Pourquoi ne pas renommer wp-login.php et comment récupérer l'accès

Procédure retirée. Ne renommez, ne copiez et ne modifiez pas wp-login.php, et ne bloquez pas ce fichier du cœur avec des règles qui l'empêchent de fonctionner. WordPress le restaure lors des mises à jour et ces modifications peuvent casser la connexion, les intégrations, la récupération du mot de passe et les mises à jour futures.

Protection recommandée

• Maintenez WordPress, les plugins et les thèmes à jour et supprimez les composants qui ne sont plus maintenus.
• Activez l'authentification à deux facteurs pour tous les administrateurs et utilisez des mots de passe uniques avec un gestionnaire de mots de passe.
• Appliquez une limitation des tentatives, un pare-feu applicatif et une protection contre la force brute ; ne comptez pas uniquement sur le masquage d'une URL.
• Si vous voulez changer l'adresse de connexion, utilisez un plugin maintenu et compatible, sans toucher au cœur. Consultez Protéger wp-admin et wp-login avec le plugin WPS Hide Login.
• Gardez une méthode de récupération testée et faites une sauvegarde avant de modifier l'authentification.

Changer l'URL réduit le bruit automatisé, mais ne corrige pas les vulnérabilités et ne remplace ni la 2FA, ni les mises à jour, ni la limitation de l'accès.

Si vous avez déjà appliqué un ancien guide

Gardez une copie des modifications et identifiez la version de WordPress installée. Récupérez le fichier d'origine depuis une distribution officielle de cette même version et vérifiez les règles ou références que vous avez ajoutées pour utiliser le nom alternatif. Ne téléchargez pas un wp-login.php isolé depuis un site inconnu.

Testez la connexion et la récupération du mot de passe avec le cœur restauré. Lorsqu'elles fonctionnent, remplacez la modification manuelle par des contrôles compatibles. S'il y a eu une intrusion, le nettoyage de WordPress doit aller au-delà de ce fichier.