Comment configurer un journal d'audit WordPress en moins de 10 minutes

Vous vous connectez à WordPress, et quelque chose cloche.

Un plugin que vous n'avez pas installé est activé. Un article a été modifié à 2 heures du matin. Le rôle d'un utilisateur a été modifié, et personne de votre équipe ne l'a fait.

On cherche des réponses, mais on ne trouve rien. Pas de journal. Pas de trace. Impossible de savoir ce qui s'est passé ni qui en est responsable.

C'est le comportement par défaut de tout site WordPress. WordPress n'enregistre pas les actions des utilisateurs. Il ne l'a jamais fait.

Il n'existe aucun historique intégré indiquant qui a publié quoi, qui a modifié un paramètre, qui s'est connecté depuis quel endroit ou qui a supprimé quelque chose. Si un problème survient sur votre site, vous repartirez de zéro, à moins d'avoir mis en place un journal avant que le problème ne se produise.

C'est justement le sujet de ce tutoriel. Je vais vous expliquer étape par étape comment mettre en place un journal d'audit complet sous WordPress.

À la fin, vous saurez exactement ce qui se passe sur votre site, qui en est responsable et comment réagir si quelque chose semble ne pas fonctionner correctement.

En voici les principaux enseignements :

• WordPress ne dispose pas de journal d'audit intégré. Par défaut, rien n'est enregistré, ce qui signifie que si aucun plugin n'est déjà activé avant qu'un problème ne survienne, cet historique n'existe pas.
• Le journal n'enregistre les événements qu'à partir du moment où il a été activé. Si vous le configurez après un incident, le journal ne permettra pas de retracer ce qui s'est passé avant son installation.
• L'Activity Log de Duplicator attribue à chaque événement un niveau de gravité (Critique, Élevé, Moyen, Faible ou Info), ce qui vous permet de vous concentrer sur ce qui compte vraiment au lieu de faire défiler des centaines d'entrées courantes.
• L'association du journal d'activité de Duplicator et de Duplicator Pro vous offre une double protection : un journal qui vous permet de comprendre ce qui s'est passé, et une sauvegarde à partir de laquelle vous pouvez restaurer vos données si vous devez prendre des mesures.

Table des matières

Par défaut, WordPress ne conserve pas de journal d'audit

La plupart des propriétaires de sites pensent que WordPress enregistre les modifications en arrière-plan. Ce n'est pas le cas.

Le cœur de WordPress ne dispose pas de journal natif des actions des utilisateurs. Il n'y a aucune trace permettant de savoir qui a modifié un article, qui a installé un plugin, qui a modifié l'adresse e-mail de l'administrateur de votre site ou qui s'est connecté depuis une adresse IP que vous ne reconnaissez pas.

En cas de problème, ces informations sont perdues, à moins qu'un plugin ne les ait déjà enregistrées.

Une piste d'audit comble cette lacune. Il s'agit d'un enregistrement horodaté de toutes les actions effectuées sur votre site, associé à un compte utilisateur et à une adresse IP spécifiques.

Considérez-le comme une caméra de surveillance pour votre interface d'administration WordPress. Il n'empêche pas les problèmes, mais il vous indique exactement ce qui s'est passé et qui en est responsable.

Une piste d'audit complète couvre les catégories d'activités suivantes :

• Connexions et déconnexions des utilisateurs, y compris les tentatives de connexion infructueuses et les sessions interrompues depuis des emplacements inconnus
• Modifications du contenu, notamment les modifications apportées aux publications, les changements de statut et les suppressions
• Activité liée aux extensions et aux thèmes, notamment les installations, les activations, les désactivations et les mises à jour
• Modifications des paramètres WordPress, notamment celles concernant l'URL de votre site, l'adresse e-mail de l'administrateur, la structure des permaliens et les paramètres d'inscription des utilisateurs
• Modifications des comptes utilisateurs, notamment les nouvelles inscriptions, les modifications de rôles et les réinitialisations de mot de passe
• Activité de la médiathèque, notamment les ajouts, les modifications et les suppressions

Une chose à savoir avant de commencer: un journal n'enregistre les événements qu'à partir du moment où il est activé. Si un incident s'est produit sur votre site avant l'installation d'un plugin de journalisation, cet historique ne pourra pas être récupéré à partir du journal. C'est justement pour cela qu'il est essentiel de mettre cela en place dès maintenant, avant que tout ne tourne mal.

