Vérifier qu’il s’agit bien de nouveaux comptes
Des adresses inconnues apparaissent dans les utilisateurs de votre site alors que vous pensiez avoir fermé les inscriptions. Le premier objectif est d’identifier la porte encore ouverte, puis de vérifier qu’elle ne permet plus les créations indésirables. Le second est de décider du traitement des comptes déjà présents, avec leurs contenus et leurs éventuelles commandes. Fermer une inscription ne supprime pas les utilisateurs existants.
Ce guide concerne WordPress autohébergé, avec un accès administrateur aux réglages et à la liste des comptes. Pour un réseau multisite, une partie des décisions appartient au super-administrateur du réseau. Sur WordPress.com, les invitations et la gestion du compte de plateforme suivent d’autres écrans ; ne confondez pas un compte WordPress.com avec un utilisateur ajouté à votre installation indépendante.
Ouvrez Comptes, puis Tous les comptes ; selon la traduction, le menu s’appelle Utilisateurs. Recherchez deux ou trois identifiants signalés et relevez leur rôle. Un commentaire signé d’un nom inconnu n’est pas, à lui seul, un compte utilisateur. Une notification d’inscription ne suffit pas non plus à prouver qu’un compte a été créé à l’instant où vous la lisez : un courrier peut arriver en retard.
Si le rôle Administrateur apparaît sur un compte que personne ne reconnaît, faites examiner ce cas comme un accès privilégié suspect. Le guide consacré à l’administrateur inconnu devient prioritaire. Une fermeture des formulaires publics ne retire pas les accès existants et ne suffit pas à traiter un compte capable de modifier le site.
Repérer la porte ouverte avant de choisir la correction
Un site peut disposer de plusieurs parcours d’inscription. Le formulaire natif de WordPress, une boutique, une adhésion, une connexion à un service extérieur ou un import peuvent créer des utilisateurs selon leurs propres conditions. Décocher une case dans les réglages généraux n’équivaut pas à interdire toutes les créations possibles par un administrateur ou une intégration.
Relevez les pages publiques qui proposent une inscription, sans vous connecter comme administrateur. Vérifiez aussi les formulaires intégrés dans une page d’accueil, un pied de page ou une fenêtre d’adhésion. Notez leur adresse réelle et le composant qui les produit. Ne présumez pas que la page de compte d’une boutique utilise obligatoirement une adresse anglaise standard.
Rapprochez ces observations des changements récents : installation d’une boutique, ajout d’un espace membre, import de clients ou activation d’une connexion externe. Ces événements sont des pistes, pas des preuves. Un rôle Client évoque souvent une boutique, mais il ne démontre pas quel formulaire a créé l’utilisateur ; une intégration peut attribuer ce même rôle.
Décidez aussi ce qui doit rester possible. Un site éditorial peut fermer toute inscription publique et garder l’ajout manuel de collaborateurs. Une boutique peut refuser les inscriptions sans achat tout en conservant un parcours client. Écrire cette règle en une phrase évite de fermer les commandes ou les connexions de personnes déjà autorisées.
- Site WordPress simple : commencez par le réglage natif d’inscription et son rôle par défaut.
- Boutique existante : contrôlez séparément Mon compte, la commande et les options de création différée disponibles.
- Réseau multisite : faites vérifier la politique du réseau, puis les formulaires ajoutés sur chaque site concerné.
- Formulaire d’une autre extension : utilisez ses propres options, après avoir identifié précisément son origine.
Parcours 1 : fermer l’inscription native WordPress
Cette méthode convient lorsque le formulaire natif est ouvert alors que seuls des collaborateurs choisis doivent obtenir un accès. Elle ne nécessite aucune extension supplémentaire. Avec un compte administrateur, ouvrez Réglages, puis Général. Repérez la zone Inscription et la case Tout le monde peut s’inscrire, ou Anyone can register dans une interface anglaise.
Notez l’état initial, décochez cette case et cliquez sur Enregistrer les modifications en bas de l’écran. Rechargez ensuite les réglages pour vérifier que la valeur est conservée. Ne changez ni les adresses du site ni l’adresse d’administration : elles ne ferment pas les inscriptions et pourraient créer un autre problème d’accès.
