C’est quoi un Application Password WordPress ? L’accès sécurisé expliqué
Un Application Password (mot de passe d’application) est un code généré par WordPress, distinct du mot de passe principal du compte, qui permet à un script, un logiciel externe ou un assistant IA de s’authentifier auprès de l’API sans jamais connaître le vrai mot de passe — et qu’on peut révoquer à tout moment sans toucher au compte principal.
Un Application Password est un accès secondaire et révocable, qui permet à un outil externe de se connecter à WordPress sans jamais partager le mot de passe principal du compte.
Un Application Password WordPress, c’est quoi exactement ?
Introduit nativement dans WordPress 5.6 (décembre 2020), l’Application Password est un code de 24 caractères généré automatiquement, affiché en groupes de 4 caractères pour plus de lisibilité et pour limiter le risque d’erreur de copie. Il se crée depuis le profil de chaque utilisateur et sert exclusivement à authentifier les connexions programmatiques, notamment vers l’API REST de WordPress — il ne remplace pas le mot de passe utilisé pour se connecter à l’administration.
Selon le guide d’intégration publié sur le blog officiel des développeurs WordPress (make.wordpress.org), cette fonctionnalité vise précisément à éviter qu’un script ou une application tierce n’ait besoin de connaître le mot de passe principal du compte. Avant son arrivée, les intégrations externes devaient souvent recourir à des plugins tiers spécialisés pour obtenir un niveau de sécurité comparable, avec une qualité et une maintenance très variables selon l’éditeur.
Sert à se connecter à l’administration WordPress avec tous les droits du compte.
Un code distinct dédié à l’authentification d’un script ou d’un outil externe.
Chaque code peut être supprimé individuellement, à tout moment, sans impact sur le compte.
| Critère | Mot de passe principal | Application Password |
|---|---|---|
| Usage prévu | Connexion humaine à l’administration | Authentification d’un script ou d’une IA |
| Nombre possible | Un seul par compte | Plusieurs, un par application |
| Révocation | Change l’accès à tout, partout | Individuelle, sans impact sur le reste |
| Risque en cas de fuite | Accès complet au compte | Limité à cette application, révocable |
Comment créer un Application Password sur WordPress ?
- 1. Ouvrir son profilDans l’administration, aller dans Utilisateurs > Votre profil (ou Profil pour un simple utilisateur).
- 2. Trouver la section dédiéeDescendre jusqu’à « Mots de passe d’application », tout en bas de la page de profil.
- 3. Nommer l’applicationDonner un nom explicite (par exemple « Script de publication blog ») puis cliquer sur « Ajouter le nouveau mot de passe d’application ».
- 4. Copier le code immédiatementLe code n’est affiché qu’une seule fois : il faut le copier tout de suite dans un gestionnaire de mots de passe ou une variable d’environnement sécurisée.
Si le code est perdu, il est impossible de le récupérer : il faut en générer un nouveau et supprimer l’ancien depuis le profil WordPress.
Comment l’utiliser avec l’API REST ?
Une fois généré, l’Application Password se combine avec l’identifiant de connexion de l’utilisateur pour authentifier chaque requête envoyée à l’API REST de WordPress, selon le standard d’authentification HTTP Basic. C’est exactement ce mécanisme qui permet à un script planifié, à un outil comme n8n ou Make, ou à un assistant IA, de créer un article ou d’envoyer une image sans jamais ouvrir l’administration ni connaître le mot de passe principal du compte.
Dans la pratique, ce code s’enregistre une seule fois dans la configuration de l’outil externe (variable d’environnement, gestionnaire de secrets ou champ de configuration dédié), puis chaque requête l’envoie automatiquement sans intervention manuelle supplémentaire.
Application Password : quelles bonnes pratiques de sécurité ?
- Un code par usage : créer un Application Password distinct pour chaque script ou outil, jamais un seul code partagé partout.
- Nommer clairement chaque code pour identifier facilement son usage lors d’un audit ultérieur.
- Révoquer les codes inutilisés régulièrement, en particulier après la fin d’un projet ou le départ d’un prestataire.
- Ne jamais committer un Application Password dans un dépôt Git, même privé : il doit rester dans une variable d’environnement ou un gestionnaire de secrets, jamais écrit en clair dans un fichier versionné.
- HTTPS obligatoire : WordPress ne propose même pas la création d’Application Passwords si le site n’est pas servi en HTTPS, pour éviter qu’un code ne circule en clair sur le réseau.
Quels sont les avantages et les limites de cette méthode ?
Avantages
- Aucun besoin de partager le vrai mot de passe du compte avec un tiers ou un prestataire.
- Révocable indépendamment, application par application, sans changer les autres accès.
- Activé nativement dans WordPress, sans plugin ni configuration supplémentaire.
Limites à connaître
- N’offre pas de restriction fine des droits : le code hérite de tous les droits du rôle de l’utilisateur qui l’a créé.
- Nécessite un site en HTTPS pour être proposé par WordPress.
- Doit être stocké aussi soigneusement qu’un mot de passe classique, jamais en clair dans un fichier partagé.
Ce que nous observons chez les projets que nous accompagnons
Voici un exemple représentatif de notre pratique, sans donnée client ni chiffre inventé.
Un code dédié, jamais le mot de passe administrateur
Chez Amari Agency, l’automatisation qui publie les articles de ce blog s’authentifie via un Application Password dédié, jamais avec le mot de passe administrateur principal du site : si ce code venait à fuiter, il suffit de le révoquer depuis le profil WordPress, sans toucher au compte principal ni au reste du site.
Cette séparation nous a déjà évité, sur un projet client, de devoir changer le mot de passe administrateur principal après le départ d’un prestataire externe : il a suffi de révoquer le seul Application Password qui lui avait été fourni.
Quels contenus lire ensuite ?
Ces ressources complètent cette définition sans cibler la même requête :
Questions fréquentes sur l’Application Password WordPress
Un Application Password remplace-t-il le mot de passe principal ?
Non, il coexiste avec lui : le mot de passe principal reste utilisé pour se connecter à l’administration, l’Application Password sert uniquement aux connexions programmatiques.
Peut-on créer plusieurs Application Passwords ?
Oui, et c’est même recommandé : un code distinct par script ou outil facilite le suivi et la révocation ciblée.
L’Application Password fonctionne-t-il sans HTTPS ?
Non, WordPress n’active pas cette fonctionnalité par défaut si le site n’est pas servi en HTTPS.
Comment révoquer un Application Password ?
Depuis le profil WordPress, dans la liste des mots de passe d’application créés, un bouton permet de supprimer immédiatement celui souhaité.
Un Application Password donne-t-il tous les droits du compte ?
Oui, il hérite des droits du rôle de l’utilisateur qui l’a créé : mieux vaut donc le générer depuis un compte aux droits adaptés à l’usage prévu.
Un Application Password permet-il de se connecter à l’administration WordPress ?
Non, il est conçu pour l’authentification des requêtes vers l’API REST, pas pour remplacer la connexion classique à l’écran d’administration.