Guide pour débutants sur les rôles et permissions d'utilisateur WordPress

Avez-vous déjà embauché un membre d'équipe ou un contractuel et lui avez-vous simplement donné un accès administrateur complet à votre site WordPress ? C'est l'option rapide, mais c'est un peu comme donner les clés de toute votre maison à quelqu'un qui n'avait besoin que du garage.

L'approche la plus sûre est intégrée à WordPress. Les rôles et permissions d'utilisateur vous permettent de contrôler exactement ce que chaque personne peut faire, qu'elle rédige des articles, modifie des paramètres ou gère des commandes clients.

Dans ce guide pour débutants, nous expliquerons chaque rôle d'utilisateur WordPress et ses permissions, et nous vous montrerons comment personnaliser les rôles pour répondre aux besoins de votre équipe.

Voici tout ce que nous allons couvrir dans ce guide :

Que sont les rôles et permissions d'utilisateur WordPress ?

Dans WordPress, un rôle d'utilisateur est un ensemble étiqueté de capacités, qui sont les permissions individuelles qui contrôlent ce que quelqu'un peut faire sur votre site web. Attribuer un rôle donne à quelqu'un une liste prédéfinie de ce qu'il peut toucher.

WordPress est livré avec ces rôles d'utilisateur intégrés :

• Abonné – Peut gérer son propre profil et lire le contenu. Il ne peut apporter aucune modification à votre site web. C'est le rôle par défaut pour les nouvelles inscriptions d'utilisateurs et les sites d'adhésion.
• Contributeur – Peut écrire des articles et les enregistrer comme brouillons pour révision, mais ne peut pas publier d'articles, télécharger de fichiers multimédias ou modifier du contenu publié. Ce rôle convient aux blogueurs invités.
• Auteur – Peut écrire, télécharger des médias et publier ses propres articles. Il peut également supprimer ses propres articles publiés, mais ne peut pas modifier le contenu d'autres utilisateurs ni modérer les commentaires. C'est le bon rôle pour un rédacteur de confiance.
• Éditeur – Peut publier, modifier et supprimer tous les articles ou pages du site web, y compris le contenu créé par d'autres utilisateurs. Il peut également modérer les commentaires et gérer les catégories et les étiquettes, mais il ne peut pas installer de plugins, modifier les paramètres ou gérer les comptes d'utilisateurs. Ce rôle convient à un rédacteur en chef.
• Administrateur – A un contrôle complet sur un seul site WordPress, y compris les plugins, les thèmes, les paramètres et les comptes d'utilisateurs. Ce rôle ne doit être attribué qu'aux propriétaires du site ou aux personnes en qui vous avez une confiance totale.
• Super Administrateur (Multisite uniquement) – A un contrôle total sur tous les sites web d'un réseau multisite WordPress, y compris les plugins, les thèmes et la gestion des utilisateurs. Ce rôle est destiné à la personne qui gère l'ensemble du réseau.

Besoin d'un moyen rapide de comparer les rôles et permissions d'utilisateurs WordPress ? Cliquez sur notre infographie ci-dessous :

Nous vous recommandons de choisir le niveau d'accès le plus bas qui convient à vos besoins. Par exemple, vous devriez éviter de donner aux nouveaux utilisateurs le rôle d'Éditeur ou d'Administrateur, sauf s'ils en ont vraiment besoin.

Rôles d'utilisateurs personnalisés ajoutés par différents plugins WordPress

Au-delà des rôles intégrés, les plugins WordPress populaires peuvent ajouter leurs propres rôles et capacités utilisateur personnalisés.

Quelques-uns des plus courants :

• WooCommerce – Ajoute un rôle de « Client » pour les acheteurs qui s'inscrivent, ainsi qu'un rôle de « Gérant de boutique » qui peut gérer la boutique sans accès administrateur complet.
• Plugins d'adhésion – Des outils comme MemberPress et d'autres ajoutent leurs propres niveaux de membres, afin que les membres payants puissent accéder au contenu protégé sans aucune permission d'édition.
• Plugins SEO – Des outils comme AIOSEO ou Yoast ajoutent les rôles « Gestionnaire SEO » et « Éditeur SEO », afin que vous puissiez déléguer le travail SEO sans accès complet au site.

Comment ajouter un nouvel utilisateur WordPress avec le bon rôle

Tout d'abord, allez dans Utilisateurs » Ajouter un nouvel utilisateur dans votre tableau de bord WordPress, puis entrez le nom d'utilisateur, l'adresse e-mail et le nom de l'utilisateur. Vous pouvez créer un mot de passe vous-même ou laisser WordPress en générer un sécurisé pour vous.