Comment configurer un journal d'audit WordPress

La mise en place d'un journal d'audit pour WordPress prend moins de dix minutes. Voici la procédure complète :

• Étape 1 : Installez Activity Log by Duplicator: mettez le plugin en service sur votre site ; cela prend moins de deux minutes et ne nécessite aucune connaissance en programmation.
• Étape 2 : Vérifiez les paramètres par défaut des événements: assurez-vous que les catégories d'activité appropriées sont activées pour votre type de site, mais sachez que les paramètres par défaut couvrent la plupart des sites.
• Étape 3 : Configurer les notifications par e-mail: configurez des alertes pour les événements de gravité « Critique » et « Élevée » afin d'être immédiatement informé des problèmes, plutôt que de les découvrir plusieurs jours plus tard lors d'une analyse manuelle des journaux.
• Étape 4 : Consultez votre première entrée de journal: découvrez ce que contient chaque entrée, ce que signifie le code couleur indiquant le niveau de gravité, et comment filtrer le journal afin de retrouver rapidement un événement spécifique sur un site en activité.
• Étape 5 : Réagir à un incident suspect: un journal d'audit ne sert à rien si vous ne pouvez pas remédier aux conséquences d'une activité suspecte. Restaurez une sauvegarde intacte en un seul clic grâce à Duplicator Pro (qui s'associe à Activity Log)

Étape 1 : Installez Activity Log par Duplicator

Activity Log by Duplicator est un plugin WordPress qui enregistre en temps réel toutes les actions importantes sur votre site. Il suit plus de 60 types d'événements répartis en neuf catégories :

• Utilisateurs
• Contenu
• Médias
• Plugins
• Thèmes
• Paramètres du cœur de WordPress
• Apparence
• Taxonomies
• Paramètres du site

Chaque événement est associé à un niveau de gravité (Critique, Élevé, Moyen, Faible ou Info), ce qui vous permet de trier les informations importantes au lieu de faire défiler une liste comportant des centaines d'entrées.

Le plugin masque également automatiquement les données sensibles. Si un mot de passe ou une clé API figure dans un événement consigné, cette valeur est masquée dans le journal. Vous obtenez ainsi le rapport d'audit sans exposer vos identifiants.

Pour l'installer, achetez Activity Log, dont le prix commence à 29 $ par an. Vous pouvez également l'obtenir gratuitement avec la formule Duplicator Elite, qui comprend WP Media Cleanup et Duplicator Pro.

Téléchargez le plugin et importez-le dans WordPress.

Activez votre clé de licence dans Journal d'activité » Paramètres. Une fois l'activation effectuée, une coche verte s'affichera. Cela vous confirme que le plugin est opérationnel.

L'exploitation forestière commence maintenant !

Étape 2 : Vérifier les paramètres par défaut des événements

Le journal d'activité de Duplicator recense plus de 60 types d'événements. Certains sites n'ont pas besoin que toutes les catégories soient activées ; prenez donc quelques minutes pour vérifier ce qui est activé avant de vous fier au journal.

Dans la barre latérale, accédez à Journal d'activité » Paramètres, puis cliquez sur l'onglet Événements.

Vous verrez apparaître une liste des neuf catégories de suivi : Utilisateur, Contenu, Médias, Plugins, Thème, WordPress, Apparence, Taxonomie et Paramètres. Chaque catégorie peut être activée ou désactivée.

Si vous souhaitez savoir ce que comprend chaque catégorie, faites défiler la page jusqu'à la section « Types d'événements enregistrés ». Cliquez sur la catégorie pour laquelle vous avez un doute.

Pour un site classique, les paramètres par défaut couvrent les activités les plus importantes. Les connexions, les modifications de contenu, les installations de plugins et les changements de paramètres sont tous enregistrés dès l'installation.

Si vous gérez un site avec plusieurs auteurs, un site d'adhésion ou tout autre site où plusieurs personnes disposent d'un accès administrateur ou éditeur, ouvrez la catégorie « Utilisateurs » et assurez-vous qu'elle est bien activée.

