Inscription des utilisateurs : qui peut créer un compte

L’onglet « Inscription des utilisateurs » décide qui peut créer de nouveaux comptes sur ton site et avec quel rôle. C’est la défense contre les administrateurs cachés, c’est-à-dire des comptes créés en catimini pour revenir sur le site après une attaque. L’inscription des utilisateurs WordPress se gère depuis là. Dans ce chapitre tu vois la politique d’inscription, les rôles autorisés et l’email obligatoire.

Où se trouve

Dans le menu de WordPress, ouvre Réglages puis Cisilino Site Defense Network (point 1 de l’image). Choisis l’onglet « Inscription des utilisateurs » (point 2). Pour enregistrer, il faut le droit manage_options ; sur multisite il faut manage_network_options.

Les sections sont trois. Le point 3 est « Politique d’inscription ». Le point 4 est « Rôles autorisés (seulement niveau « rôles à faible privilège ») ». Le point 5 est « Email obligatoire ».

À quoi ça sert

La politique s’applique à toutes les voies de création : le panneau wp-admin, l’API REST, XML-RPC, WP-CLI et n’importe quel plugin ou thème qui utilise les fonctions de WordPress pour créer des utilisateurs. Le contrôle se fait en PHP, sans toucher au fichier .htaccess.

Comment procéder

Politique d’inscription (point 3)

Choisis un seul niveau parmi trois. Ils ne s’additionnent pas.

• « Aucune restriction (désactivé) » : le module est éteint et WordPress se comporte comme d’habitude.
• « Rôles à faible privilège uniquement (jamais administrateur/éditeur/auteur) » : c’est le niveau par défaut. Les rôles autorisés du point 4 s’appliquent.
• « Aucune inscription (exclusive) » : aucun nouvel utilisateur ne peut être créé.

Rôles autorisés (point 4)

Cela vaut seulement pour le niveau des rôles à faible privilège. Tu peux cocher subscriber (coché par défaut), contributor et customer (utile avec WooCommerce). Les cases administrator, editor, author et shop_manager sont toujours désactivées, avec la mention « jamais autorisé ».

Email obligatoire (point 5)

La case « Ne pas créer d’utilisateurs sans une adresse email valide » est active par défaut. Elle empêche la création d’utilisateurs sans email valide, quelle que soit la voie. Elle ne touche pas les utilisateurs déjà existants. Ce réglage est enregistré avec ceux de la limitation de débit, mais se gère ici.

À la fin, clique sur Enregistrer la politique d’inscription. Tu verras « Politique d’inscription des utilisateurs enregistrée. » L’enregistrement finit dans le Registre d’activité, avec le libellé « Inscription des utilisateurs ».

Inscription des utilisateurs WordPress : valeurs par défaut et limites

• La politique par défaut est « Rôles à faible privilège uniquement », active même si tu n’as jamais rien enregistré.
• Le rôle autorisé de départ est seulement subscriber.
• Les rôles interdits sont toujours rejetés, même si quelqu’un essaie de les envoyer à la main.
• La liste des rôles est fixe : elle ne montre pas les rôles personnalisés de ton site.
• Il n’existe pas de listes de domaines email, de captcha ni de contrôles anti-spam sur les inscriptions.

Attention : avec « Aucune inscription (exclusive) », personne ne peut créer d’utilisateurs, pas même l’administrateur. L’entrée « Ajouter un nouvel utilisateur » disparaît du menu et ouvrir user-new.php à la main donne une erreur 403. Si, au niveau des rôles à faible privilège, tu décoches tous les rôles, la liste reste vide et aucun utilisateur n’est autorisé. Ici cependant l’entrée de menu et la page restent visibles : l’erreur 403 n’arrive qu’au moment où tu essaies de créer l’utilisateur.

Avec le niveau par défaut, tu ne peux pas créer un éditeur ou un auteur, même en étant administrateur. Le plugin ne prévoit pas d’exceptions pour qui est déjà connecté. Pour créer un utilisateur avec un rôle élevé, passe temporairement à « Aucune restriction », crée l’utilisateur, puis reviens en arrière.

Vérifie aussi le « Rôle par défaut des nouveaux utilisateurs » dans Réglages > Général de WordPress. S’il s’agit d’un rôle interdit, comme Éditeur, chaque inscription sans rôle explicite est rejetée.

Ce qui se passe en coulisses

Le contrôle principal agit sur le filtre pre_insert_user_data, seulement à la création d’un utilisateur. Les modifications des utilisateurs existants passent toujours. Une tentative rejetée affiche le titre « Inscription non autorisée » avec une erreur 403. Sur l’API REST, tu reçois une erreur JSON 403 au lieu de la page.

Avec n’importe quelle politique active, le plugin retire la méthode XML-RPC wp.newUser. Avec la politique exclusive, il force aussi à faux l’option « N’importe qui peut s’inscrire » de WordPress. Avec le niveau des rôles bas, cette option reste celle que tu as choisie.

Il existe aussi un filet de sécurité après la création. Si un compte naît malgré tout en violant la politique, le plugin lui retire immédiatement le rôle et écrit un événement dans le Registre d’activité. Le compte n’est pas supprimé, pour que tu puisses l’examiner.

Attention : un plugin ou un thème compromis qui écrit directement dans la table des utilisateurs avec un INSERT dans la base de données ne passe par aucun filtre. Aucun plugin PHP ne peut l’arrêter. L’inscription des utilisateurs WordPress protégée par cet onglet est une barrière solide, mais elle n’est pas absolue.

Exemples

• Site vitrine sans utilisateurs publics : choisis « Aucune inscription (exclusive) ».
• Site avec abonnés ou commentaires : laisse le niveau par défaut avec subscriber.
• Boutique avec WooCommerce : ajoute customer.
• Tu dois ajouter un collaborateur avec un rôle élevé : utilise « Aucune restriction » seulement le temps nécessaire.

Si quelque chose ne va pas

Si une inscription est rejetée avec le message sur le rôle non autorisé, vérifie le rôle par défaut de WordPress et les rôles cochés au point 4. Le Registre d’activité te dit si un compte a été privé de son rôle par le filet de sécurité. Pour mieux comprendre les rôles, lis la page rôles et permissions dans la documentation de WordPress. Elle liste ce que peut faire chaque rôle.

Précédent : Paranoic Hardening : en-têtes de sécurité et session administrateur. Suivant : Limitation de débit : limites pour auteurs et visiteurs. Pour le sommaire général, va au chapitre 1 du manuel.