Réinitialisation du mot de passe WordPress non demandé reçu par e-mail

Nous avons reçu une demande d’un de nos utilisateurs qui nous a signalé qu’il avait reçu un e-mail pour renouveler son mot de passe pour accéder à son site WordPress alors qu’il n’en a pas fait la demande.

Question d’un utilisateur du CMS WordPress

Bonjour !
J’ai reçu un e-mail indiquant qu’une demande de renouvellement de mon mot de passe pour accéder à l’admin de mon blog wordpress avait été effectué alors que je n’ai jamais fais cette demande : est-ce que mon site a été piraté ?

Utilisateur de WordPress

E-mail de réinitialisation du mot de passe WordPress

[Nom du site WordPress] Réinitialisation du mot de passe

E-mail de l’expérideur : WordPress ‹wordpress@nomdedomaine.com›

Quelqu’un a demandé la réinitialisation du mot de passe pour le compte suivant :

Titre du site :

Identifiant :

Si ceci est une erreur, ignorez cet e-mail et rien ne se passera.

Pour renouveler votre mot de passe, cliquez sur le lien suivant :

https://(…)/wp-login.php?action=rp&key=(…)&login=(…)&wp_lang=fr_FR

Cette demande de réinitialisation de mot de passe provient de l’adresse IP 11.22.333.1.

E-mail type pour une demande de renouvellement de mot de passe pour accéder à son compte WordPress via la page wp-admin

Aide en cas d’e-mail non sollicité pour renouveler son mot de passe

Notre équipe a constaté qu’un grand nombre d’utilisateurs du CMS WordPress avait reçu il y a peu des demandes de renouvellement de leur mot de passe administrateur sur leur messagerie.

Si vous recevez ce message cela ne signifie pas automatiquement que votre site a été piraté par un tiers.
Mais il est possible qu’une personne mal intentionnée ait tenté d’accéder à l’administration de votre site en utilisant une faille présente dans une ancienne version de WordPress ou d’un de vos plugins ou encore de votre thème WP.

Vous pouvez vérifier via votre accès FTP si il y a des dossiers ou des fichiers qui ont été mis à jour récemment par un tiers.

Cependant, nous constatons que cela concerne des blogs et des sites WordPress qui n’ont pas les dernières mises à jour.

Nous vous invitons à faire une sauvegarde complète de votre site avant d’effectuer des mises à jours !

Comment sécuriser mon site WordPress ?

Après avoir effectués au préalable une sauvegarde, vous pouvez effectuer les actions suivantes pour renforcer la sécurité de votre site WordPress :

1. Mettre à jour l’ensemble de vos plugins présents sur votre site depuis la page « Extenions » (wp-admin/plugins.php)
2. Eventuellement mettre à jour votre thème WordPress si il dispose d’une mise à jour disponible.
3. Mettre à jour la version PHP de votre hébergement web, nous vous conseillons désormais au minimum PHP 8.0
4. Mettre à jour la version mySQL de votre hébergement.
5. Mettre à jour la version WordPress de votre site.
6. Vérifier si votre identifiant de connexion n’est pas visible publiquement dans la page « Auteur » (ou « Author » en anglais)
7. Vérifier dans Comptes > Tous les comptes que votre identifiant n’est pas le même que le nom à afficher publiquement
8. Opter pour un mot de passe long de plus de 8 caractères, nous vous conseillons au minimum 12 caractères.
9. Vous pouvez changer l’adresse de la page de connexion à votre compte WordPress au lieu de /wp-admin vous pouvez optez pour le mot de votre choix à l’aide d’un plugin.
10. Vous pouvez également ajouter un Captcha sur votre page de connexion via un plugin WP pour limiter les tentatives de connexions d’un hacker.
11. Vous pouvez utiliser un service de cloud sécurisé comme Cloudfare pour éviter les robots et bots en tout genre.