Sur une installation standard hors multisite, ouvrez ensuite le parcours d’inscription natif dans une fenêtre privée, déconnectée. Si votre page de connexion habituelle est accessible directement, son lien d’inscription doit disparaître et la demande d’inscription native doit être refusée lorsque cette option est désactivée. Une URL personnalisée par un outil de connexion peut modifier le chemin ; utilisez le parcours réel du site.
Le résultat attendu est la fermeture de l’inscription publique native, avec la connexion des utilisateurs existants toujours disponible. Un administrateur autorisé peut encore ajouter un collaborateur depuis Comptes, Ajouter. Cette possibilité est normale et ne signifie pas que la case a été ignorée.
Pour revenir en arrière si une inscription ouverte était finalement nécessaire, réactivez la case et enregistrez, après avoir choisi la protection et le rôle adaptés. Ne la rouvrez pas simplement pour vérifier l’ancien comportement sur un site en cours de spam. Une lecture du réglage et un contrôle déconnecté de la fermeture suffisent pour ce premier parcours.
Contrôler le rôle par défaut sans modifier tous les utilisateurs
Dans Réglages, Général, regardez aussi Rôle par défaut de tout nouveau compte. Sur un site éditorial qui ouvre des inscriptions simples, Abonné représente habituellement un accès très limité. Un rôle Administrateur par défaut serait incompatible avec une inscription publique ordinaire. Choisissez le rôle minimal correspondant au besoin réel, puis enregistrez.
Ce réglage porte sur les créations qui l’utilisent. Il ne rétrograde pas les utilisateurs déjà enregistrés et ne garantit pas le rôle attribué par toutes les extensions. Une boutique peut créer des Clients selon son propre parcours. Ne transformez donc pas une modification du rôle par défaut en preuve que les comptes suspects existants sont devenus inoffensifs.
Si la valeur était anormalement élevée sans décision connue, conservez ce constat et recherchez qui peut modifier les réglages. Vérifiez les comptes privilégiés avec le propriétaire du site. Remettre une valeur prudente corrige une configuration actuelle ; cela ne permet pas de conclure que toute activité antérieure était légitime.
N’appliquez pas un changement collectif de rôle à tous les utilisateurs. Des rédacteurs, gestionnaires de boutique et collaborateurs peuvent avoir des missions différentes. Pour une correction individuelle autorisée, ouvrez la fiche du compte identifié, relevez son rôle, choisissez celui qui correspond à sa mission et mettez à jour. Le retour arrière consiste à rétablir le rôle précédemment convenu, pas à octroyer des droits supérieurs pour résoudre une difficulté de connexion.
Le résultat attendu est un rôle futur cohérent et une liste d’accès existants comprise. Si votre objectif est la fermeture totale de l’inscription publique, gardez également la case d’inscription décochée : réduire les droits n’empêche pas la création d’un grand nombre de comptes inutiles.
Parcours 2 : fermer l’inscription libre de WooCommerce
Ce parcours concerne uniquement une boutique qui utilise déjà WooCommerce. L’extension gratuite d’Automattic dispose de ses propres réglages clients ; il n’est pas utile de l’installer sur un site éditorial pour résoudre cette panne. Le parcours ci-dessous a été vérifié sur une copie avec WooCommerce 11.2.1. Les fonctions d’autres extensions commerciales doivent être examinées séparément.
Ouvrez WooCommerce, Réglages, puis Comptes et confidentialité. Dans la création de compte, repérez l’option Sur la page Mon compte, ou On “My account” page. Si vous ne souhaitez pas d’inscription sans achat depuis cette page, décochez cette option et enregistrez les modifications. Conservez une note de sa valeur initiale.
Ouvrez la véritable page Mon compte dans une fenêtre privée. Le formulaire d’inscription proposé par ce réglage doit disparaître, tandis que le formulaire de connexion reste disponible pour les clients existants. Ne supprimez pas la page Mon compte : elle peut aussi donner accès aux commandes, aux téléchargements et aux informations des clients déjà inscrits.
Cette option fonctionne indépendamment de Tout le monde peut s’inscrire dans WordPress. La fermeture native seule ne suffit donc pas à masquer l’inscription WooCommerce. À l’inverse, masquer le formulaire Mon compte ne constitue pas une interdiction universelle de création de clients par la commande, une API, un import ou une extension. Le contrôle porte sur cette porte précise.
