Comment protéger des pages WordPress par mot de passe sans plugin payant, en 6 étapes

Réserver un contenu à ceux qui ont laissé leur adresse email : l’idée paraît évidente, jusqu’au moment de la mettre en place. La réponse habituelle consiste à installer un plugin d’espace membre, souvent payant, parfois lourd, et dans tous les cas une dépendance de plus à suivre et à mettre à jour. Pourtant WordPress embarque depuis des années une fonction qui fait l’essentiel du travail, et à laquelle presque personne ne pense.

Cette fonction s’appelle « Protégé par mot de passe ». Elle se règle en deux clics dans l’éditeur, elle ne coûte rien, et elle suffit à monter un parcours complet : une page publique qui présente le contenu, un formulaire qui récolte les adresses, une page verrouillée qui héberge le contenu, et un mot de passe transmis à ceux qui se sont inscrits. Une précision s’impose tout de suite, parce qu’elle compte sur un site d’entreprise : ce montage restreint l’accès à une page, il ne protège pas le site. C’est un contrôle éditorial, pas une mesure de sécurité, et la différence est développée plus bas. Voici les six étapes, telles qu’elles s’enchaînent dans l’éditeur.

Étape 1 : passer une page en « Protégé par mot de passe »

Tout part du panneau de droite de l’éditeur de blocs. Onglet « Page », section « État et visibilité », ligne « Visibilité » : c’est ici que se joue l’accès à la publication, et le réglage par défaut est évidemment « Publique ».

1. Ouvrir la page à protéger dans l’éditeur, puis afficher le panneau latéral s’il est replié.
2. Cliquer sur la valeur affichée en face de « Visibilité ». Une fenêtre intitulée « Visibilité de la publication » s’ouvre avec trois choix.
3. Choisir « Protégé par mot de passe ». WordPress en donne lui-même la définition : « Protégé avec un mot de passe que vous définissez. Seules les personnes le connaissant pourront accéder à la publication. »
4. Saisir le mot de passe dans le champ qui apparaît juste en dessous, puis enregistrer avec « Mettre à jour ».

Au passage, l’option du milieu mérite un mot, parce qu’elle est régulièrement choisie par erreur. « Privée » ne sert pas à réserver un contenu à des clients : elle le rend visible uniquement pour les administrateurs et les éditeurs du site. Un visiteur, lui, ne verra jamais la page, mot de passe ou pas.

Le champ accepte n’importe quelle chaîne, y compris trois chiffres tapés à la volée pour une démonstration. Sur un site en production, autant appliquer les mêmes règles qu’ailleurs et éviter qu’un mot de passe de contenu ne ressemble à un mot de passe d’administration : nos repères sur la politique de mot de passe en entreprise restent valables ici.

Étape 2 : regrouper le contenu sur une seule page protégée

Le réglage vu à l’étape précédente s’applique à une publication, et à une seule. Un contenu découpé en trois pages demande donc trois protections distinctes, et surtout trois saisies de mot de passe pour le visiteur. Personne ne tape trois fois le même code pour lire trois chapitres qui se suivent.

La parade tient en une décision d’organisation : une seule page qui contient tout. Dans l’éditeur, les blocs s’empilent sans limite. On colle le lien d’une première vidéo, on valide, on ajoute un paragraphe de contexte, on colle la suivante, et ainsi de suite. Vingt séquences peuvent parfaitement cohabiter sur la même page, séparées par du texte. Il ne reste qu’à protéger cette page unique, et le visiteur ne saisit le mot de passe qu’une fois.

Faut-il pour autant toujours regrouper ? Non, et c’est le seul cas où le découpage garde du sens : si le contenu est délivré au compte-gouttes, un chapitre par jour par exemple, une page par chapitre avec un mot de passe différent devient au contraire un mécanisme utile. On envoie le code du jour, et rien d’autre n’est accessible.

Étape 3 : garder une page publique qui mène au contenu verrouillé

La page qui présente l’offre, elle, ne doit surtout pas être protégée. C’est la vitrine : celle que les moteurs indexent, celle qu’on partage, celle qui donne envie de laisser son adresse. Elle reste publique, et c’est depuis elle que part tout le parcours.

Le réflexe naturel consiste à y poser un lien vers la page de contenu. Mauvaise idée en l’état : le visiteur clique, tombe sur une demande de mot de passe qu’il n’a pas, et repart sans comprendre ce qu’on attend de lui. Un mur sans panneau d’explication ne convertit personne.

Le lien vers la page protégée reste donc nécessaire, mais il ne peut pas être seul. En pratique, on pointe le bouton vers l’URL de la page verrouillée, et on lui ajoute un voisin, dont l’étape suivante explique le rôle.

