WordPress dispose d'une gestion des utilisateurs intégrée qui permet à plusieurs personnes de travailler sur un site web avec leurs propres identifiants. Chaque utilisateur ne doit pas nécessairement obtenir un accès complet à l'ensemble du site web. Via différents Rôles et autorisations il est possible de définir précisément les tâches qu'une personne est autorisée à effectuer.
Ainsi, par exemple, un administrateur peut gérer les plugins et les paramètres, tandis qu'un rédacteur modère le contenu ou qu'un auteur publie simplement ses propres articles. Une gestion des utilisateurs judicieusement configurée facilite donc non seulement la collaboration, mais constitue également un élément important de la Sécurité WordPress.
Dans ce guide, nous vous montrons comment créer des utilisateurs dans WordPress, gérer les comptes existants, attribuer correctement les rôles et supprimer des utilisateurs en toute sécurité.
En bref : Vous gérez les utilisateurs WordPress sous Utilisateur → Tous les utilisateurs. Tu crées de nouveaux comptes sous Utilisateur → Ajouter un utilisateur Le rôle utilisateur approprié est crucial : n'attribuez à chaque utilisateur que les autorisations dont il a réellement besoin pour sa tâche.
Pourquoi y a-t-il différents utilisateurs dans WordPress ? #
Sur un petit site web, il se peut qu'une seule personne travaille avec WordPress. Cependant, dès que des employés, des rédacteurs, des agences ou des prestataires externes sont impliqués, ils ne doivent pas utiliser le même compte administrateur ensemble.
WordPress permet par conséquent la création de comptes utilisateurs séparés. Chaque utilisateur reçoit ses propres identifiants de connexion et un rôle spécifique.
Cela offre plusieurs avantages :
- chaque personne possède son propre accès WordPress
- Les autorisations peuvent être limitées de manière ciblée
- tous les utilisateurs n'ont pas besoin de droits d'administrateur
- Les auteurs peuvent être associés à leurs propres articles
- Les comptes peuvent être modifiés ou supprimés individuellement
- en cas de changements de personnel, il n'est pas nécessaire de partager un mot de passe commun
C'est précisément sur les sites web professionnels qu'un compte administrateur partagé entre plusieurs personnes n'est pas une bonne solution.
Où puis-je trouver la gestion des utilisateurs dans WordPress ? #
Connecte-toi d'abord à l'espace d'administration WordPress.
Celui-ci est généralement accessible sur une installation WordPress normale à l'adresse suivante :
Remplacer votre-domaine.ch par votre véritable domaine.
Ouvrez ensuite :
Utilisateur → Tous les utilisateurs
Ici, tu vois les comptes d'utilisateurs de ton installation WordPress, dans la mesure où ton propre rôle d'utilisateur t'autorise à afficher ou à gérer ces comptes.
Aperçu des rôles d'utilisateurs WordPress #
WordPress possède par défaut plusieurs rôles d'utilisateurs. Chaque rôle dispose de certaines autorisations, qui dans WordPress sont appelées Capacités être désigné.
Les cinq rôles classiques d'une installation WordPress normale sont :
- Administrateur
- Rédacteur
- Auteur
- Employé
- Abonné
Les extensions peuvent ajouter des rôles et des autorisations supplémentaires. Avec WooCommerce, par exemple, vous trouverez des rôles supplémentaires qui n'existent pas dans une installation WordPress standard.
Administrateur : Contrôle complet du site Web #
Le Administrateur possède des autorisations très étendues dans le cadre d'une installation WordPress standard à site unique.
Les administrateurs peuvent entre autres :
- Gérer les utilisateurs
- Installer, activer et supprimer des extensions
- Installer et gérer des thèmes
- Modifier les paramètres du site web
- Gérer les articles et les pages
- Modifier le contenu d'autres utilisateurs
- Mettre à jour WordPress
- effectuer des modifications importantes sur le site Web
Les droits d'administrateur ne doivent par conséquent être attribués qu'aux personnes qui en ont effectivement besoin.
Important : N'accordez pas de privilèges d'administrateur par commodité. Un administrateur peut modifier des éléments essentiels du site Web. Si un compte administrateur est compromis, un attaquant dispose ainsi de possibilités considérables.