Le journal des activités enregistre les changements de rôle, les réinitialisations de mot de passe et les inscriptions de nouveaux utilisateurs. Il est nécessaire de surveiller ces événements afin de détecter d'éventuels problèmes liés aux comptes.

Sur un site à fort trafic, un fichier journal complet grossit rapidement. Vous pourriez envisager de désactiver les catégories qui contiennent principalement des événements de faible gravité, comme « Apparence » ou « Taxonomie ».

Lorsque vous ouvrirez le journal, vous verrez apparaître des entrées quelques minutes après le début de l'activité normale du site.

Étape 3 : Configurer les notifications par e-mail

Le journal ne vous est utile que si vous le consultez. Il n'est pas réaliste de le vérifier manuellement tous les jours, c'est pourquoi les notifications par e-mail sont importantes.

Vous recevrez des alertes dès qu'un incident grave se produira, ce qui vous permettra d'être immédiatement informé d'une connexion suspecte ou de l'installation inattendue d'un plugin.

Dans la barre latérale, accédez à Journal d'activité » Paramètres, puis cliquez sur l'onglet Notifications. Activez les notifications par e-mail et saisissez l'adresse à laquelle vous souhaitez recevoir les alertes.

Vous verrez une liste des types d'événements, chacun doté d'un bouton permettant d'activer ou de désactiver l'envoi d'e-mails. Je vous recommande d'activer les notifications pour les événements de gravité « Critique » et « Élevée ». Ceux-ci couvrent les actions ayant de réelles implications en matière de sécurité : pics de tentatives de connexion infructueuses, changements de rôle d'administrateur, installations de plugins et modifications des paramètres du cœur du système.

Pour l'instant, conservez les événements de gravité « Info », « Moyenne » et « Faible » en mode « journalisation uniquement ». Ces catégories couvrent les activités courantes liées au contenu, telles que les mises à jour de publications, l'ajout de balises et les téléchargements de fichiers multimédias.

Activer toutes les alertes par e-mail génère un flot incessant de notifications qui vous incite à ignorer votre boîte de réception, ce qui va à l'encontre du but recherché. Cela dépend toutefois entièrement de vous et de vos préférences.

Quelques mots sur la signification des niveaux de gravité :

• La rubrique « Critique » traite des événements ayant un impact majeur sur l'ensemble du site.
• Cette section traite des modifications liées à la sécurité qui nécessitent une attention immédiate : utilisateurs supprimés, échecs de connexion ou changements de rôles d'utilisateurs
• Medium couvre les opérations éditoriales courantes : suppression de pages ou désactivation de plugins
• Le niveau « Faible » couvre les modifications mineures ou esthétiques : définition d'images mises en avant, mise à jour d'articles ou validation de commentaires.
• Ces informations concernent les activités courantes, telles que vos connexions et déconnexions.

Pour vérifier que les notifications fonctionnent, déconnectez-vous et essayez d'entrer de faux identifiants de connexion. Une tentative de connexion infructueuse correspond à un niveau de gravité élevé. Si vous recevez l'e-mail de notification dans un délai d'une à deux minutes, cela signifie que la configuration est correcte.

Étape 4 : Lisez votre première entrée de journal

Savoir comment interpréter une entrée de journal permet de transformer la piste d'audit, qui n'est au départ qu'un simple ensemble de données, en une information utile.

Chaque ligne du journal correspond à un événement distinct. En lisant de gauche à droite, vous verrez l'indicateur de niveau de gravité, l'horodatage, la description de l'événement, l'utilisateur qui l'a déclenché, l'adresse IP d'où provient l'action et la source.

Les niveaux de gravité sont indiqués par des codes couleur pour permettre une lecture rapide.

• 🖤 Élevé
• 🡡 Moyen
• 😵 Faible

Sur un site bien tenu, la plupart des articles seront en jaune et en bleu. Les articles en rouge méritent d'être lus chaque fois que vous les voyez.

Pour filtrer le journal, utilisez les commandes situées en haut de la page. Vous pouvez filtrer par catégorie, par niveau de gravité ou par plage de dates.

Sur un site très fréquenté comptant de nombreux utilisateurs, le filtrage est le moyen le plus rapide de trouver ce que vous cherchez. Commencez par sélectionner le niveau de gravité, puis affinez votre recherche en indiquant la période qui vous intéresse.

