Comment configurer un journal d'audit WordPress en moins de 10 minutes

Vous vous connectez à WordPress, et quelque chose cloche.

Un plugin que vous n'avez pas installé est actif. Un article a été modifié à 2h du matin. Le rôle d'un utilisateur a été modifié, et personne dans votre équipe ne l'a fait.

Vous cherchez des réponses et ne trouvez rien. Aucun journal. Aucune trace. Il n'y a aucun moyen de savoir ce qui s'est passé ni qui l'a fait.

C'est l'état par défaut de chaque site WordPress. WordPress n'enregistre pas les actions des utilisateurs. Il ne l'a jamais fait.

Il n'y a aucun enregistrement intégré de qui a publié quoi, qui a modifié un paramètre, qui s'est connecté d'où, ou qui a supprimé quelque chose. Si quelque chose tourne mal sur votre site, vous partez de zéro à moins d'avoir configuré un journal avant que le problème ne survienne.

C'est ce que ce tutoriel couvre. Je vais vous guider dans la configuration d'un journal d'audit complet de WordPress.

À la fin, vous saurez exactement ce qui se passe sur votre site, qui le fait, et quoi faire quand quelque chose semble erroné.

Voici les points clés à retenir :

• WordPress n'a pas de journal d'audit intégré. Rien n'est enregistré par défaut, ce qui signifie que sans un plugin déjà en cours d'exécution avant qu'un problème ne survienne, cet historique n'existe pas.
• Le journal ne capture les événements qu'à partir du moment de l'activation. Si vous configurez cela après un incident, le journal ne récupérera pas ce qui s'est passé avant que vous ne l'installiez.
• Activity Log by Duplicator attribue un niveau de gravité à chaque événement (Critique, Élevé, Moyen, Faible ou Info), vous permettant ainsi de hiérarchiser ce qui compte réellement au lieu de parcourir des centaines d'entrées routinières.
• Associer Activity Log by Duplicator à Duplicator Pro vous offre deux niveaux de protection : un journal pour comprendre ce qui s'est passé et une sauvegarde à restaurer si vous devez agir.

Table des matières

WordPress ne conserve pas de journal d'audit par défaut

La plupart des propriétaires de sites supposent que WordPress suit les modifications quelque part en arrière-plan. Ce n'est pas le cas.

Il n'y a pas de journal natif des actions des utilisateurs dans le cœur de WordPress. Aucune trace de qui a modifié un article, qui a installé un plugin, qui a changé l'e-mail d'administration de votre site, ou qui s'est connecté depuis une adresse IP que vous ne reconnaissez pas.

Lorsque quelque chose tourne mal, ces informations sont perdues à moins qu'un plugin ne les ait déjà capturées.

Un journal d'audit comble cette lacune. C'est un enregistrement horodaté de chaque action effectuée sur votre site, lié à un compte utilisateur et une adresse IP spécifiques.

Considérez-le comme une caméra de sécurité pour votre administration WordPress. Il n'empêche pas les problèmes, mais il vous dit exactement ce qui s'est passé et qui en était responsable.

Un journal d'audit complet couvre ces catégories d'activité :

• Connexions et déconnexions des utilisateurs, y compris les tentatives de connexion échouées et les sessions terminées depuis des emplacements inconnus
• Modifications de contenu, y compris les modifications d'articles, les changements de statut et les suppressions
• Activité des plugins et thèmes, y compris les installations, activations, désactivations et mises à jour
• Modifications des paramètres de WordPress, y compris les modifications de l'URL de votre site, de l'e-mail d'administration, de la structure des permaliens et des paramètres d'enregistrement des utilisateurs
• Modifications des comptes utilisateurs, y compris les nouveaux enregistrements d'utilisateurs, les modifications de rôles et les réinitialisations de mot de passe
• Activité de la médiathèque, y compris les téléversements, modifications et suppressions

Une chose à savoir avant de commencer : un journal ne capture que les événements à partir du moment où il devient actif. Si quelque chose s'est produit sur votre site avant que vous n'installiez un plugin de journalisation, cet historique n'est pas récupérable à partir du journal. La mise en place maintenant, avant que quoi que ce soit ne tourne mal, est le but principal.