Ensuite, faites défiler jusqu'au menu déroulant « Rôle », sélectionnez le rôle utilisateur approprié et cliquez sur « Ajouter un utilisateur ».

WordPress enverra alors un e-mail au nouvel utilisateur avec un lien pour définir son propre mot de passe, ainsi qu'un lien pour se connecter à votre site web.

Gardez à l'esprit que ces étapes ne couvrent que les utilisateurs que vous ajoutez vous-même.

Si vous autorisez l'inscription ouverte, alors toute personne qui s'inscrit obtient le rôle défini sous « Rôle par défaut du nouvel utilisateur » dans Paramètres » Général. Laissez-le sur Abonné afin qu'un formulaire d'inscription ouvert ne donne jamais à un étranger un rôle supérieur.

Changer le rôle d'un utilisateur existant fonctionne également avec un menu déroulant.

Dans Utilisateurs » Tous les utilisateurs, cliquez sur le lien « Modifier » sous la personne que vous souhaitez mettre à jour. Ensuite, choisissez son nouveau rôle dans le menu déroulant « Rôle » et cliquez sur « Mettre à jour l'utilisateur » en bas de la page pour enregistrer la modification.

Comment personnaliser les rôles et capacités WordPress

Les rôles utilisateur WordPress par défaut fonctionnent bien pour la plupart des sites web, mais il peut y avoir des moments où vous avez besoin de plus de contrôle sur ce que les utilisateurs peuvent faire.

Par exemple, vous pourriez vouloir qu'un Auteur puisse modifier des articles sans pouvoir supprimer ceux qui sont publiés ou permettre aux Contributeurs de télécharger des fichiers multimédias.

La façon la plus simple de personnaliser les rôles et permissions utilisateur de WordPress sans écrire de code est d'utiliser un plugin gratuit comme Members. Nous recommandons cette méthode car elle vous offre une interface visuelle simple pour gérer les capacités. Elle prend également en charge les rôles personnalisés créés par d'autres plugins et inclut toutes ses fonctionnalités gratuitement.

Tout d'abord, installez et activez le plugin. Consultez notre guide sur comment installer un plugin WordPress pour plus de détails.

Une fois activé, vous verrez un nouveau menu « Membres » dans votre zone d'administration WordPress. Allez dans Membres » Rôles, puis cliquez sur le lien « Modifier » sous le rôle que vous souhaitez modifier, tel que « Auteur ».

Sélectionnez les permissions que vous souhaitez accorder ou supprimer.

Si vous souhaitez modifier votre propre rôle ou le rôle d’Administrateur, assurez-vous de laisser un compte Administrateur intact et testez la modification sur un compte de spare ou un site staging d’abord. La suppression d’une permission essentielle comme la gestion des paramètres d’un rôle que vous utilisez peut vous bloquer l’accès à certaines parties du tableau de bord, il est donc plus sûr d’essayer cela dans un endroit où vous pouvez l’annuler.

Une fois que vous avez terminé, cliquez sur « Mettre à jour » pour enregistrer vos modifications.

Comment créer un rôle d'utilisateur WordPress personnalisé

Si les rôles d’utilisateurs intégrés de WordPress ne répondent pas à vos besoins, vous pouvez créer votre propre rôle personnalisé. Ceci est utile si vous souhaitez donner à quelqu’un l’accès à des tâches spécifiques sans lui accorder trop de permissions.

Pour créer un rôle personnalisé, allez dans Membres » Ajouter un nouveau rôle et entrez un nom, tel que « Assistant Virtuel ».

Ensuite, sélectionnez les capacités que vous souhaitez donner à ce rôle en cochant les cases appropriées, puis cliquez sur « Ajouter un rôle » pour enregistrer.

Votre nouveau rôle personnalisé apparaîtra alors dans la liste des rôles d’utilisateurs chaque fois que vous ajouterez un nouvel utilisateur ou modifierez un utilisateur existant.

Note : Pour les développeurs, WordPress expose également les fonctions add_role(), add_cap() et remove_cap() pour la gestion programmatique des rôles et des capacités. Consultez le Manuel du développeur de plugins WordPress pour plus de détails.

Par exemple, cet extrait crée un rôle d’Assistant Virtuel, puis ajuste ses capacités :

// Create a custom role with two starter capabilities
$role = add_role( 'virtual_assistant', 'Virtual Assistant', array( 'read' => true, 'edit_posts' => true ) );

// Add or remove individual capabilities on that role later
$role->add_cap( 'upload_files' );
$role->remove_cap( 'delete_posts' );

Sécurité WordPress & Bonnes pratiques de rôles d’utilisateurs pour un site multi-auteurs

La règle d’or en matière de sécurité est d’utiliser toujours le privilège minimum nécessaire. Donnez à chaque membre de l’équipe le rôle le plus restreint qui lui permette de faire son travail.

