Surveillance des comptes admin — la porte dérobée est un compte, pas seulement un fichier.
Après une intrusion, la persistance est rarement un fichier : c’est un compte. Relvato lit la liste de vos administrateurs via l’extension et signale tout compte qui cumule administrateur et un rôle client ou abonné, tout administrateur inscrit ces deux dernières semaines, et tout mot de passe d’application que vous n’avez pas créé sur un compte administrateur. Il lit les comptes directement dans la base de données (extension 1.24.0 ou plus récente) : un administrateur caché de votre écran Utilisateurs est donc détecté lui aussi, tout comme un compte doté de pouvoirs d’administrateur sous un autre nom de rôle.
- ✓Aucun compte ne cumule administrateur et un rôle client ou abonné
- ✓Aucun administrateur caché de votre écran Utilisateurs
- ✓Aucun pouvoir d’administrateur sous un autre nom de rôle à votre insu
- ✓Aucun administrateur n’est apparu ces 14 derniers jours à votre insu
- ✓Chaque administrateur listé une fois pour que vous le confirmiez, pour qu'un compte créé par un pirate avant que Relvato ne commence à surveiller ne passe pas pour normal
- ✓Aucun mot de passe d’application que vous n’avez pas créé sur un administrateur
- ✓Aucune clé d’API REST WooCommerce ni application OAuth que vous ne connaissez pas : des accès qui contournent le formulaire de connexion et la 2FA
- ✓Le nombre total d’admins à chaque exécution, pour voir une hausse discrète
- ✓Revérifié dès qu’un rôle change ou qu’un mot de passe d’application est créé, pas seulement selon un horaire
Le mode opératoire du skimmer WooCommerce ne laisse pas un admin évident nommé « hacker ». Il prend un compte client existant et lui ajoute le rôle administrateur : le compte garde son étiquette de client et passe pour un acheteur de plus parmi des milliers. Un scanner de malware qui cherche des fichiers modifiés ne voit rien, puisque rien n’a changé sur le disque. Les mots de passe d’application en sont la version plus discrète : depuis WordPress 5.6, un administrateur peut avoir des mots de passe qui se connectent directement à l’API REST, si bien que la double authentification, les limites de connexion et un changement de mot de passe n’ont aucun effet sur eux. C’est la surveillance de la liste des administrateurs qui détecte les deux — et dès qu’un rôle change ou qu’un mot de passe d’application est créé, Relvato revérifie au lieu d’attendre le passage nocturne. Les attaquants les plus prudents vont plus loin et cachent leur administrateur de l’écran Utilisateurs avec quelques lignes de code. Le compte reste dans la base de données, et c’est là que Relvato le lit.
Un administrateur que personne ne se souvient d’avoir créé, c’est souvent par là qu’une infection revient après un nettoyage. Notre guide montre où se cache le malware WordPress et ce qu’il faut changer pour qu’il ne revienne pas.
- L’extension remonte la liste : identifiant, nom affiché, rôles, date d’inscription et le domaine de l’e-mail. Jamais l’adresse complète.
- Les comptes sont lus directement dans la base de données, pas via la liste des utilisateurs de WordPress : un administrateur que l’écran Utilisateurs a été amené à cacher apparaît quand même, et fait échouer l’exécution. Un compte doté de pouvoirs d’administrateur sous un autre rôle, ou attribués directement, est listé pour que vous le confirmiez.
- Un compte qui cumule administrateur ET un rôle client ou abonné fait échouer l’exécution : c’est une élévation, pas une création.
- Un administrateur inscrit depuis moins de 14 jours vous est présenté pour confirmation : vous l’approuvez une fois, ou vous le retirez.
- Les mots de passe d’application de chaque administrateur sont listés par nom et par date — jamais le mot de passe. Un mot de passe créé ces 14 derniers jours fait échouer l’exécution ; les plus anciens sont listés une fois chacun pour que vous les confirmiez.
Relvato lit-il les données personnelles de mes utilisateurs ?
Non. L’extension remonte, pour chaque administrateur, l’identifiant, le nom affiché, les rôles, la date d’inscription et la partie domaine de l’e-mail, ainsi que le nom et les dates de chaque mot de passe d’application : jamais l’adresse complète, jamais un mot de passe, et aucun compte sans accès de niveau administrateur.
Pourquoi « administrateur + client » est-il un problème ?
Parce que c’est une élévation, pas une configuration normale. Un vrai administrateur est créé comme tel ; un compte client qui devient aussi administrateur a presque toujours reçu ce rôle de quelqu’un qui est entré. Et il se cache bien : votre liste d’utilisateurs affiche toujours « Client ».
J’ai ajouté un admin moi-même. L’alerte va-t-elle persister ?
Non. Un administrateur tout neuf est un avertissement, pas un échec, et il disparaît une fois le compte plus vieux que deux semaines — ou tout de suite si vous marquez le constat comme vérifié.
Comment un administrateur peut-il être caché de l’écran Utilisateurs ?
WordPress construit l’écran Utilisateurs avec une requête que n’importe quelle extension peut filtrer, et le malware s’en sert pour retirer son propre compte de la liste et du nombre d’administrateurs affiché en haut. Relvato lit les comptes directement dans la base de données et compare avec ce qu’affiche l’écran Utilisateurs : un administrateur qui existe mais n’est pas listé fait échouer l’exécution. Si vous cachez un compte volontairement (certaines extensions de sécurité le font), ignorez le constat une fois. Ce qui est caché seulement dans le navigateur, en CSS ou en JavaScript, le serveur ne le voit pas comme caché — mais le compte apparaît quand même dans la liste de Relvato, où vous pouvez repérer celui que vous ne connaissez pas.
Cela fonctionne-t-il sans l’extension WordPress ?
Non. Les rôles n’existent qu’à l’intérieur de WordPress : ce moniteur a donc besoin de l’extension Relvato gratuite (1.3.0 ou plus récente ; 1.24.0 ou plus récente pour détecter les administrateurs cachés). Les moniteurs qui regardent vos pages depuis l’extérieur, non.
Qu’est-ce qu’un mot de passe d’application, et pourquoi est-ce important ?
C’est un mot de passe que WordPress (5.6 et plus récent) permet à un administrateur de créer pour des applications et des intégrations — l’application mobile, Jetpack, Zapier. Il se connecte à l’API REST sans passer par le formulaire de connexion : la double authentification et les limites de connexion ne s’appliquent pas, et changer le mot de passe du compte ne le révoque pas. Un mot de passe d’application ajouté par un attaquant lui offre donc un moyen de revenir après un nettoyage. Relvato liste chacun par nom et par date ; vous confirmez ceux que vous connaissez, et un nouveau fait échouer l’exécution.
Mettez ce moniteur en pilote automatique.
Gratuit pour toujours sur un site — 100 exécutions par mois, lancées par vous ou chaque semaine, sans carte. Pro relance vos moniteurs tout seul après chaque mise à jour.