Rédacteur : Gérer le contenu de l'ensemble du site web #
Le rôle Rédacteur est destiné aux personnes qui doivent travailler de manière approfondie sur le contenu rédactionnel d'un site web, sans pour autant devoir se charger de l'administration technique.
Les rédacteurs peuvent notamment gérer et publier leurs propres contributions ainsi que celles des autres. Ils peuvent également gérer les pages et les commentaires.
Un rédacteur, en revanche, n'a pas besoin de droits d'administrateur simplement parce qu'il doit modifier l'ensemble des articles de blog d'un site web.
Pour un employé responsable de la gestion éditoriale d'un site web, ce rôle peut donc convenir beaucoup mieux que le rôle d'administrateur.
Auteur : Créer et publier ses propres contributions #
Un Auteur peut créer, modifier et publier ses propres contributions.
Le rôle convient par exemple à un blog avec plusieurs auteurs, où chaque auteur est autorisé à publier ses propres contenus de manière autonome, mais n'a pas besoin d'accéder aux articles des autres auteurs ni à la configuration technique du site web.
Cela confère à un auteur nettement moins de droits qu'à un rédacteur ou à un administrateur.
Employé : rédiger des articles, mais ne pas les publier soi-même #
Le rôle Employé convient aux utilisateurs qui sont autorisés à créer et à modifier leurs propres contributions, mais qui ne doivent pas les publier eux-mêmes.
Un tel utilisateur peut par exemple préparer un nouvel article. La publication est ensuite assurée par un utilisateur disposant des autorisations nécessaires à cet effet.
Cette répartition des rôles est pratique lorsque le contenu doit être vérifié ou approuvé en interne avant d'être publié.
Abonné : Accès utilisateur très restreint #
Le Abonné ne dispose par défaut que de très and limitations des autorisations. Il peut se connecter et gérer son propre profil, mais ne possède aucun droit éditorial ou administratif normal pour modifier le site web.
Si ce rôle est réellement nécessaire sur votre site web dépend du projet en question.
Quel rôle WordPress dois-je attribuer ? #
Lors de la sélection d'un rôle d'utilisateur, un principe de sécurité simple s'applique : Autant de droits que nécessaire, mais aussi peu que possible.
Un utilisateur qui doit uniquement rédiger des articles de blog n'a pas besoin de droits d'administrateur. De même, un rédacteur externe n'a normalement pas besoin d'accéder aux extensions, aux thèmes ou aux réglages centraux de WordPress.
Attribution typique des tâches #
- Gérer techniquement le site web : Administrateur
- Gérer toute la rédaction : Rédacteur
- Publier ses propres contributions : Auteur
- Préparer ses propres contributions, validation requise : Employé
- Uniquement son propre profil ou accès restreint : Abonné
Cette attribution sert de repère pour une installation WordPress normale. Des extensions peuvent modifier les rôles et les autorisations ou en ajouter des supplémentaires.
Créer un nouvel utilisateur dans WordPress #
Si une autre personne a besoin d'accéder à votre site WordPress, vous devez lui créer son propre compte utilisateur.
Ouvrez pour cela :
Utilisateur → Ajouter un utilisateur
Créer un nouvel utilisateur WordPress #
- Connectez-vous à WordPress avec un compte disposant des autorisations appropriées.
- Ouvrir Utilisateur → Ajouter un utilisateur.
- Donne un Noms d'utilisateur un.
- Porte Adresse e-mail du nouvel utilisateur.
- Ajoutez si nécessaire le prénom, le nom et d'autres informations.
- Définissez le souhaité Rôle d'utilisateur fête.
- Vérifiez toutes les informations.
- Cliquez sur Ajouter un nouvel utilisateur.
La représentation exacte de certaines options peut légèrement varier en fonction de votre version de WordPress et des extensions installées.
Quel nom d'utilisateur dois-je utiliser ? #
Le nom d'utilisateur sert à identifier le compte WordPress et peut être utilisé pour la connexion.
Choisissez un nom d'utilisateur unique et n'utilisez pas le même accès générique pour tous les administrateurs.
