Lorsque vous gérez un site WordPress, la sécurité doit être une priorité. Parmi les failles les plus méconnues, il existe ce qu’on appelle l’énumération des utilisateurs.
Mais qu’est-ce que c’est exactement ?
En résumé, l’énumération des utilisateurs consiste à découvrir publiquement les noms d’utilisateurs de votre site WordPress. Pourquoi est-ce un problème ? Parce que si un pirate connaît déjà votre nom d’utilisateur, il ne lui reste plus qu’à deviner ou voler le mot de passe. En d’autres termes, c’est comme si vous laissiez la moitié de la clé de votre maison sur la porte.
Comment fonctionne l’énumération des utilisateurs ?
Par défaut, WordPress crée certaines adresses (URLs) qui permettent de révéler les noms d’utilisateurs. Ces URLs sont accessibles à tout le monde sur Internet, même sans être connecté à votre site.
Voici quelques exemples (remplacés par example.com) :
https://example.com/?author=1https://example.com/author/adminhttps://example.com/?author={num:1}https://example.com/wp-sitemap-users-1.xmlhttps://example.com/wp-json/wp/v2/users
Si vous ouvrez ces adresses dans votre navigateur, vous risquez de voir apparaître des informations sur vos utilisateurs WordPress (souvent l’administrateur du site). Et vous pouvez imaginer ce que cela représente pour un pirate : un point d’entrée facile.
Pourquoi est-ce dangereux ?
- Les pirates peuvent scanner automatiquement ces URLs avec des outils comme WPScan.
- Une fois le nom d’utilisateur trouvé, ils peuvent lancer des attaques par force brute pour tester des milliers de mots de passe.
- Cela augmente fortement les risques de piratage de votre site.
En clair : si vous laissez l’énumération des utilisateurs active, vous donnez gratuitement une information critique aux attaquants.
