Qu’est‑ce que l’accès aux fichiers, et quand en a‑t‑on besoin ?

Votre site est un ensemble de fichiers posés sur un serveur. L’administration en ligne n’en montre qu’une partie ; l’accès aux fichiers montre tout, y compris ce qui ne devrait pas s’y trouver.

À quoi cela sert

• Reprendre la main quand l’administration ne répond plus, ce qui est le cas le plus fréquent.
• Sortir une copie complète du site, indépendamment de tout outil de sauvegarde.
• Désactiver une extension fautive en renommant son dossier, quand on ne peut plus se connecter.
• Repérer les fichiers modifiés récemment, ce qui est la première chose à faire après une compromission.

Le jour où l’administration ne répond plus, c’est le seul chemin qui reste.

Les deux protocoles, à ne pas confondre

Le plus ancien transmet vos identifiants en clair sur le réseau. N’importe qui sur le même réseau, un lieu public par exemple, peut les lire. Il ne devrait plus être utilisé, et beaucoup d’hébergeurs le laissent pourtant actif.

Le second chiffre tout, identifiants compris. C’est celui qu’il faut demander, et son nom se distingue par un « S » : c’est la seule différence visible, et elle change tout.

Comment s’en servir sans risque

Un client dédié suffit, et l’essentiel tient en quatre règles :

• Un compte par personne, jamais un identifiant partagé.
• Un accès limité au dossier du site, et non à toute la machine.
• Aucun mot de passe enregistré dans le logiciel sans mot de passe maître.
• Le compte supprimé dès la fin de l’intervention, s’il a été créé pour quelqu’un.

Ce qu’il ne faut pas y faire

Modifier un fichier du cœur ou d’une extension directement. Cela fonctionne, jusqu’à la première mise à jour : le fichier est remplacé, la modification disparaît, et une fonction s’arrête sans message d’erreur.

C’est le piège classique des sites repris. On trouve un site qui « marchait très bien » et dont trois fonctions ont cessé du jour où quelqu’un a enfin appliqué les mises à jour.

Faut‑il le désactiver quand on ne s’en sert pas ?

C’est une bonne pratique, et peu d’hébergeurs le proposent simplement. À défaut, deux mesures suffisent : un mot de passe long et unique, et la vérification régulière de la liste des comptes existants.

En audit, je trouve encore des comptes créés pour un prestataire parti depuis trois ans, toujours actifs, avec un accès complet aux fichiers.

Sur le même sujet : Hébergement mutualisé, VPS ou dédié : lequel choisir ? · Que doit contenir une sauvegarde complète ?