Pour plusieurs personnes, une attribution claire est judicieuse. Cela permet de voir plus facilement par la suite quel compte appartient à quelle personne.
Le nom d'utilisateur n'est pas non plus le même que le nom affiché publiquement d'un auteur. WordPress permet de définir un nom d'affichage séparé.
Le nom d'utilisateur et le nom d'affichage ne sont pas les mêmes #
WordPress fait la distinction entre le véritable Noms d'utilisateur et du nom qui peut être affiché, par exemple, sur les publications.
Dans le profil utilisateur, il est possible de configurer, entre autres, le prénom, le nom, le surnom et le nom d'affichage public.
Cela évite que le nom d'utilisateur interne ne doive nécessairement apparaître publiquement comme nom d'auteur.
Mot de passe sécurisé pour un nouvel utilisateur #
Chaque utilisateur de WordPress devrait utiliser un mot de passe personnel, fort et unique.
N'utilisez pas de mots de passe communs pour plusieurs utilisateurs et évitez les mots de passe qui sont déjà utilisés pour d'autres services.
WordPress peut générer automatiquement des mots de passe forts. Pour la gestion sécurisée de différents identifiants, l'utilisation d'un gestionnaire de mots de passe est recommandée.
Nous expliquons en détail comment un utilisateur peut modifier son propre mot de passe dans le tableau de bord WordPress dans l'article Changer le mot de passe WordPress : Mettre à jour le mot de passe administrateur en toute sécurité dans le tableau de bord.
Modifier des utilisateurs WordPress existants #
Vous trouverez les utilisateurs existants sur :
Utilisateur → Tous les utilisateurs
Survolez le curseur de la souris sur l'utilisateur souhaité ou ouvrez son profil. En fonction de vos propres autorisations, vous pourrez ensuite modifier différents paramètres de compte.
Cela peut par exemple inclure :
- Prénom et nom
- Surnom
- nom d'affichage public
- Adresse e-mail
- Site Web
- données biographiques
- Rôle d'utilisateur
- Mot de passe
Les paramètres réellement disponibles dépendent de vos autorisations et des extensions installées sur le site Web.
Modifier ultérieurement le rôle d'utilisateur #
Les tâches au sein d'une entreprise ou d'un projet peuvent évoluer. C'est pourquoi le rôle d'un utilisateur WordPress peut être modifié ultérieurement, à condition d'avoir les autorisations nécessaires.
Si, par exemple, un auteur doit superviser l'ensemble de la rédaction à l'avenir, un autre rôle peut s'avérer nécessaire. Inversement, les autorisations qui ne sont plus requises doivent également être supprimées.
Vérifiez soigneusement avant toute modification quels droits supplémentaires la nouvelle fonction se voit attribuer.
Principe de sécurité : Les droits des utilisateurs ne doivent pas seulement être étendus, mais aussi réduits en cas de modification des tâches. Un utilisateur ne devrait détenir en permanence que les droits dont il a réellement besoin.
Pourquoi ne pas simplement donner des droits d'administrateur à tout le monde ? #
Ce serait certes pratique, mais c'est une mauvaise stratégie de sécurité.
Un administrateur peut effectuer des modifications profondes sur WordPress. Plus il existe de comptes administrateur, plus il faut protéger ces comptes en conséquence.
De plus, le risque de modifications accidentelles augmente. Par exemple, un utilisateur qui ne devrait modifier que du contenu n'a pas besoin de pouvoir désactiver des extensions, changer de thème ou modifier des paramètres centraux.
Les privilèges d'administrateur devraient par conséquent être limités à un cercle de personnes aussi restreint et clairement défini que possible.
Comptes utilisateurs individuels au lieu d'une connexion administrateur partagée #
Plusieurs employés ne devraient pas travailler en permanence avec le même nom d'utilisateur et le même mot de passe administrateur.
Des comptes d'utilisateurs séparés sont judicieux pour plusieurs raisons :
- chaque utilisateur possède ses propres identifiants de connexion
- Les rôles peuvent être attribués individuellement
- un seul compte peut être désactivé ou supprimé de manière ciblée
- Les mots de passe n'ont pas besoin d'être partagés entre plusieurs personnes
- Les auteurs et les contenus peuvent être associés à des utilisateurs individuels.