Si le formulaire reste visible, vérifiez qu’il provient bien de WooCommerce et qu’une autre extension ou un constructeur ne l’a pas remplacé. Actualisez la copie en cache de cette page selon le système déjà présent. Si les créations continuent malgré un formulaire fermé, relevez les nouvelles occurrences et recherchez leur route ; ne concluez pas qu’un formulaire invisible équivaut à un blocage de toutes les requêtes.
Le résultat attendu est l’absence d’inscription libre sur Mon compte, avec une connexion client fonctionnelle. Pour revenir en arrière, réactivez uniquement cette option et enregistrez. Le traitement des comptes déjà créés reste distinct : cette case ne les supprime pas.
Préserver les achats lorsque la boutique crée des comptes
Dans le même écran WooCommerce, distinguez la connexion à un compte existant, la commande en invité et la création d’un nouveau compte. La connexion pendant la commande ne crée pas, à elle seule, un utilisateur. Désactiver son invitation pour réduire le spam peut seulement compliquer la vie des clients connus sans fermer la bonne porte.
Les versions récentes peuvent proposer des créations Pendant la commande et Après la commande. Examinez chaque option disponible dans votre version. Si votre politique interdit toute nouvelle inscription client publique, désactivez les créations concernées puis enregistrez. Si vous voulez seulement empêcher les inscriptions sans achat, ne fermez pas automatiquement un parcours client nécessaire : vérifiez d’abord quel scénario est réellement exploité.
Contrôlez aussi la commande en invité. Si vous supprimez toute possibilité de création tout en exigeant un compte pour acheter, un nouveau client peut se retrouver sans parcours utilisable. Laissez une commande en invité uniquement si elle correspond à vos produits et à votre politique ; elle n’est pas un remplacement universel d’un compte, notamment pour des achats qui en ont besoin.
Les abonnements et espaces réservés peuvent ajouter leurs propres exigences. Si une extension affiche une option particulière de création pour les clients abonnés, faites valider sa portée avant de la fermer. Ne désactivez pas un service déjà vendu pour faire disparaître une vague d’inscriptions. Commencez par fermer la porte publique inutile et gardez les accès contractuels existants.
Le contrôle complet du parcours d’achat doit se faire dans un environnement de test isolé, avec base distincte, courriels et intégrations réelles neutralisés et moyen de paiement en mode test. Sur la boutique active, observez les formulaires sans passer une commande réelle pour ce diagnostic. Le retour arrière consiste à remettre les options sauvegardées ; il ne demande ni restauration de toute la base ni suppression de commandes.
Parcours 3 : vérifier la politique d’un réseau multisite
Si Mes sites donne accès à une administration de réseau, les inscriptions natives dépendent de la politique du réseau. Un administrateur de site peut ne pas disposer du réglage nécessaire. Avec le super-administrateur responsable, ouvrez Mes sites, Administration du réseau, puis Réglages et Réglages du réseau.
Dans les réglages d’inscription, repérez l’autorisation des nouvelles inscriptions. Le cœur propose plusieurs politiques : inscriptions désactivées, création de comptes, création de sites par des utilisateurs connectés, ou ouverture aux comptes et aux sites. Si aucune inscription publique n’est voulue, choisissez la désactivation et enregistrez. Conservez la valeur initiale et faites vérifier l’effet sur les sites qui utilisaient cette ouverture.
Ne confondez pas cette décision avec l’autorisation donnée aux administrateurs de sites d’ajouter des utilisateurs. Une invitation administrative et une inscription publique constituent deux parcours différents. Un utilisateur déjà présent dans le réseau peut également être rattaché à un autre site ; l’apparition dans une liste locale n’établit pas forcément une nouvelle création dans le réseau.
Le résultat attendu est la fermeture du parcours natif public selon la politique choisie. Vérifiez la page d’inscription du réseau dans une session déconnectée, puis les formulaires spécifiques des sites concernés. Les extensions de boutique ou d’adhésion peuvent encore nécessiter leurs propres réglages.
Pour revenir en arrière, le responsable du réseau rétablit la politique initiale après avoir vérifié le besoin des sites. Ne faites pas supprimer un utilisateur au niveau du réseau pour le retirer d’un seul site : la portée pourrait concerner plusieurs espaces et leurs contenus. Le traitement d’un compte existant demande une décision séparée et documentée.