Voici d’autres façons de gérer les permissions d’utilisateurs WordPress :

• Limitez le nombre de comptes Administrateur. Idéalement, un ou deux seulement. Évitez de faire des nouveaux membres de l’équipe des administrateurs par défaut. Si un compte administrateur est compromis, alors votre site entier pourrait être en danger.
• Auditez régulièrement votre liste d’utilisateurs. Supprimez les comptes qui ne sont plus nécessaires, car les comptes anciens ou inactifs sont un moyen facile pour les pirates de s’introduire.
• Exigez une authentification forte sur les comptes privilégiés. Activez l’authentification à deux facteurs (2FA) sur chaque compte Éditeur et Administrateur. Les passkeys sont une option encore plus forte qui devient la nouvelle norme.
• Ne partagez pas les identifiants. Donnez à chaque personne son propre compte afin que vous puissiez voir qui a effectué des modifications et supprimer rapidement l’accès si quelqu’un quitte l’équipe. Les comptes partagés rendent impossible le suivi des activités.
• Tenez un journal d’activité. Un compte par personne n’est utile que si vous pouvez réellement voir ce que chaque personne a fait, alors installez un plugin de journal d’activité pour enregistrer les connexions, les modifications de publications, les changements de rôles et les modifications de plugins ou de paramètres. Notre guide sur les meilleurs plugins de journal d’activité WordPress compare les options afin que vous puissiez choisir celle qui convient le mieux.

FAQ sur les rôles et permissions WordPress

Pourquoi mon contributeur ne peut-il pas télécharger d’images ?

Les contributeurs n’ont pas la capacité upload_files par défaut. Vous avez deux options :

• Promouvez-les au rang d’Auteur. Les auteurs ont un accès complet au téléchargement.
• Accorder la capacité. Utilisez le plugin Members pour ajouter la capacité upload_files au rôle de Contributeur.

Comment limiter la capacité des auteurs à modifier les articles publiés ?

Par défaut, les Auteurs peuvent modifier leurs propres articles en ligne (y compris après publication). Pour supprimer cette capacité, utilisez le plugin Members pour refuser la capacité edit_published_posts au rôle Auteur. Les Auteurs pourront toujours modifier leurs brouillons mais pas les articles publiés.

Comment puis-je accepter des articles d'invités sans fournir d'accès administrateur WordPress ?

Attribuez à chaque rédacteur invité un rôle de Contributeur dans WordPress. Cela leur permet de se connecter, d'écrire des articles et de soumettre des brouillons pour votre révision, sans la capacité de publier, de télécharger des médias ou d'accéder à vos paramètres d'administration.

Si vous préférez ne pas créer de comptes utilisateurs dans WordPress, alors un plugin de formulaire front-end est la solution, et il est souvent utilisé par les meilleures publications. Il permet aux rédacteurs invités de soumettre des articles depuis une page de votre site, sans connexion nécessaire.

Les plugins de formulaire comme WPForms ou Gravity Forms vous permettent tous deux de créer un formulaire qui génère un brouillon d'article assigné à un compte administrateur pour révision et publication.

Que faire si je me bloque accidentellement l'accès à la zone d'administration ?

Ne vous inquiétez pas, c'est presque toujours récupérable. Si vous avez encore un deuxième compte Administrateur, connectez-vous avec celui-ci et redéfinissez votre propre rôle à Administrateur dans Utilisateurs » Tous les utilisateurs. Cliquez sur « Modifier » sous votre nom, choisissez « Administrateur » dans la liste déroulante « Rôle », et cliquez sur « Mettre à jour l'utilisateur ».

Si vous n'avez pas d'autre connexion administrateur, demandez à un collègue qui en a une de changer votre rôle depuis le même écran.

Si personne ne peut se connecter en tant qu'Administrateur, la correction doit être effectuée au niveau de la base de données ou de l'hébergement. Le chemin le plus simple est donc de demander à l'équipe de support de votre hébergeur de restaurer votre accès.

Nous espérons que ce guide vous a aidé à en apprendre davantage sur les rôles et permissions utilisateurs de WordPress. Pour plus de conseils, consultez notre guide des meilleures pratiques de sécurité WordPress, ou notre sélection des meilleurs plugins d'inscription d'utilisateurs WordPress.

Si vous avez aimé cet article, abonnez-vous à notre Chaîne YouTube pour des tutoriels vidéo WordPress. Vous pouvez également nous trouver sur Twitter et Facebook.