De l’hébergement au premier réglage : la mise en route pas à pas
Au sommaire, 7 sections
Objectif de la séance
À 16h30, chacun dispose d’un site WordPress installé, configuré, accessible, et dont il connaît les identifiants. C’est l’objectif non négociable : tout le reste de l’année s’appuie dessus.
L’installation elle-même prend une vingtaine de minutes. Ce qui prend du temps, et ce qui compte, ce sont les réglages initiaux : ceux qu’on fait mal une fois et qu’on traîne pendant des années.
1. Les trois chemins
Vous avez choisi hier. Voici ce que chacun implique.
| Installation locale | Hébergement de test | Site d’entreprise | |
|---|---|---|---|
| Coût | nul | selon l’offre | nul |
| Visible en ligne | non | oui | oui |
| Risque en cas d’erreur | nul | faible | réel |
| Bon pour | apprendre, casser, recommencer | travailler comme en vrai | un cas concret |
L’installation locale est le choix par défaut, et il n’a rien d’un choix par dépit. Elle permet de tout casser sans conséquence, ce qui est exactement ce qu’on veut quand on apprend.
Si vous travaillez sur un site d’entreprise, deux conditions sans lesquelles nous ne commençons pas : une autorisation explicite de votre tuteur, et un environnement qui n’est pas la production. Un exercice de cours ne se fait pas sur un site qui vend.
Ce qu’une installation demande, quel que soit le chemin
Ces quatre éléments existent partout. Les outils changent, pas la logique.
- Un serveur web qui sait exécuter du PHP
- Une base de données, et un compte pour y accéder
- Les fichiers de WordPress
- Un compte administrateur que vous créez à l’installation
Sur un hébergement, les deux premiers sont fournis. En local, l’outil d’installation les met en place pour vous. C’est tout ce que fait un « installateur en un clic » : il assemble ces quatre éléments.
Retenez cette liste. Le jour où une installation échoue, la panne est dans l’un de ces quatre points, et vous saurez où chercher au lieu de recommencer au hasard.
2. L’installation, étape par étape
2.1 Avant de commencer
Ouvrez un document texte et notez, au fur et à mesure :
- l’adresse de votre site
- votre identifiant administrateur
- votre mot de passe
- où sont vos fichiers, si vous êtes en local
Ce document n’est pas une formalité. En février, après quatre mois sans toucher au site, la moitié d’entre vous ne saura plus se connecter. Ceux qui auront ces quatre lignes gagneront trente minutes sur la séance de reprise.
Ne le stockez pas dans le site lui-même. C’est plus fréquent qu’on ne croit, et c’est inutilisable le jour où le site ne répond plus.
2.2 Récupérer WordPress
Téléchargez-le depuis le site officiel du projet, jamais depuis un site tiers qui le propose.
Un fichier WordPress récupéré ailleurs peut contenir du code ajouté. C’est un vecteur d’infection connu, et il vise précisément les débutants qui cherchent un téléchargement rapide.
La règle, valable pour les thèmes et les extensions autant que pour le logiciel : on télécharge à la source officielle, ou on ne télécharge pas.
2.3 Lancer l’installation
Selon votre environnement, l’installation se déclenche différemment.
En local : l’outil crée le site pour vous. Il vous demande un nom de site et, souvent, un identifiant et un mot de passe administrateur.
Sur un hébergement : soit vous utilisez l’installateur automatique proposé par le panneau d’administration, soit vous déposez les fichiers et vous ouvrez l’adresse du site, ce qui déclenche l’assistant.
Dans tous les cas, l’assistant vous demande la même chose :
| Ce qu’il demande | Ce qu’il faut mettre |
|---|---|
| Titre du site | Modifiable ensuite, ne bloquez pas dessus |
| Identifiant | Jamais admin. Voir ci-dessous |
| Mot de passe | Long, unique, généré. Notez-le immédiatement |
| Adresse de courriel | La vôtre, une vraie : c’est par là que passe la réinitialisation |
| Visibilité par les moteurs | Décochée pour l’instant si le site est en ligne |
2.4 Pourquoi jamais admin
Les attaques automatisées essaient en masse des couples identifiant et mot de passe sur les pages de connexion. Elles commencent par admin, puis par le nom du site.