Si des comptes continuent à apparaître après fermeture
Choisissez une période d’observation à partir de l’heure de sauvegarde des réglages. Relevez uniquement les comptes réellement nouveaux et leurs rôles, avec les informations déjà disponibles. Une liste inchangée après fermeture reste normale : les comptes antérieurs ne disparaissent pas. Une notification reçue après votre intervention peut aussi concerner une création antérieure.
Si les journaux d’accès de l’hébergement sont disponibles, demandez les requêtes autour de quelques créations précises : heure, chemin et méthode de requête. Fournissez l’adresse du site concerné et les réglages fermés. Évitez de transmettre des journaux complets contenant cookies ou jetons. Ces éléments permettent de distinguer une inscription publique, une intégration, un ajout administratif et un formulaire tiers.
Pour un formulaire d’adhésion identifié, ouvrez ses réglages et cherchez son autorisation propre d’inscription publique. Utilisez la documentation de sa version avant de modifier une option. Il n’existe pas de menu universel valable pour toutes ces extensions. Ne désactivez pas globalement une boutique, un espace membre ou une connexion utilisée par les collaborateurs sur le site actif pour faire un essai.
Un antispam de commentaires ne ferme pas ces créations de comptes. Une protection de la connexion native ne couvre pas automatiquement chaque formulaire personnalisé. Si une inscription doit rester ouverte, choisissez une protection compatible avec le formulaire exact et contrôlez qu’un lecteur légitime peut encore l’utiliser. Ajouter une protection au mauvais endroit ne corrige pas la route réellement exploitée.
Séparer le nettoyage des comptes et le contrôle final
Avant de supprimer un compte suspect, vérifiez ses contenus, ses commandes et les échanges associés. Un nom inhabituel ou l’absence d’article publié ne prouve pas qu’il est inutile : un client peut n’avoir écrit aucun contenu. Conservez les éléments nécessaires à la décision avec le responsable du site et préparez une sauvegarde adaptée avant toute suppression.
Évitez les suppressions collectives fondées seulement sur le rôle Abonné ou Client. Sur un réseau, vérifiez aussi les autres appartenances. Si un compte possède des droits anormalement élevés, traitez d’abord ses accès et la cause de leur attribution avec le parcours de sécurité approprié. La fermeture des inscriptions publiques est une mesure de configuration ; elle ne remplace pas cette investigation.
Terminez par trois constats concrets : la bonne option est enregistrée, le formulaire public visé n’offre plus la création indésirable et les utilisateurs existants gardent leur connexion attendue. Pour une boutique, ajoutez la validation du parcours client dans l’environnement isolé avant de conserver une modification qui affecte la commande.
Gardez une note des portes volontairement ouvertes et de leur responsable. Lors de l’ajout d’un espace membre, d’une boutique ou d’une connexion externe, reprenez cette vérification. Le site reste plus facile à contrôler lorsque chaque création de compte correspond à un parcours connu, plutôt qu’à une supposition sur une seule case WordPress.
Comparer les réglages avant et après la fermeture
Si vous avez déjà WP-CLI, lancez ces lectures depuis le dossier de la copie WordPress. Les deux premières indiquent l’état de l’inscription publique native et le rôle par défaut. La troisième s’applique à une boutique où WooCommerce est installé.
Dans notre copie, la première commande affichait 1 lorsque le parcours natif était ouvert. Le rôle choisi était subscriber. WooCommerce renvoyait yes pour l’inscription sur Mon compte, puis ce réglage est passé à no lors de sa fermeture. Vérifiez toujours le résultat côté visiteur. Une valeur enregistrée peut coexister avec un autre formulaire fourni par un composant différent.
Nous avons vérifié deux parcours sur une copie avec WordPress 7.1.4 et WooCommerce 11.2.1. La fermeture native a retiré le formulaire natif et laissé l’inscription WooCommerce visible. La fermeture de l’option WooCommerce a ensuite masqué son formulaire d’inscription et laissé la connexion accessible. Le compte fictif déjà créé a conservé sa capacité à s’authentifier. Le rétablissement des deux valeurs initiales a réaffiché les formulaires. Le parcours de paiement et le réglage réseau doivent être contrôlés séparément sur la copie correspondant à votre installation.
wp option get users_can_register
wp option get default_role
wp option get woocommerce_enable_myaccount_registration