Comment configurer un journal d'audit WordPress

La configuration d'un journal d'audit pour WordPress prend moins de dix minutes. Voici le processus complet :

• Étape 1 : Installer Activity Log by Duplicator : Mettez le plugin en marche sur votre site, ce qui prend moins de deux minutes et ne nécessite aucun codage.
• Étape 2 : Examiner les paramètres d'événements par défaut : Confirmez que les bonnes catégories d'activité sont activées pour votre type de site, mais les paramètres par défaut couvrent la plupart des sites.
• Étape 3 : Configurer les notifications par e-mail : Configurez des alertes pour les événements de gravité Critique et Élevée afin d'être informé des problèmes immédiatement au lieu de les découvrir des jours plus tard lors d'une revue manuelle du journal.
• Étape 4 : Lire votre première entrée de journal : Apprenez ce que contient chaque entrée, ce que signifie le codage couleur de gravité, et comment filtrer le journal afin de trouver rapidement un événement spécifique sur un site actif.
• Étape 5 : Répondre à un événement suspect : Un journal d'audit ne sert à rien si vous ne pouvez pas vous remettre d'une activité suspecte. Restaurez une sauvegarde propre en un clic avec Duplicator Pro (qui s'associe à Activity Log).

Étape 1 : Installer Activity Log by Duplicator

Activity Log by Duplicator est un plugin WordPress qui enregistre chaque action significative sur votre site en temps réel. Il suit plus de 60 types d'événements dans neuf catégories :

• Utilisateurs
• Contenu
• Média
• Plugins
• Thèmes
• Paramètres du cœur de WordPress
• Apparence
• Taxonomies
• Paramètres du site

Chaque événement est marqué d'un niveau de gravité (Critique, Élevée, Moyenne, Faible ou Info), vous pouvez donc trier ce qui est important au lieu de faire défiler une liste de centaines d'entrées.

Le plugin masque également automatiquement les données sensibles. Si un mot de passe ou une clé API est impliqué dans un événement enregistré, cette valeur est masquée dans le journal. Vous obtenez l'enregistrement d'audit sans exposer les identifiants.

Pour l'installer, achetez Activity Log, à partir de 29 $ par an. Vous pouvez également l'obtenir gratuitement dans le plan Duplicator Elite, qui comprend WP Media Cleanup et Duplicator Pro.

Téléchargez le plugin et téléversez-le sur WordPress.

Activez votre clé de licence sous Activity Log » Paramètres. Après activation, vous verrez une coche verte. C'est votre confirmation que le plugin fonctionne.

La journalisation commence maintenant !

Étape 2 : Examiner les paramètres d'événements par défaut

Activity Log by Duplicator suit plus de 60 types d'événements. Certains sites n'auront pas besoin de toutes les catégories actives, alors passez quelques minutes à vérifier ce qui est activé avant de commencer à vous fier au journal.

Depuis votre barre latérale, allez dans Activity Log » Paramètres, puis cliquez sur l'onglet Événements.

Vous verrez une liste des neuf catégories de suivi : Utilisateur, Contenu, Média, Plugin, Thème, WordPress, Apparence, Taxonomie et Paramètres. Chaque catégorie peut être activée ou désactivée.

Si vous voulez voir ce qui est inclus dans chaque catégorie, faites défiler jusqu'à Types d'événements enregistrés. Cliquez sur la catégorie dont vous n'êtes pas sûr.

Pour un site typique, les paramètres par défaut couvrent l'activité la plus importante. Les connexions, les modifications de contenu, les installations de plugins et les modifications de paramètres sont tous capturés dès la sortie de la boîte.