À quoi ressemble une situation normale: des connexions depuis votre adresse IP habituelle, des mises à jour de contenu provenant de comptes d'auteurs connus et des mises à jour de plugins effectuées pendant votre plage horaire habituelle de maintenance. Après avoir passé une semaine à examiner le journal, vous aurez une idée précise du fonctionnement normal de votre site. Tout ce qui s'écarte de ce schéma mérite qu'on s'y attarde.

Étape 5 : Réagir face à un événement suspect

Trouver une activité malveillante dans le journal n'est utile que si vous savez comment réagir. La piste d'audit vous indique ce qui s'est passé. Duplicator Pro vous permet d'annuler ces actions.

Avant d'entreprendre toute action, notez tous les détails de l'événement : l'horodatage, le compte utilisateur, l'adresse IP et la nature exacte de la modification. Exportez l'entrée du journal au format CSV ou JSON à l'aide du bouton d'exportation situé en haut de l'écran « Journal d'activité ».

Si vous utilisez Duplicator, recherchez votre sauvegarde « propre » la plus récente. Il est important de savoir exactement de quoi vous disposez avant d'apporter des modifications. Une sauvegarde « propre » datant d'avant l'incident suspect constituera votre solution de secours pour chacun des scénarios décrits ci-dessous.

Voici les quatre cas de figure les plus courants permettant de détecter des activités suspectes dans WordPress, ainsi que les mesures à prendre dans chaque situation.

Une connexion provenant d'une adresse IP inconnue

Vérifiez si le compte utilisateur appartient bien à un membre de l'équipe et demandez-lui de confirmer la connexion. S'il ne peut pas la confirmer, rendez-vous dans Utilisateurs » Tous les utilisateurs, ouvrez le profil de cet utilisateur, puis faites défiler vers le bas.

Cliquez sur « Se déconnecter partout » pour mettre fin à toutes les sessions actives de ce compte. Forcez ensuite la réinitialisation du mot de passe. S'il y a le moindre risque que les identifiants aient été partagés ou réutilisés sur l'ensemble du site, modifiez également le mot de passe administrateur.

Vérifiez le journal pour voir s'il y a d'autres événements liés à cette même adresse IP au cours de la même période. Une connexion est rarement la seule action effectuée par un compte piraté.

Un plugin a été installé sans que vous ne l'ayez fait

Désactivez et supprimez immédiatement le plugin, à moins qu'un membre de votre équipe ne puisse confirmer qu'il l'a installé intentionnellement. Vérifiez ensuite le journal pour voir s'il y a d'autres événements liés au même utilisateur ou à la même adresse IP au cours de la même période.

L'installation d'un plugin se fait rarement toute seule. Recherchez les modifications apportées aux paramètres, aux rôles des utilisateurs ou aux fichiers qui encadrent cette installation.

Si le journal indique que le plugin était actif depuis plus de quelques heures avant que vous ne le détectiez, considérez que le site a potentiellement été modifié.

Il n'est pas réaliste de rétablir manuellement chaque modification qu'un plugin malveillant aurait pu apporter. Il est beaucoup plus simple d'effectuer une restauration complète à partir d'une sauvegarde dont on sait qu'elle est intacte.

Ouvrez Duplicator Pro, accédez à la section « Sauvegardes » et repérez la sauvegarde la plus récente antérieure à l'installation. Restaurez cette sauvegarde en un seul clic.

Une modification des paramètres est apparue, mais personne ne semble en revendiquer la paternité

L'entrée du journal indiquera le paramètre précis qui a été modifié et, dans la plupart des cas, la valeur à laquelle il a été modifié. Comparez le paramètre actuel à la valeur attendue.

S'il s'agit d'une seule modification, vous pouvez l'annuler manuellement. Accédez à l'écran des paramètres correspondant et rétablissez la valeur correcte.

Si le journal indique que plusieurs paramètres ont été modifiés en peu de temps, n'essayez pas de les rétablir un par un. Ouvrez Duplicator Pro, recherchez une sauvegarde antérieure à cette période et effectuez une restauration.

Modifier un seul paramètre, c'est l'affaire de cinq minutes. Une série de modifications coordonnées, c'est tout un travail de mise à jour, et Duplicator Pro s'en charge en quelques clics.