Par exemple, si un employé quitte l'entreprise, son compte utilisateur peut être supprimé sans qu'il soit nécessaire de modifier simultanément les identifiants de tous les autres utilisateurs.
Supprimer un utilisateur de WordPress #
Si un utilisateur n'est plus nécessaire, vous pouvez supprimer son compte si vous en avez l'autorisation.
Ouvrez pour cela :
Utilisateur → Tous les utilisateurs
Sélectionnez l'utilisateur concerné, puis la fonction de suppression.
Maintenant, voici un point important : si l'utilisateur a déjà créé du contenu, WordPress demande lors de la suppression, ce qui doit advenir de ces contenus.
Que deviennent les messages d'un utilisateur supprimé ? #
Lors de la suppression d'un utilisateur ayant des contenus existants, WordPress offre fondamentalement la possibilité de supprimer également ses contenus ou de les attribuer à un autre utilisateur.
Tu ne devrais pas prendre cette décision à la légère.
Attention : Si vous choisissez de supprimer le contenu d'un utilisateur lors de sa suppression, le contenu associé à cet utilisateur peut être retiré. Si vous souhaitez conserver des publications ou d'autres contenus pertinents, réassignez-les à un autre utilisateur avant ou pendant le processus de suppression.
C'est particulièrement lors d'un changement de collaborateur que l'on souhaite généralement supprimer uniquement le compte utilisateur et conserver les contenus d'entreprise publiés.
Supprimer l'utilisateur et attribuer son contenu à un autre utilisateur #
Supprimer l'utilisateur en toute sécurité #
- Ouvrir Utilisateur → Tous les utilisateurs.
- Vérifiez l'utilisateur à supprimer.
- Vérifiez si des contenus importants sont associés à cet utilisateur.
- Choisir Supprimer.
- Décidez si les contenus existants doivent être supprimés ou attribués à un autre utilisateur.
- Sélectionnez un utilisateur existant approprié comme nouvel auteur pour tout contenu requis.
- Confirmez le processus de suppression seulement après un contrôle minutieux.
Pour les sites web importants, il est fondamentalement recommandé d'effectuer une sauvegarde récente des données avant d'apporter des modifications importantes aux utilisateurs et aux contenus.
Que faire lorsqu'un collaborateur quitte l'entreprise ? #
Lors d'un départ, l'accès à WordPress ne doit pas rester actif inutilement.
Vérifie en particulier :
- La personne a-t-elle toujours besoin d'accès ?
- A-t-elle des droits d'administrateur ?
- Quels contenus sont associés à l'utilisateur ?
- les publications doivent-elles être transférées à un autre utilisateur ?
- Existe-t-il d'autres accès en dehors de WordPress ?
Le dernier point est important. Un compte utilisateur WordPress n'est pas automatiquement identique à d'autres accès.
Une personne peut également posséder un accès à cPanel, au FTP, à des comptes de messagerie, à des services externes ou au centre client CURIAWEB. La suppression de l'utilisateur WordPress ne supprime pas ces accès séparés.
Les utilisateurs WordPress et les utilisateurs cPanel sont distincts #
Une erreur fréquente consiste à assimiler les utilisateurs WordPress aux accès à l'hébergement.
Un utilisateur WordPress est géré au sein de l'installation WordPress. cPanel, en revanche, est l'interface de gestion technique du pack d'hébergement.
Par exemple, la suppression d'un utilisateur WordPress ne supprime pas de compte FTP ni de boîte e-mail dans cPanel.
C'est l'inverse qui est vrai : la modification du mot de passe cPanel ne modifie pas automatiquement le mot de passe d'un utilisateur WordPress.
L'utilisateur ne peut plus se connecter #
Si un utilisateur existant a oublié son mot de passe, vous n'avez pas nécessairement besoin de supprimer et de recréer l'intégralité du compte utilisateur.
WordPress dispose d'une récupération de mot de passe intégrée. Via la page de connexion, l'utilisateur peut demander un lien pour réinitialiser son mot de passe.