Si vous gérez un site multi-auteurs, un site d'adhésion ou tout site où plusieurs personnes ont un accès administrateur ou éditeur, ouvrez la catégorie Utilisateur et assurez-vous qu'elle est entièrement activée.

Le journal d'activité capture les changements de rôle, les réinitialisations de mot de passe et les nouvelles inscriptions d'utilisateurs. Ces événements doivent être surveillés pour les problèmes de compte.

Sur un site à fort trafic, un journal entièrement activé se développe rapidement. Vous pourriez envisager de désactiver les catégories qui ont principalement des événements de faible gravité, comme Apparence ou Taxonomie.

Lorsque vous ouvrez le journal, vous commencerez à voir les entrées se remplir en quelques minutes d'activité normale du site.

Étape 3 : Configurer les notifications par e-mail

Le journal n'est utile que si vous le consultez. Le vérifier manuellement tous les jours n'est pas réaliste, c'est pourquoi les notifications par e-mail sont importantes.

Vous recevrez des alertes au moment où un événement de haute gravité se produit, afin que vous soyez immédiatement informé d'une connexion suspecte ou d'une installation de plugin inattendue.

Depuis votre barre latérale, allez dans Journal d'activité » Paramètres et cliquez sur l'onglet Notifications. Activez les notifications par e-mail et entrez l'adresse où vous souhaitez que les alertes soient envoyées.

Vous verrez une liste de types d'événements, chacun avec un interrupteur pour déclencher des e-mails. Je recommanderais d'activer les notifications pour les événements de gravité Critique et Élevée. Ceux-ci couvrent les actions ayant de réelles implications de sécurité : pics de connexions échouées, changements de rôle d'administrateur, installations de plugins et modifications des paramètres principaux.

Laissez les événements de gravité Info, Moyenne et Faible uniquement dans le journal pour l'instant. Ces catégories couvrent l'activité de contenu de routine comme les mises à jour de publication, les ajouts d'étiquettes et les téléversements de médias.

L'activation de toutes les alertes par e-mail génère du bruit qui vous habitue à ignorer votre boîte de réception, ce qui va à l'encontre de l'objectif. Cependant, cela dépend entièrement de vous et de vos préférences.

Une petite note sur ce que signifient les niveaux de gravité :

• Critique couvre les actions ayant un impact majeur sur l'ensemble du site.
• Élevée couvre les changements pertinents pour la sécurité qui justifient une attention immédiate : utilisateurs supprimés, connexions échouées ou rôles d'utilisateur modifiés
• Moyenne couvre l'activité éditoriale standard : suppressions de pages ou désactivations de plugins
• Faible couvre les changements mineurs ou cosmétiques : définir des images mises en avant, des publications mises à jour ou des commentaires approuvés.
• Info couvre l'activité standard comme vos connexions/déconnexions.

Pour confirmer que les notifications fonctionnent, déconnectez-vous et essayez des identifiants de connexion incorrects. Un événement de connexion échouée est de gravité Élevée. Si votre e-mail de notification arrive dans une minute ou deux, vous êtes correctement configuré.

Étape 4 : Lire votre première entrée de journal

Savoir lire une entrée de journal transforme la piste d'audit d'un simple tas de données en quelque chose d'utile.

Chaque ligne du journal représente un événement unique. En lisant de gauche à droite, vous verrez l'indicateur de niveau de gravité, l'horodatage, la description de l'événement, l'utilisateur qui l'a déclenché, l'adresse IP d'où provient l'action et la source.

Les niveaux de gravité sont codés par couleur pour un balayage rapide.

• ​​🔴 Élevé
• 🟡 Moyen
• 🔵 Faible

Sur un site sain, la plupart des entrées seront jaunes et bleues. Les entrées rouges méritent d'être lues chaque fois que vous les voyez.

Pour filtrer le journal, utilisez les contrôles en haut. Vous pouvez filtrer par catégorie, niveau de gravité ou plage de dates.