Une fois la restauration effectuée, vérifiez la date de la sauvegarde dans le tableau de bord de Duplicator Pro et consultez le journal d'activité pour vous assurer que la version restaurée est antérieure à toutes les entrées suspectes.

Le niveau d'accès d'un utilisateur a été rehaussé sans explication

Les modifications de rôle constituent des incidents de gravité élevée. Si vous n'êtes pas à l'origine de cette modification, considérez que le compte a potentiellement été compromis.

Pour rétablir immédiatement le rôle, rendez-vous dans Utilisateurs » Tous les utilisateurs, cliquez sur le compte concerné, puis modifiez le rôle dans le menu déroulant Rôle.

Consultez ensuite l'intégralité du journal d'activité de ce compte utilisateur à partir du moment où le rôle a été rehaussé. Recherchez toutes les actions que ces autorisations étendues auraient pu permettre : installations de plugins, modifications des paramètres, création de nouveaux utilisateurs ou modifications de fichiers.

Si ces actions apparaissent dans le journal, utilisez Duplicator Pro pour restaurer une sauvegarde antérieure au changement de rôle. C'est plus rapide et plus fiable que de rechercher minutieusement chaque modification qu'un compte disposant de privilèges élevés a pu effectuer.

Foire aux questions (FAQ)

Votre site a désormais une mémoire

Avant d'installer Activity Log by Duplicator, votre site WordPress ne conservait aucune trace de quoi que ce soit. Chaque connexion, chaque modification des paramètres et chaque installation de plugin se produisait puis disparaissait sans laisser de trace. Si un problème survenait, vous ne pouviez que faire des suppositions.

Ce n'est plus le cas. Vous disposez désormais d'un journal détaillé de toutes les actions importantes effectuées sur votre site, classées par utilisateur, date et heure, adresse IP et niveau de gravité.

Vous savez comment lire une publication, comment filtrer ce qui compte et quoi faire quand quelque chose semble anormal. Cela représente un changement considérable dans le contrôle que vous exercez sur votre propre site.

À l'avenir, prenez l'habitude de consulter régulièrement les journaux. Vérifiez le journal d'activité une fois par semaine, examinez en priorité les entrées classées « Élevé » et « Critique », et analysez tout élément qui s'écarte du schéma habituel de votre site.

La plupart du temps, ce ne sera rien. Mais parfois, ce sera justement ce qu’il fallait repérer à temps.

Toute action non enregistrée sur votre site constitue un angle mort. Un plugin est installé, un paramètre est modifié, un compte est piraté… et sans piste d'audit, vous ne vous en rendrez compte que plusieurs semaines plus tard, si tant est que vous vous en rendiez compte. Le journal d'événements n'empêche pas les problèmes, mais il vous évite de rester dans l'incertitude quant à ce qui s'est passé ou à l'identité du responsable.

Plus d'1,5 million de professionnels de WordPress utilisent Duplicator pour protéger leurs sites. L'historique des activités de Duplicator vous offre un registre complet et consultable de tout ce qui se passe sur votre site, avec un tri par niveau de gravité, des alertes par e-mail et une fonction intégrée de masquage des données sensibles.

Associez Activity Log à Duplicator Pro, et vous disposerez à la fois d'un journal vous permettant de comprendre ce qui s'est passé et d'une sauvegarde à partir de laquelle vous pourrez restaurer vos données si vous devez intervenir.

Si ce tutoriel vous a été utile, ces guides méritent également d'être consultés.

• La plupart des plugins WordPress de journal d'activité vous indiquent ce qui ne fonctionne pas ; l'un d'entre eux vous aide à y remédier
• Liste de contrôle de la sécurité de WordPress : Guide étape par étape pour protéger votre site
• Liste de contrôle pour la maintenance de WordPress : 20 tâches essentielles (2026)
• Comment créer un site de mise en scène WordPress (pour des tests en toute sécurité)
• Ne vous retrouvez plus jamais bloqué hors de WordPress : le guide de prévention que j'aurais aimé avoir
• WordPress ne suit pas l'activité par défaut : voici ce que je fais pour y remédier
• Comment suivre CHAQUE modification apportée à votre site WordPress (avant qu'il ne tombe en panne)