Donner un accès WordPress à un prestataire, puis le retirer

01Pourquoi ne jamais partager votre mot de passe

Avec votre mot de passe, un prestataire agit en votre nom : impossible de savoir qui a modifié quoi, impossible de lui retirer l'accès sans changer votre propre mot de passe partout. Et si votre mot de passe sert aussi ailleurs, vous exposez vos autres comptes.

Un compte nominatif règle tout cela : chaque personne a son identifiant, ses droits, et vous le supprimez en un clic quand la mission est terminée. Dans WordPress en français, les utilisateurs se gèrent dans le menu Comptes.

02Choisir le bon rôle

Le rôle définit ce que la personne peut faire. Donnez toujours le rôle le plus limité qui lui permet de travailler : c'est le principe du moindre privilège.

03Créer le compte du prestataire

1. Ouvrez Comptes › Ajouter un compte.
2. ① Saisissez un Identifiant clair, par exemple « agence-durand ». Il ne pourra plus être modifié ensuite.
3. ② Indiquez son E-mail professionnel, ainsi que son prénom et son nom.
4. Laissez WordPress générer un mot de passe fort et gardez cochée l'option d'envoi d'une notification : la personne recevra un lien pour définir elle-même son mot de passe.
5. ③ Choisissez le Rôle adapté dans la liste déroulante.
6. Cliquez sur Ajouter un compte en bas du formulaire.

04Modifier les droits en cours de mission

Vous pouvez aussi changer plusieurs rôles d'un coup : cochez les comptes dans la liste et utilisez la liste déroulante de changement de rôle au-dessus du tableau.

1. Ouvrez Comptes › Tous les comptes.
2. Survolez le compte et cliquez sur Modifier.
3. Changez le Rôle, par exemple de Administrateur vers Éditeur une fois la mise en ligne terminée.
4. Cliquez sur le bouton d'enregistrement en bas de la page.

05Le cas des extensions et services connectés

Certains prestataires n'ont pas besoin d'un compte pour se connecter à l'écran d'administration : un outil de gestion des stocks, une caisse ou un service d'expédition se branchent sur votre boutique par une connexion technique, appelée clé d'API.

Pour WooCommerce, ces clés se créent dans WooCommerce › Réglages › Avancé › API REST. Chaque clé est liée à un compte et dispose de droits en lecture, en écriture, ou les deux. Ne donnez que la lecture si l'outil doit seulement consulter vos commandes.

Le principe reste le même que pour les comptes : une clé par service, nommée clairement, et révoquée dès que vous cessez d'utiliser l'outil. Faites le tri une fois par an, en même temps que la revue des comptes.

06Retirer l'accès à la fin de la mission

Un compte oublié est une porte ouverte : si le prestataire se fait voler ses identifiants, votre site est exposé. Retirez l'accès dès la fin de la mission.

1. Ouvrez Comptes › Tous les comptes.
2. Survolez le compte du prestataire et cliquez sur Supprimer.
3. WordPress demande quoi faire du contenu créé par ce compte. Choisissez d'attribuer tout le contenu à un autre compte, le vôtre par exemple.
4. Confirmez la suppression.
5. Si le prestataire avait aussi un accès à l'hébergeur, au FTP ou à votre outil de paiement, retirez-le également.

?Questions fréquentes