Choisir un autre identifiant ne rend pas le site inviolable. Cela élimine la totalité des tentatives les plus paresseuses, qui sont aussi les plus nombreuses. C’est un geste gratuit avec un rendement élevé, et c’est le type d’arbitrage qu’on retrouvera dans tout le bloc sécurité : maximiser ce qu’on gagne pour ce qu’on investit.
Même logique pour la case de visibilité : si le site est en ligne et vide, il n’y a aucune raison qu’il soit visité par les moteurs pendant sa construction. On la décochera le jour de la mise en ligne réelle, et il faudra y penser, car un site oublié dans cet état ne se référencera jamais.
3. Les réglages qui comptent
Vous avez un site. Il est vide et mal réglé. Ce qui suit est ce qui se fait mal une fois et se traîne des années.
3.1 Les permaliens : à faire en premier
Réglages, Permaliens.
C’est la structure des adresses de vos contenus. Par défaut, elle peut ressembler à quelque chose d’illisible comme ?p=123.
Choisissez la structure fondée sur le titre du contenu.
| Structure | Résultat |
|---|---|
| Par identifiant | monsite.fr/?p=123 |
| Par titre | monsite.fr/mon-article/ |
Trois raisons, dans l’ordre d’importance :
C’est lisible. Une adresse compréhensible se partage, se retient, et rassure celui qui clique.
C’est utile au référencement. Les mots de l’adresse participent à la compréhension de la page.
Et surtout : cela se change difficilement après. Modifier la structure des permaliens sur un site existant casse tous les liens en circulation, ceux des moteurs, ceux des réseaux sociaux, ceux des courriels envoyés. On peut réparer, mais c’est un chantier.
C’est pour cette raison que ce réglage se fait en premier, avant le moindre contenu. Ce n’est pas une préférence esthétique, c’est une décision structurante.
3.2 Titre et slogan
Réglages, Général.
Le titre apparaît dans l’onglet du navigateur, dans les résultats de recherche, et souvent dans l’en-tête du site. Le slogan aussi, selon le thème.
Le piège : beaucoup de sites conservent le slogan par défaut proposé à l’installation, qui traîne ensuite dans les résultats de recherche pendant des années. Videz-le ou remplissez-le, mais ne le laissez pas tel quel.
3.3 Fuseau horaire, date et langue
Toujours dans Réglages, Général.
Réglez le fuseau sur votre ville. Sans cela, vos publications programmées partiront à la mauvaise heure, ce qui se découvre toujours au mauvais moment : un communiqué publié à 3 heures du matin, une promotion qui démarre avec six heures de retard.
3.4 Les commentaires
Réglages, Discussion.
Décidez maintenant. Trois options défendables :
| Choix | Quand |
|---|---|
| Fermés partout | Site vitrine sans stratégie de contenu. C’est le cas le plus fréquent |
| Ouverts avec modération avant publication | Blog animé, avec quelqu’un pour modérer |
| Ouverts sans modération | Presque jamais. Le spam arrive en quelques jours |
Le point à comprendre : un site avec des commentaires ouverts et non modérés se remplit de spam automatisé en moins d’une semaine. Ce spam est visible, il nuit à l’image, et il peut nuire au référencement.
Un formulaire de contact remplace avantageusement les commentaires sur un site vitrine.
3.5 Le compte et le profil
Comptes, Profil.
Vérifiez le nom public affiché à côté de vos publications. Par défaut, ce peut être votre identifiant de connexion.
C’est un point de sécurité doublé d’un point d’image : afficher publiquement son identifiant de connexion revient à donner la moitié de ce qu’il faut pour entrer. Réglez un nom d’affichage différent de l’identifiant.
3.6 Ce qu’on supprime tout de suite
Une installation neuve contient des contenus de démonstration : un article, une page, un commentaire.
Supprimez-les. Ils traînent sur un nombre considérable de sites en production, y compris professionnels, et ils sont indexés par les moteurs. C’est un marqueur immédiat d’un site mal suivi.
