Générateur de clés secrètes WordPress

Le Générateur de clés secrètes WordPress crée des clés de sécurité et des sels cryptographiquement sécurisés pour votre fichier wp-config.php. Ces 8 chaînes uniques protègent les sessions utilisateur, empêchent la falsification des cookies et défendent contre les attaques CSRF. Générée à l'aide d'un CSPRNG (Générateur de Nombres Pseudo-Aléatoires Cryptographiquement Sécurisé), chaque clé n'est jamais stockée ni enregistrée.

Que sont les clés de sécurité et les sels WordPress ?

WordPress utilise 8 constantes cryptographiques dans votre fichier wp-config.php pour sécuriser l'authentification. Quatre sont des clés (secrets de chiffrement primaires) et quatre sont des sels (caractère aléatoire supplémentaire qui renforce le hachage) :

Comment les clés et les sels fonctionnent ensemble

Lorsqu'un utilisateur se connecte à WordPress, le système crée un cookie d'authentification. Ce cookie est chiffré à l'aide d'une combinaison de la clé de sécurité et de son sel correspondant. La clé fournit le secret de chiffrement principal, tandis que le sel ajoute des données imprévisibles dans l'algorithme de hachage (HMAC), ce qui rend exponentiellement plus difficile pour un attaquant l'ingénierie inverse de la valeur du cookie, même s'il l'intercepte.

Sans clés et sels appropriés, WordPress utilise des valeurs de secours qui sont plus faibles et identiques sur toutes les installations, rendant votre site vulnérable aux attaques basées sur les cookies.

Comment installer vos clés de sécurité

1. Générez des clés à l'aide de cet outil avec vos paramètres préférés.
2. Copiez toutes les clés en utilisant le bouton "Copier toutes les clés".
3. Ouvrez wp-config.php via FTP/SFTP. Ce fichier est situé dans votre répertoire racine WordPress.
4. Trouvez la section des clés — cherchez le commentaire /* Authentication Unique Keys and Salts */.
5. Remplacez les 8 lignes define() par vos clés nouvellement générées, puis enregistrez et téléchargez.

Note : La modification des clés de sécurité déconnectera tous les utilisateurs actuellement connectés. Ils devront se reconnecter avec leur mot de passe. C'est un comportement attendu et c'est en fait utile pour des raisons de sécurité.

Quand devriez-vous changer vos clés de sécurité ?

Longueur de clé et entropie

L'entropie mesure le caractère aléatoire (imprévisibilité) de vos clés en bits. Une entropie plus élevée signifie plus de combinaisons possibles qu'un attaquant devrait essayer. Pour le contexte :

• 128 bits — Minimum recommandé pour la plupart des applications cryptographiques
• 256 bits — Considéré comme inviolable avec la technologie actuelle (niveau AES-256)
• 400+ bits — La clé WordPress par défaut de 64 caractères avec le jeu de caractères complet fournit environ 406 bits d'entropie

Même la clé standard de 64 caractères avec le jeu de caractères complet dépasse de loin ce que n'importe quelle attaque par force brute pourrait craquer.

Meilleures pratiques de sécurité

• Ne partagez jamais vos clés — traitez-les comme des mots de passe
• Utilisez des clés uniques pour chaque installation WordPress
• Ne réutilisez pas les clés sur plusieurs sites
• Gardez wp-config.php sécurisé — assurez-vous des permissions de fichiers appropriées (généralement 440 ou 400)
• Les clés seules ne suffisent pas — utilisez également des mots de passe forts, gardez WordPress à jour et utilisez une extension de sécurité

Foire Aux Questions

Que sont les clés de sécurité et les sels WordPress ?

Les clés de sécurité et les sels WordPress sont des chaînes cryptographiques stockées dans wp-config.php qui chiffrent les données dans les cookies utilisateur. Il y a 4 clés (AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY) et 4 sels correspondants. Ensemble, ils rendent pratiquement impossible pour les attaquants de falsifier les cookies d'authentification.

Comment ajouter des clés de sécurité à wp-config.php ?

Ouvrez votre fichier wp-config.php (dans le répertoire racine de WordPress), trouvez la section intitulée "Authentication Unique Keys and Salts", et remplacez les lignes define() existantes par vos clés nouvellement générées. Enregistrez le fichier et renvoyez-le via FTP/SFTP. Tous les utilisateurs devront se reconnecter.

Quand dois-je changer mes clés de sécurité WordPress ?

Changez vos clés de sécurité immédiatement si vous soupçonnez que votre site a été piraté, si vous trouvez des comptes administrateurs inconnus ou après avoir supprimé des logiciels malveillants. Vous n'avez pas besoin de renouveler les clés régulièrement dans des circonstances normales. Le changement des clés forcera tous les utilisateurs connectés à se ré-authentifier.

Ce générateur est-il sécurisé ? Les clés sont-elles stockées quelque part ?

Oui, ce générateur utilise le module secrets de Python qui est cryptographiquement sûr (CSPRNG). Les clés sont générées côté serveur à chaque requête et ne sont jamais stockées, enregistrées ou mises en cache. La réponse inclut un en-tête no-cache pour empêcher la mise en cache du navigateur.

Quelle est la différence entre les clés et les sels WordPress ?

Les clés WordPress chiffrent les données des cookies, tandis que les sels ajoutent un hasard supplémentaire au processus de chiffrement. Les clés agissent comme le secret de chiffrement principal, et les sels rendent les attaques par force brute exponentiellement plus difficiles en introduisant des données imprévisibles supplémentaires dans la fonction de hachage. Les deux sont essentiels pour une sécurité WordPress robuste.

Que se passe-t-il si je change mes clés de sécurité WordPress ?

Le changement de vos clés de sécurité WordPress invalidera tous les cookies d'authentification existants. Cela signifie que chaque utilisateur connecté (y compris vous) sera déconnecté et devra se reconnecter avec son identifiant et son mot de passe. C'est en fait une fonction de sécurité, utile après une intrusion.

Ressources supplémentaires

• Ressources pour développeurs WordPress - Clés de sécurité (en anglais)
• Générateur de PRNG cryptographiquement sûr - Wikipédia