Pour activer un mot de passe d’application WordPress, ouvrez Utilisateurs → Profil, descendez jusqu’à « Mots de passe d’application », donnez un nom explicite à l’intégration, puis cliquez sur le bouton de génération. Copiez immédiatement le code : WordPress ne l’affichera plus ensuite.
Ce mot de passe sert à une application, un script ou un service qui dialogue avec votre site par API. Il ne remplace pas votre mot de passe habituel et ne permet pas de se connecter au tableau de bord comme un humain.
L’essentiel en 30 secondes
Créez un identifiant différent pour chaque intégration, utilisez-le uniquement en HTTPS et révoquez-le dès qu’il n’est plus nécessaire. Ne partagez jamais le mot de passe principal du compte WordPress avec un outil tiers.
À quoi sert un mot de passe d’application WordPress ?
WordPress fournit cette fonction depuis la version 5.6 pour authentifier des accès programmatiques. Elle convient notamment à un outil de publication, un script de sauvegarde, un tableau de bord, une application mobile ou une intégration qui utilise la REST API. Chaque code est lié à un utilisateur précis : l’outil dispose donc des capacités accordées au rôle de ce compte.
Le mot de passe est révocable individuellement. Si une intégration est compromise, vous pouvez supprimer uniquement son accès sans changer le mot de passe principal ni couper les autres outils. La documentation officielle WordPress précise également que le secret est stocké sous forme hachée et qu’il n’est affiché qu’au moment de sa création.
Comment l’activer depuis le tableau de bord ?
- Connectez-vous au tableau de bord avec le compte qui devra autoriser l’intégration.
- Ouvrez Utilisateurs → Profil. Un administrateur peut aussi ouvrir Utilisateurs → Tous les utilisateurs, puis modifier le compte concerné.
- Faites défiler la page jusqu’à la section Mots de passe d’application.
- Saisissez un nom qui identifie clairement l’usage, par exemple « rapport SEO », « application mobile » ou « sauvegarde distante ».
- Cliquez sur le bouton de création, puis copiez le code dans le gestionnaire de secrets de l’outil.
Les espaces affichés dans le code améliorent seulement sa lisibilité. WordPress accepte généralement la valeur avec ou sans espaces. Le nom choisi n’est pas un mot de passe : c’est une étiquette qui vous aidera à reconnaître l’accès plus tard.
Comment tester le mot de passe avec la REST API ?
Commencez par une requête en lecture sur l’utilisateur courant. Remplacez l’adresse, l’identifiant et le secret par vos propres valeurs, sans enregistrer la commande dans un dépôt public :
curl --user "IDENTIFIANT:MOT_DE_PASSE_APPLICATION" \
https://exemple.fr/wp-json/wp/v2/users/me?context=editUne réponse HTTP 200 contenant les informations du compte confirme que l’authentification fonctionne. Une erreur 401 indique le plus souvent une paire identifiant-secret incorrecte ou un en-tête d’autorisation supprimé. Une erreur 403 peut venir des droits du compte, d’un plugin de sécurité ou d’une règle serveur.
À ne pas confondre : l’encodage Basic Auth ne chiffre pas le secret. C’est HTTPS qui protège le transport. N’utilisez jamais cette méthode vers une adresse HTTP non chiffrée.
Pourquoi la section n’apparaît-elle pas ?
Sur un WordPress auto-hébergé récent, la fonction est normalement disponible lorsque le site est correctement servi en HTTPS. Si la section manque, vérifiez dans cet ordre :
- la version de WordPress : mettez le cœur à jour après une sauvegarde vérifiée ;
- la détection HTTPS : contrôlez l’URL du site, le certificat et les éventuels en-têtes du proxy ;
- les extensions de sécurité : certaines désactivent volontairement les mots de passe d’application ;
- le code personnalisé : un filtre peut bloquer la fonction pour tous les comptes ou certains rôles ;
- le type de plateforme : WordPress.com possède une gestion distincte des accès spécifiques aux applications.
Ne désactivez pas une protection sans comprendre pourquoi elle existe. Si le site appartient à une entreprise ou à un client, demandez confirmation à la personne qui administre la sécurité.
Comment limiter les risques ?
| Bonne pratique | Pourquoi |
|---|---|
| Un secret par outil | Vous pouvez révoquer une intégration sans interrompre les autres. |
| Un compte au rôle minimal | L’outil ne reçoit pas plus de capacités que nécessaire. |
| HTTPS obligatoire | Le secret n’est pas envoyé en clair sur le réseau. |
| Nom descriptif | Les accès anciens ou inconnus sont plus faciles à repérer. |
| Révocation après usage | Un secret inutilisé ne reste pas actif indéfiniment. |
Consultez périodiquement la liste dans le profil utilisateur. WordPress affiche des informations d’usage qui peuvent aider à repérer une intégration oubliée. Après un départ de prestataire, une fuite ou une exposition accidentelle, révoquez le code concerné et créez-en un nouveau.
Quelle différence avec une clé API ou OAuth ?
Un mot de passe d’application WordPress est un mécanisme natif et simple pour authentifier un compte par HTTP Basic Auth. Une clé API appartient souvent à un plugin ou à un service particulier. OAuth ajoute un flux d’autorisation plus élaboré, utile lorsqu’un service doit connecter de nombreux utilisateurs sans leur demander de copier un secret.
Pour une intégration privée, limitée et servie en HTTPS, le mécanisme natif est souvent suffisant. Pour une application distribuée à grande échelle, examinez les options d’authentification et les permissions avec un développeur. La documentation de la REST API WordPress détaille les ressources disponibles, mais l’authentification ne dispense jamais de limiter les droits.
Sources officielles
FAQ
Peut-on retrouver un mot de passe d’application perdu ?
Non. WordPress ne le réaffiche pas. Révoquez l’entrée concernée, puis générez un nouveau code pour l’intégration.
Le mot de passe fonctionne-t-il dans wp-admin ?
Non. Il est destiné aux appels programmatiques, pas à la connexion interactive au tableau de bord.
Faut-il donner un compte administrateur à l’outil ?
Seulement si l’intégration a réellement besoin de capacités d’administration. Dans les autres cas, créez ou utilisez un compte au rôle plus limité.
Informations vérifiées le 10 août 2026 à partir de la documentation officielle WordPress.
