Protéger l’accès qui permet de modifier le site
Le compte de création de site donne accès à ses contenus et parfois à son domaine. Protégez ce compte, la messagerie qui permet sa récupération et les droits des personnes qui interviennent, puis préparez une procédure de continuité.
La recommandation CNIL sur l’authentification multifacteur, consultée le 6 octobre 2026, invite à choisir une protection adaptée. Aucun mécanisme ne doit être présenté comme une garantie absolue contre toutes les attaques.
Faire un inventaire sans noter les secrets
Listez le compte éditeur, l’adresse de récupération et les personnes autorisées. Séparez leurs rôles : rédiger un texte, publier ou gérer les accès ne demande pas toujours les mêmes droits. Utilisez les fonctionnalités réellement proposées par le service, sans supposer qu’une formule gratuite les inclut.
Ne copiez pas mots de passe, codes de récupération ou jetons dans un document partagé avec les contenus du site. Votre inventaire indique où se trouve la procédure et qui en est responsable, pas les secrets eux-mêmes.
Ce contrôle s’applique avant comme après le choix d’un outil. Les guides WordPress.com et Wix concernent leur usage éditorial ; vérifiez séparément les réglages de sécurité actuels dans votre compte.
Exemple fictif : un appareil perdu
Une association imaginaire possède un site dont le responsable utilise un second facteur sur son appareil. Celui-ci devient indisponible. Si personne ne sait quelle procédure de récupération a été préparée, la publication peut être interrompue.
Le travail préalable consiste à vérifier la récupération proposée par le service, à conserver ses éléments par un moyen approprié et à désigner le responsable du suivi. Cela ne signifie pas partager un même secret avec toute l’association.
Ce scénario est fictif. Il ne décrit aucune récupération réussie, aucun compte réellement compromis et aucune procédure spécifique à un fournisseur.
Un registre de continuité
| Accès | Information non secrète à conserver |
|---|---|
| Éditeur | Service, responsable et rôle |
| Messagerie | Responsable et méthode de récupération préparée |
| Domaine | Personne chargée du renouvellement |
| Intervenant temporaire | Droit accordé et date de relecture |
| Changement de responsable | Étapes de transfert à vérifier |
Relisez le registre lorsqu’une personne quitte le projet ou qu’un appareil change. Retirez les accès devenus inutiles selon les mécanismes du service. Vérifiez les messages inhabituels depuis l’interface connue du fournisseur plutôt qu’en suivant immédiatement un lien reçu.
Une bonne organisation doit aussi permettre de travailler : éviter une perte d’accès demande une procédure connue et contrôlée. N’enregistrez jamais un code réel dans une capture de tutoriel ou dans un article public.
Questions fréquentes
La sécurité concerne-t-elle un site sans visiteurs inscrits ?
Oui. Le compte éditeur peut modifier le contenu publié même si le site ne propose aucun compte aux visiteurs. La messagerie associée mérite aussi une protection.
Peut-on partager un mot de passe entre intervenants ?
Examinez d’abord les accès individuels et les rôles proposés. Un accès partagé complique l’attribution des droits et leur retrait lorsqu’une personne quitte le projet.
Faut-il conserver des codes de récupération dans les fichiers du site ?
Non. Les fichiers publics ou destinés au partage ne sont pas un emplacement adapté aux secrets. Préparez une conservation distincte et une procédure responsable.
Sources
Documentation consultée lors de la relecture du 6 octobre 2026.