Entre un compte administrateur partagé par trois personnes et trois comptes d’éditeur nominatifs protégés par une double authentification, la différence ne se voit pas le jour de la livraison. Elle se voit le jour où un mot de passe fuit, où un stagiaire installe une extension « pour tester », ou où une extension Elementor tierce abandonnée devient une porte d’entrée. Ce huitième épisode de la série « Livrer un site Elementor en agence » rassemble les réglages de sécurité à appliquer avant de remettre les clés au client. Les sauvegardes, qui sont l’autre moitié du sujet, font l’objet du neuvième épisode.
Comptes et rôles : pas d’administrateur pour le client par défaut
Le rôle Administrateur permet d’installer des extensions, de modifier les comptes et de changer les réglages du site. C’est le rôle de l’agence qui maintient le site, pas celui du client qui publie des actualités. Notre règle par défaut :
- un compte nominatif par personne, jamais de compte partagé ni d’identifiant
admin; - le client et ses rédacteurs reçoivent le rôle Éditeur ;
- l’agence garde un ou deux comptes administrateurs nominatifs, avec des adresses e-mail de l’agence ;
- chaque départ d’une personne, côté client ou côté agence, entraîne la suppression ou la rétrogradation du compte dans la semaine.
Attention à une subtilité souvent ignorée : sur une installation simple (hors multisite), le rôle Éditeur possède la capacité unfiltered_html, qui permet d’enregistrer du HTML arbitraire, scripts compris. Si le client n’en a pas besoin, la constante DISALLOW_UNFILTERED_HTML retire cette capacité à tous les utilisateurs, administrateurs compris : testez son effet sur vos widgets HTML et vos codes personnalisés en préproduction avant de l’imposer.
Elementor ajoute sa propre couche avec le Role Manager (Elementor, Editor, Home, panneau Role Manager dans les versions récentes). Pour chaque rôle, il propose trois options : « No access to editor », qui bloque complètement l’éditeur ; « Access to edit contents only », qui laisse modifier les textes et images des widgets existants sans toucher à la mise en page (option liée aux offres payantes) ; et l’autorisation d’envoyer des fichiers JSON, que la documentation d’Elementor signale comme un vecteur possible de code malveillant, tout comme le widget HTML. Pour un client qui met à jour ses contenus sans refaire ses pages, l’accès au contenu seul est le meilleur compromis ; la formation du client à ces limites est traitée au onzième épisode.
L’audit et la correction se font en deux commandes WP-CLI :
wp user list --role=administrator --fields=ID,user_login,user_email
wp user set-role 12 editorSi le client exige malgré tout un compte administrateur, ne refusez pas : écrivez dans le contrat de maintenance (douzième épisode) ce que ce rôle lui permet de casser et qui paie la réparation.
Double authentification pour tout compte qui publie
WordPress ne fournit pas de double authentification dans son cœur. Wordfence, dont la version gratuite publiée sur le répertoire officiel (version 9.0.2 au 30 septembre 2026) inclut la double authentification par application TOTP, les clés d’accès (passkeys), un CAPTCHA sur la page de connexion et le blocage des mots de passe compromis pour les administrateurs, couvre ce besoin sans licence. Les clés d’accès permettent de se connecter avec l’empreinte, la reconnaissance faciale ou le code de l’appareil, ce qui lève l’essentiel des réticences des clients.
Notre pratique : double authentification obligatoire pour les administrateurs et les éditeurs, activée pendant la séance de formation, en présence du client, avec ses codes de récupération imprimés ou stockés dans son gestionnaire de mots de passe. Une double authentification activée à distance par e-mail est une double authentification qui sera désactivée au premier téléphone perdu.
La sécurité d’un site livré se mesure au compte le plus faible qui peut publier, pas à la solidité du compte de l’agence.
Pare-feu applicatif : Wordfence gratuit ou payant
Wordfence fonctionne comme un pare-feu applicatif installé sur le site lui-même, couplé à un analyseur de logiciels malveillants qui compare les fichiers du cœur, des thèmes et des extensions aux versions du répertoire officiel et signale les extensions fermées ou abandonnées. La version gratuite reçoit les nouvelles règles de pare-feu et les nouvelles signatures avec 30 jours de retard. Les offres payantes, relevées en octobre 2026 et affichées en dollars américains, sont annuelles :
- Premium : 149 $ par an, règles et signatures en temps réel, liste de blocage d’adresses IP, blocage par pays, journal d’audit de 30 jours, support prioritaire ;
- Care : 590 $ par an, avec en plus une configuration accompagnée, un audit annuel et une prise en charge des incidents aux heures ouvrées ;
- Response : 1 250 $ par an, avec une réponse aux incidents en continu et un délai de réponse d’une heure.