Sur un site actif avec plusieurs utilisateurs, le filtrage est le moyen de trouver rapidement quoi que ce soit. Commencez par la gravité, puis affinez par plage de dates pour la période qui vous intéresse.

À quoi ressemble la normale : connexions depuis votre adresse IP habituelle, mises à jour de contenu à partir de comptes d'auteurs connus et mises à jour de plugins pendant votre fenêtre de maintenance habituelle. Après une semaine d'examen du journal, vous aurez une idée claire de la base de référence de votre site. Tout ce qui sort de ce schéma mérite un second regard.

Étape 5 : Répondre à un événement suspect

Trouver quelque chose de malveillant dans le journal n'est utile que si vous savez quoi faire ensuite. La piste d'audit vous indique ce qui s'est passé. Duplicator Pro vous permet de l'annuler.

Avant de prendre toute mesure, enregistrez tous les détails de l'événement : horodatage, compte utilisateur, adresse IP et exactement ce qui a été modifié. Exportez l'entrée du journal au format CSV ou JSON en utilisant le bouton d'exportation en haut de l'écran du journal d'activité.

Si vous utilisez Duplicator, trouvez votre sauvegarde propre la plus récente. Vous voulez savoir exactement ce que vous avez avant de commencer à apporter des modifications. Une sauvegarde propre datant d'avant l'événement suspect est votre solution de repli pour tous les scénarios ci-dessous.

Voici les quatre scénarios les plus courants pour trouver une activité suspecte dans WordPress et quoi faire dans chacun d'eux.

Une connexion depuis une adresse IP inconnue

Vérifiez si le compte utilisateur appartient à un membre réel de l'équipe et demandez-lui de confirmer la connexion. S'il ne peut pas le confirmer, allez dans Utilisateurs » Tous les utilisateurs, ouvrez le profil de cet utilisateur et faites défiler jusqu'en bas.

Cliquez sur Se déconnecter partout pour terminer toutes les sessions actives de ce compte. Ensuite, forcez une réinitialisation du mot de passe. S'il y a une chance que les identifiants de tout le site aient été partagés ou réutilisés, changez également le mot de passe de l'administrateur.

Vérifiez le journal pour d'autres événements liés à la même adresse IP dans la même fenêtre temporelle. Une connexion est rarement la seule chose qu'un compte compromis touche.

Un plugin a été installé que vous n'avez pas installé

Désactivez et supprimez immédiatement le plugin, à moins que quelqu'un de votre équipe ne puisse confirmer qu'il l'a installé intentionnellement. Ensuite, vérifiez le journal pour d'autres événements liés au même utilisateur ou à la même adresse IP dans la même fenêtre temporelle.

Une installation de plugin se produit rarement seule. Recherchez des modifications de paramètres, des modifications de rôles d'utilisateur ou des modifications de fichiers qui encadrent l'installation.

Si le journal montre que le plugin a été actif pendant plus de quelques heures avant que vous ne le détectiez, traitez le site comme potentiellement modifié.

Il n'est pas réaliste de rétablir manuellement toutes les modifications qu'un plugin malveillant a pu apporter. Il est beaucoup plus facile de restaurer complètement à partir d'une sauvegarde connue et propre.

Ouvrez Duplicator Pro, allez dans Sauvegardes et identifiez la sauvegarde la plus récente qui précède l'événement d'installation. Restaurez cette sauvegarde en un clic.

Une modification des paramètres est apparue et personne ne la revendique

L'entrée du journal indiquera le paramètre spécifique qui a été modifié et, dans de nombreux cas, la valeur à laquelle il a été modifié. Comparez le paramètre actuel à ce qu'il devrait être.

S'il s'agit d'une modification unique, vous pouvez la rétablir manuellement. Accédez à l'écran des paramètres concerné et restaurez la valeur correcte.

Si le journal montre plusieurs paramètres modifiés dans une courte période, n'essayez pas de les reconstruire un par un. Ouvrez Duplicator Pro, trouvez une sauvegarde datant d'avant la fenêtre d'événement et restaurez.

