Mise à jour – octobre 2026 : la méthode décrite reste valable. Nous avons ajouté un point sur l’état actuel de l’extension Limit Login Attempts Reloaded et sur les menaces qui visent aujourd’hui les sites WordPress.
Saviez-vous que WordPress vous permet d’essayer un nombre illimité de tentatives de connexion ? Malheureusement pour notre CMS favorite, cette possibilité pose un réel problème sur la sécurité de nos sites Web. En effet, les personnes malveillantes auront tout le loisir d’essayer de hacker votre site, en testant des mots de passe aux hasards, et ce, sans se soucier du nombre de tentatives possibles. Pour régler ce problème, il est impératif de limiter les tentatives de connexion. Suivez l’article jusqu’à la fin, je vous montrerais comment limiter les tentatives de connexion dans WordPress à l’aide de l’extension gratuite ‘’Limit Login Attempts Reloaded’’.
Quelques mots sur Limit Login Attempts Reloaded
Limit Login Attempts Reloaded est une extension gratuite pour WordPress, également compatible avec WooCommerce. Le plugin agit sur l’adresse IP de connexion des utilisateurs. De ce fait, il limite le nombre de tentatives de connexion à WordPress de chaque IP.
Protégez votre site WordPress en limitant les tentatives de connexion
Avant d’aller plus loin, on doit procéder à l’installation de Limit Login Attempts Reloaded. Rendons-nous à la page d’ajout d’extension de WordPress pour l’installer.
Installation de Limit Login Attempts Reloaded
Depuis la page d’ajout d’extension, réalisez une recherche avec les mots-clés ‘’limit login attempts reloaded’’ via la barre de recherche. Cliquez ensuite sur le bouton ‘’Installer maintenant’’ correspondant à Limit Login Attempts Reloaded pour entamer l’installation.
À la fin de l’installation, cliquez sur le bouton bleu ‘’Activer’’ pour activer le plugin et passé à la suite de l’article.
Limitez le nombre de tentatives de connexion à votre site WordPress
Une fois que vous avez installé et activé Limit Login Attempts Reloaded, rendez-vous dans votre barre d’administration WordPress et survolez le menu Réglages. Cliquez sur le nouveau menu nommé ‘’Limit Login Attemps’’ pour accéder à la page de configuration du plugin Limit Login Attempts Reloaded.
La page de configuration de Limit Login Attempts Reloaded contient trois onglets, mais nous nous servirons uniquement des deux premiers onglets pour l’article.
L’onglet ‘’Tableau de bord’’ :
La section ‘’Statistiques’’ vous affichera le nombre de verrouillages réalisés par le plugin. Vous avez également la possibilité d’ajouter des adresses IP et/ou des noms d’utilisateurs dans la liste noire ou la liste blanche de Limit Login Attempts Reloaded.
L’onglet ‘Paramètres’’ :
Dans cet onglet vous aurez le choix de rendre Limit Login Attempts Reloaded conforme au RGPD, de recevoir des notifications des blocages après ‘’n’’ tentatives de connexion. Vous avez également la possibilité de configurer le temps de verrouillage, le nombre de tentatives autorisées et bien plus encore.
N’oubliez pas de cliquer sur le bouton ‘’Enregistrer les réglages’’ après chaque modification.
Et voilà le résultat sur la page de connexion. (Je vous invite à lire CET ARTICLE si vous voulez personnaliser votre page de connexion WordPress)
CONCLUSION
Bien que la popularité et la notoriété de WordPress sont tout à son avantage, cela attire aussi les pirates malheureusement. Le plugin Limit Login Attempts Reloaded vous aidera sûrement à mieux sécuriser votre site WordPress. Les plus de 1 000 000 d’utilisateurs de ce plugin sont des preuves de son efficacité. Toutefois, l’idée d’un site Web sans faille n’est qu’une illusion, alors pour votre sécurité, pensez également à mettre des mots de passe sérieux au lieu de mettre 1234 et ses alternatifs.
Ce qui a changé depuis la publication de cet article
WordPress, aujourd’hui en version 7.1, ne limite toujours pas lui-même le nombre de tentatives de connexion : une extension reste donc utile. Limit Login Attempts Reloaded est toujours maintenue (version 3.3.10 à l’automne 2026) et compte plus d’un million d’installations actives sur WordPress.org.
Sa version gratuite va désormais plus loin qu’un simple verrouillage par adresse IP : elle protège aussi les connexions par XML-RPC et WooCommerce, propose l’authentification à deux facteurs, tient un journal des échecs de connexion et gère des listes d’autorisation et de blocage, y compris en IPv6. Une offre payante en ligne ajoute notamment une liste de blocage partagée, le blocage par pays et la synchronisation entre plusieurs sites.
Le contexte rend ces précautions plus nécessaires que jamais : selon le rapport annuel de Patchstack, 11 334 nouvelles vulnérabilités ont été recensées dans l’écosystème WordPress en 2025, soit 42 % de plus qu’en 2024. Limiter les tentatives de connexion, activer la double authentification et choisir des mots de passe longs et uniques restent les trois réflexes de base.
Image à la une : Photo : the UMF (CC BY 2.0), via Flickr – voir la source.