Chaque installation de l’extension demande sa propre clé de licence. Le retard de 30 jours est le vrai critère : une faille rendue publique dans une extension Elementor répandue peut être exploitée bien avant que la règle correspondante n’atteigne la version gratuite. Pour un site vitrine à jour, peu d’extensions et une maintenance hebdomadaire, la version gratuite reste un socle honnête. Pour un site qui collecte des données, vend en ligne ou empile des extensions d’Elementor tierces, la version Premium se justifie et s’intègre facilement dans le prix de la maintenance.
Éditeur de fichiers et mises à jour
L’éditeur de fichiers de thèmes et d’extensions de l’administration est la première chose qu’utilise un attaquant qui a obtenu un compte administrateur. La documentation officielle de wp-config.php le désactive avec une constante :
define( 'DISALLOW_FILE_EDIT', true );Ou, en ligne de commande :
wp config set DISALLOW_FILE_EDIT true --rawL’option --raw écrit la valeur telle quelle, sans guillemets, ce qui est indispensable pour un booléen. La constante voisine DISALLOW_FILE_MODS va plus loin : elle bloque aussi l’installation et la mise à jour des extensions et thèmes depuis l’administration. Ne l’activez que si toutes les mises à jour passent par WP-CLI ou par un déploiement, sinon les correctifs de sécurité ne seront plus appliqués.
Les mises à jour elles-mêmes, et la méthode pour mettre à jour Elementor et Elementor Pro sans régression, sont traitées au dixième épisode. Le minimum à la livraison : aucune mise à jour en attente, et une commande de contrôle consignée dans le dossier de livraison.
wp plugin list --fields=name,version,update,wporg_status,wporg_last_updated
wp plugin verify-checksums --all
wp core verify-checksumsLes extensions Elementor tierces, surface d’attaque n° 1
Les packs de widgets pour Elementor se multiplient, et beaucoup sont installés pour un seul widget. Chaque extension ajoutée est du code exécuté sur chaque page et souvent des points d’entrée AJAX supplémentaires. Avant la livraison, reprenez la liste :
- supprimez (et pas seulement désactivez) toute extension qui ne sert plus ;
- remplacez les packs installés pour un seul widget par un widget natif ou quelques lignes de code maison ;
- vérifiez les champs
wporg_statusetwporg_last_updated: une extension fermée sur le répertoire officiel ou sans mise à jour depuis plus d’un an doit être remplacée avant la livraison, pas après ; - pour les extensions premium distribuées hors du répertoire,
verify-checksumsne peut rien vérifier : notez l’adresse du journal des modifications de l’éditeur dans le dossier de maintenance.
Quand ne pas appliquer ces recommandations
Si l’hébergement fournit déjà un pare-feu applicatif au niveau du serveur, n’empilez pas un second pare-feu sans vérifier qu’ils ne se bloquent pas mutuellement ; gardez alors Wordfence pour la double authentification et l’analyse des fichiers. Si le client dispose d’un service informatique avec sa propre politique d’authentification unique, alignez-vous sur elle au lieu d’imposer un second système. Et si le client gère lui-même ses mises à jour, n’activez pas DISALLOW_FILE_MODS.
Pour les constantes citées, la documentation de wp-config.php fait foi ; pour les droits d’édition, la page d’aide d’Elementor sur le Role Manager.
Conclusion
Un site Elementor livré proprement se reconnaît à quatre réglages : des comptes nominatifs avec un client éditeur et non administrateur, une double authentification activée pour tous ceux qui publient, un pare-feu dont vous connaissez le délai de mise à jour des règles, et un éditeur de fichiers coupé. Ajoutez-y une liste d’extensions réduite au strict nécessaire, chacune maintenue par son éditeur, et vous aurez supprimé l’essentiel des causes d’incidents que nous voyons sur les sites repris en maintenance.