La page de connexion se trouve généralement à l'adresse :
Nous expliquons la procédure complète dans le manuel Mot de passe administrateur WordPress oublié : récupérer l'accès.
Que faire si l'e-mail de mot de passe n'arrive pas ? #
Si un utilisateur ne reçoit pas l'e-mail de réinitialisation du mot de passe, il convient de vérifier d'abord l'adresse e-mail enregistrée ainsi que le dossier spam.
Si les messages système WordPress ne sont généralement pas livrés de manière fiable, la configuration de l'envoi d'e-mails peut en être la cause.
Sur CURIAWEB, cela est disponible pour cela GoSMTP PRO gratuit à disposition. Cela permet de configurer l'envoi d'e-mails WordPress via SMTP.
Nous montrons comment cela fonctionne dans le manuel Envoyer des e-mails WordPress via SMTP.
Gestion des utilisateurs pour un blog multi-auteurs #
Pour un blog avec plusieurs auteurs, la gestion des utilisateurs de WordPress est particulièrement pratique.
Chaque auteur peut obtenir son propre compte. Cela permet d'attribuer clairement les articles à un auteur spécifique sans que toutes les personnes n'utilisent le même accès WordPress.
Selon votre processus éditorial, vous pouvez par exemple employer des auteurs autorisés à publier eux-mêmes leurs articles, ou des collaborateurs dont les contributions sont vérifiées par un rédacteur avant leur publication.
Nous traitons en détail de la création de nouveaux articles dans l'article Créer des articles de blog dans WordPress.
Gestion des utilisateurs pour les sites web d'entreprise #
Même pour un site web d'entreprise normal, une répartition claire des rôles est judicieuse.
Un exemple possible :
- la personne responsable de la gestion technique du site web reçoit des privilèges d'administrateur
- le département marketing travaille comme rédacteur
- un rédacteur externe travaille comme auteur ou collaborateur
- Les personnes qui ne participent plus perdent leur accès
Quelles sont les rôles réellement utiles dépend toujours des tâches que chaque personne assume.
Les plugins peuvent ajouter des rôles d'utilisateur supplémentaires #
Les cinq rôles standard ne sont pas les seuls rôles que vous pouvez rencontrer sur un site Web WordPress.
Les extensions peuvent enregistrer leurs propres rôles d'utilisateurs et des autorisations supplémentaires. C'est par exemple le courant pour les solutions de boutique, de membres, de plateformes d'apprentissage ou de communauté.
Si vous installez les extensions correspondantes, vous pouvez donc sous Utilisateur des rôles supplémentaires apparaissent.
Avant d'attribuer un tel rôle à un utilisateur, vous devez vérifier quelles sont les autorisations qui y sont réellement associées.
Utilisateurs WordPress sur WooCommerce #
WooCommerce étend notamment la gestion des utilisateurs de WordPress en y ajoutant des rôles supplémentaires pour la gestion de la boutique. Cela permet par exemple de distinguer les comptes clients des utilisateurs éditoriaux normaux de WordPress.
Dans une boutique WooCommerce, vous ne devez donc pas juger les utilisateurs uniquement sur leur nom ou les supprimer de manière inconsidérée. Vérifiez au préalable quel rôle possède l'utilisateur et si le compte est lié à des commandes ou à des données clients.
La gestion des utilisateurs doit être effectuée avec le plus grand soin, en particulier pour les boutiques en ligne en production.
Vérifier régulièrement les droits des utilisateurs #
Avec le temps, les anciens sites WordPress accumulent souvent des comptes d'utilisateurs qui avaient été créés à l'origine pour des employés, des agences, des développeurs ou d'autres personnes externes.
De tels comptes sont facilement oubliés.
Il est donc judicieux de contrôler de temps en temps la liste des utilisateurs :
- Quels utilisateurs existent ?
- Qui a encore réellement besoin d'accès ?
- Qui possède les droits d'administrateur ?
- Est-ce que les rôles attribués sont encore appropriés ?
- Existe-t-il des comptes d'anciens employés ou de prestataires ?
