochez les rôles concernés, par exemple Administrateur et Éditeur. Ces utilisateurs sont redirigés vers la page d’activation tant qu’ils ne l’ont pas faite. La carte montre aussi qui l’a activée.

Applications et XML-RPC

Pour un compte protégé, les connexions par mot de passe via XML-RPC et l’API REST sont refusées. Les applications qui en ont besoin doivent utiliser un mot de passe d’application WordPress.

Téléphone perdu

• Connectez-vous avec un code de secours, puis réactivez la 2FA avec votre nouveau téléphone.
• Ou demandez à un administrateur de cliquer sur Réinitialiser à côté de votre nom.
• Si plus aucun administrateur ne peut se connecter, ajoutez dans wp-config.php :

define( 'SENTRIXWP_2FA_DISABLED', true );