Que faire des comptes qui ne servent plus ?

Un site un peu ancien accumule les comptes : le stagiaire de l’an dernier, l’agence précédente, un compte de test créé un soir et jamais supprimé. Chacun est une porte, et personne ne les compte.

Pourquoi c’est un vrai risque

Un compte inutilisé n’est pas surveillé. Son mot de passe n’a jamais changé, il traîne peut‑être dans un ancien fichier, et son propriétaire l’a réutilisé ailleurs.

La plupart des intrusions que je constate ne passent pas par une faille technique : elles passent par un compte qu’on avait oublié.

Ne pas supprimer trop vite

Un compte supprimé emporte ce qu’il a publié, sauf à réattribuer les contenus. Sur un site où plusieurs personnes ont écrit, la suppression brutale fait disparaître des pages.

• Rétrogradez d’abord le compte au rôle le plus bas : il ne peut plus rien faire, rien n’est perdu.
• Réattribuez ses contenus à un compte actif.
• Supprimez ensuite, une fois le site vérifié.

Un compte qu’on n’ose pas supprimer est un compte qu’il faut d’abord désarmer.

Le compte administrateur d’origine

Celui qui porte souvent un nom générique et l’adresse de l’installateur. Il faut vérifier à qui appartient cette adresse : si elle n’est plus relevée, personne ne peut plus réinitialiser ce compte — et personne ne sait qui le peut.

À quelle fréquence faire le tour

Une fois par an suffit, et au départ de toute personne ayant eu un accès. C’est cinq minutes.

Sur le même sujet : Comment mettre à jour WordPress sans casser son site ? · Mon site est‑il conforme au RGPD ?