- Existe-t-il des utilisateurs inhabituels ou inconnus ?
Les comptes d'administrateur méritent particulièrement d'attention à cet égard.
Conseil pratique : Si vous ne connaissez pas un utilisateur, ne le supprimez pas immédiatement. Vérifiez d'abord à qui appartient le compte, quel rôle il possède et quels contenus y sont associés. Un utilisateur qui semble inconnu peut par exemple appartenir à un plugin, à une ancienne agence ou à un processus technique légitime.
Administrateur inconnu découvert : que faire ? #
Si vous trouvez un compte administrateur qui ne peut définitivement être attribué à personne, vous devriez examiner la situation de plus près.
La présence d'un administrateur inconnu peut être un indice d'un accès non autorisé. En même temps, vous ne devez pas effectuer de modifications hâtives sans vérifier l'origine du compte.
Vérifiez dans un tel cas, entre autres :
- quelle adresse e-mail est enregistrée pour l'utilisateur
- que le compte appartienne à une personne connue ou à une agence
- s'il y a d'autres utilisateurs inconnus
- si des plugins inhabituels ont été installés
- si des contenus ou des paramètres ont été modifiés
- si d'autres comptes administrateur sont encore sécurisés
En cas de suspicion concrète qu'un site Web a été compromis, il ne faut pas seulement supprimer l'utilisateur inconnu. L'ensemble de l'installation WordPress doit être vérifié pour détecter d'éventuelles autres manipulations.
Créer une sauvegarde avant des modifications importantes #
La création d'un utilisateur normal n'est pas une modification particulièrement risquée. Il en va autrement lorsque plusieurs utilisateurs sont supprimés, que les rôles sont modifiés en profondeur ou que des contenus existants sont réattribués.
Avant de telles modifications, une sauvegarde récente est judicieuse.
Cela vaut particulièrement pour les sites web comportant de nombreux auteurs, un contenu volumineux ou une boutique WooCommerce active.
Erreurs courantes dans la gestion des utilisateurs WordPress #
De nombreux problèmes de sécurité et d'administration ne proviennent pas de WordPress lui-même, mais de privilèges accordés de manière inutilement généreuse.
Parmi les erreurs les plus fréquentes figurent :
- donner des droits d'administrateur à chaque utilisateur
- utiliser un accès administrateur partagé pour plusieurs personnes
- laisser les comptes d'anciens employés actifs
- Partager des mots de passe entre plusieurs utilisateurs
- Supprimer des utilisateurs sans vérifier préalablement leur contenu
- supprimer par inadvertance des messages nécessaires lors de la suppression
- Ignorer les rôles d'utilisateurs spécifiques aux extensions
- Confondre les accès WordPress avec les accès cPanel, FTP ou e-mail
- ne pas enquêter sur les administrateurs inconnus
Remarque : Tout le monde ne doit pas nécessairement être administrateur pour travailler sur un site WordPress. Une bonne répartition des rôles réduit les droits d'accès superflus et, par conséquent, le risque de modifications accidentelles ou non autorisées.
Résumé #
Vous gérez les utilisateurs WordPress sous Utilisateur → Tous les utilisateurs. Tu peux créer de nouveaux comptes sous Utilisateur → Ajouter un utilisateur créer et doter d'un rôle utilisateur approprié.
Par défaut, WordPress fait la distinction entre Administrateur, rédacteur, auteur, contributeur et abonné. Le rôle attribué à un utilisateur doit dépendre de ses tâches réelles. En particulier, n'attribuez des privilèges d'administrateur que s'ils sont réellement nécessaires.
Lorsque vous supprimez un utilisateur, veillez à vérifier son contenu au préalable. WordPress peut vous offrir la possibilité d'attribuer le contenu existant à un autre utilisateur lors de la suppression. Cela permet, par exemple, de conserver les articles d'un ancien employé tout en supprimant son accès.
Tu trouveras d'autres instructions importantes sur la gestion des utilisateurs dans nos articles sur les Modifier le mot de passe WordPress, à Récupération d'un mot de passe WordPress oublié et à Configuration de l'envoi d'e-mails WordPress via SMTP.