Une modification de paramètre isolée est une correction de cinq minutes. Un ensemble de modifications coordonnées est un travail de récupération, et Duplicator Pro s'en charge en quelques clics.

Après la restauration, confirmez la date de la sauvegarde dans le tableau de bord Duplicator Pro et vérifiez le journal d'activité pour vous assurer que la version restaurée est antérieure à chaque entrée suspecte.

Le rôle d'un utilisateur a été élevé sans explication

Les modifications de rôle sont des événements de gravité élevée. Si vous n'avez pas effectué la modification, considérez le compte comme potentiellement compromis.

Rétablissez immédiatement le rôle en accédant à Utilisateurs » Tous les utilisateurs, en cliquant sur le compte concerné et en restaurant le rôle dans la liste déroulante Rôle.

Puis, examinez le journal d'activité complet de ce compte utilisateur à partir du moment où le rôle a été élevé. Recherchez toutes les actions que les autorisations élevées auraient rendues possibles : installations de plugins, modifications de paramètres, création de nouveaux utilisateurs ou modifications de fichiers.

Si ces actions existent dans le journal, utilisez Duplicator Pro pour restaurer une sauvegarde antérieure à la modification du rôle. C'est plus rapide et plus fiable que de traquer chaque modification qu'un compte élevé aurait pu effectuer.

Questions fréquemment posées (FAQ)

Votre site a maintenant une mémoire

Avant d'installer Activity Log by Duplicator, votre site WordPress n'enregistrait rien. Chaque connexion, modification de paramètre et installation de plugin se produisait et disparaissait sans laisser de trace. Si quelque chose tournait mal, vous deviez deviner.

Ce n'est plus le cas. Vous disposez d'un journal en cours d'exécution de chaque action significative sur votre site, classée par utilisateur, horodatage, adresse IP et niveau de gravité.

Vous savez comment lire une entrée, comment filtrer ce qui est important et quoi faire lorsque quelque chose semble anormal. C'est un changement significatif dans le contrôle que vous exercez sur votre propre site.

À l'avenir, faites de la revue des journaux une habitude. Consultez le journal d'activité une fois par semaine, concentrez-vous d'abord sur les entrées Élevées et Critiques, et enquêtez sur tout ce qui sort du schéma normal de votre site.

La plupart du temps, ce ne sera rien. Occasionnellement, ce sera la chose que vous deviez attraper tôt.

Chaque action non enregistrée sur votre site est un angle mort. Un plugin est installé, un paramètre est modifié, un compte est compromis, et sans piste d'audit, vous le découvrez des semaines plus tard, si jamais. Le journal n'empêche pas les problèmes, mais il signifie que vous n'avez plus jamais à deviner ce qui s'est passé ou qui l'a fait.

Plus de 1,5 million de professionnels WordPress utilisent Duplicator pour protéger leurs sites. Activity Log by Duplicator vous offre un enregistrement complet et consultable de tout ce qui se passe sur votre site, avec un triage basé sur la gravité, des alertes par e-mail et la censure des données sensibles intégrées.

Associez Activity Log à Duplicator Pro, et vous aurez un journal pour comprendre ce qui s'est passé et une sauvegarde à restaurer si vous devez agir.

Si ce tutoriel vous a aidé, ces guides méritent également d'être lus.

• La plupart des plugins d'activité WordPress vous disent ce qui a cassé — un vous aide à le réparer
• Checklist de sécurité WordPress : Guide étape par étape pour protéger votre site
• Checklist de maintenance WordPress : 20 tâches essentielles (2026)
• Comment créer un site de staging WordPress (pour des tests en toute sécurité)
• Arrêtez d'être bloqué hors de WordPress : le guide de prévention que j'aurais aimé avoir
• WordPress ne suit pas l'activité par défaut : voici ce que je fais à ce sujet
• Comment suivre TOUTES les modifications sur votre site WordPress (avant qu'il ne plante)