3.7 La checklist de fin de séance
À vérifier avant de partir. Cochez.
| Vérification | Fait |
|---|---|
| J’accède à l’administration de mon site | |
Mon identifiant n’est pas admin | |
| Mon mot de passe est noté hors du site | |
| Mon adresse de courriel est valide | |
| Les permaliens sont réglés sur le titre | |
| Le titre et le slogan sont renseignés ou vidés | |
| Le fuseau horaire est correct | |
| Le choix sur les commentaires est fait | |
| Mon nom public diffère de mon identifiant | |
| Les contenus de démonstration sont supprimés | |
| J’ai noté l’adresse, l’identifiant et le mot de passe dans un document externe |
4. Première approche du tableau de bord
Entrée dans la séquence 3. Nous parcourons l’interface, nous n’entrons pas encore dans les contenus.
4.1 La carte des menus
| Menu | Ce qu’on y fait |
|---|---|
| Tableau de bord | Vue d’ensemble, mises à jour disponibles |
| Articles | Contenus datés, classables, dans le flux |
| Médias | Images, documents, vidéos téléversés |
| Pages | Contenus statiques, hors flux |
| Commentaires | Modération |
| Apparence | Thème, personnalisation, menus, widgets |
| Extensions | Ajout et gestion des fonctionnalités |
| Comptes | Qui a accès, et avec quels droits |
| Outils | Import, export, santé du site |
| Réglages | Tout ce que nous venons de faire |
L’ordre de ce menu n’est pas anodin : il descend du contenu vers la configuration. Ce que vous manipulerez tous les jours est en haut, ce qui se règle une fois est en bas.
4.2 Les deux endroits à regarder chaque semaine
Les mises à jour. Elles apparaissent avec une pastille dans le menu. Une mise à jour de sécurité non appliquée est une porte ouverte, et l’écart entre la publication d’une faille et son exploitation automatisée se compte en jours.
La santé du site, dans Outils. WordPress y signale les problèmes de configuration, de sécurité et de performance qu’il détecte lui-même.
Regardez-la aujourd’hui. Sur une installation neuve, elle signale déjà des choses, et c’est instructif : elle vous dit ce que le logiciel considère comme important.
4.3 Les rôles, une notion de management
Comptes, Rôles. Cinq rôles natifs, du plus au moins étendu.
| Rôle | Ce qu’il peut faire |
|---|---|
| Administrateur | Tout, y compris installer et supprimer |
| Éditeur | Publier et modifier tous les contenus |
| Auteur | Publier et modifier ses contenus |
| Contributeur | Rédiger ses contenus, sans les publier |
| Abonné | Gérer son profil, rien de plus |
Ce n’est pas une question technique, c’est une question d’organisation, et c’est pour cela qu’elle vous concerne directement.
Trois principes à retenir :
Le moins de droits possible. On donne le rôle minimal pour la tâche, pas le rôle confortable. Un rédacteur externe reçoit « contributeur », pas « auteur ».
Le moins d’administrateurs possible. Chaque administrateur supplémentaire est un risque supplémentaire : ses identifiants peuvent fuir, et il peut casser le site sans le vouloir. Deux administrateurs suffisent presque toujours.
Un compte par personne. Le compte partagé entre trois personnes rend impossible de savoir qui a fait quoi, et il survit au départ de chacune d’elles.
Ce dernier point est celui qu’on retrouve dans toutes les organisations, et c’est vous qui aurez à l’imposer.
Synthèse
Quatre éléments dans toute installation : un serveur qui exécute PHP, une base de données, les fichiers, un compte administrateur. Quand une installation échoue, la panne est dans l’un des quatre.
On télécharge à la source officielle, ou on ne télécharge pas. Vaut pour le logiciel, les thèmes et les extensions.
Jamais admin. Geste gratuit, rendement élevé : il élimine les attaques automatisées les plus paresseuses, qui sont les plus nombreuses.
Les permaliens se règlent en premier, avant tout contenu, parce qu’en changer plus tard casse tous les liens en circulation.
Les contenus de démonstration se suppriment tout de suite.
Le moins de droits possible, le moins d’administrateurs possible, un compte par personne. Ce sont des règles d’organisation, pas des règles techniques.
Notez vos accès hors du site. Vous en aurez besoin en février.
Pour la séance suivante
Nous terminons l’interface et nous entrons dans les contenus : pages, articles, catégories, médias.
Venez avec votre site en état de marche. Et si vous avez cinq minutes d’ici là, explorez les menus sans rien changer : arriver avec des questions vaut mieux qu’arriver neutre.
À lire aussi sur le site
- Monter un site WordPress en quarante minutes : le même parcours en accéléré, et les sept erreurs qui coûtent le plus de temps.