Étape 4 : deux boutons, l’un pour s’inscrire, l’autre pour revenir

Voici la limite qu’il faut contourner, et elle explique toute la mise en page. Un plugin d’espace membre sait reconnaître un visiteur connecté : il affiche le contenu à celui qui y a droit, et le formulaire d’inscription aux autres. Un montage gratuit n’a aucun moyen de faire cette distinction. Alors on ne la fait pas, et on laisse le visiteur choisir lui-même.

Concrètement, on remplace le lien unique par deux boutons placés côte à côte, dans deux colonnes.

1. Le premier, « Inscription », emmène vers la page qui porte le formulaire. C’est le chemin de celui qui découvre le contenu.
2. Le second renvoie directement vers la page protégée. C’est le chemin de celui qui a déjà reçu le mot de passe et qui revient terminer sa lecture.

Deux boutons, deux intentions, aucune ambiguïté. Le libellé fait ici tout le travail qu’un plugin ferait automatiquement, ce qui en dit long sur ce qu’on gagne vraiment en payant un espace membre : non pas la protection, mais la détection de l’état du visiteur.

Étape 5 : transformer le formulaire de contact en formulaire d’inscription

Reste à récolter les adresses. Inutile de partir de zéro : le site possède déjà un formulaire de contact, et c’est exactement l’outil qu’il faut. Il collecte un nom, une adresse, un message, et il envoie le tout par email. On le recycle en formulaire d’inscription.

1. Remplacer le titre de la page. « Contact » devient « Inscription au cours », ce qui aligne immédiatement la promesse et la page d’arrivée.
2. Réécrire le texte d’introduction placé au-dessus des champs : une phrase du type « Pour avoir accès au cours gratuit, remplissez le formulaire ci-dessous » suffit à lever le doute.
3. Adapter le reste du texte aux champs réellement présents. Le formulaire d’origine propose en général un prénom, un nom, un objet et un message.

C’est ici qu’apparaît la contrainte la plus agaçante du montage. Selon le plugin de formulaire installé avec le thème, les options de personnalisation peuvent être quasi inexistantes : pas de renommage de champ, pas d’ajout, rien. Dans ce cas, le texte autour du formulaire porte seul l’explication, et il faut dire noir sur blanc ce qu’on attend dans chaque case. Si cette gymnastique devient pénible, changer de plugin de formulaire pour un outil qui accepte les champs personnalisés reste gratuit et règle le problème à la racine.

Étape 6 : tester le parcours, puis envoyer le mot de passe

Le montage se vérifie en se mettant à la place du visiteur. On clique sur le bouton qui mène au contenu, et WordPress prend la main : le titre de la page s’affiche précédé de la mention « Protégé », suivi du message « Cette publication est protégée par un mot de passe. Pour la voir, veuillez saisir votre mot de passe ci-dessous : », d’un champ et d’un bouton « Valider ». Le contenu, lui, reste invisible. Une fois le bon mot de passe saisi, la page s’affiche normalement, avec l’intégralité des séquences.

Vient alors la partie que personne n’automatise sans payer : la transmission. Chaque fois qu’un formulaire arrive dans la boîte email, il faut répondre à la main, avec le mot de passe et le lien direct vers la bonne page. C’est parfaitement gérable pour quelques inscriptions par semaine, beaucoup moins au-delà.

Que faudrait-il pour s’en affranchir ? La version payante d’un plugin de formulaire, qui sait déclencher une réponse automatique, ou transmettre l’adresse à un auto-répondeur. Ce dernier ouvre d’ailleurs la vraie perspective intéressante : révéler les chapitres au fil des jours en envoyant, à chaque fois, le mot de passe correspondant. On rejoint alors le découpage évoqué à l’étape 2, cette fois avec un intérêt réel.

Erreurs fréquentes et limites à connaître

Le procédé fonctionne, mais il tient par des conventions plus que par des mécanismes. Autant savoir précisément où sont les bords.

• Protéger la page de présentation en même temps que le contenu. La vitrine devient invisible, le formulaire inaccessible, et plus personne ne peut s’inscrire. Seule la page de contenu se verrouille.
• Confondre « Privée » et « Protégé par mot de passe ». La première réserve la page aux administrateurs et aux éditeurs du site, ce qui n’a aucun rapport avec l’objectif poursuivi ici.
• Laisser le contenu éclaté sur plusieurs pages protégées. Chaque page redemande le mot de passe. Sauf diffusion progressive volontaire, c’est un abandon garanti.
• Envoyer un lien direct sans le mot de passe. L’inscrit se retrouve devant le même mur que les autres : les deux informations voyagent ensemble, ou pas du tout.
• Croire que le mot de passe identifie quelqu’un. Il est unique et partagé par l’ensemble des inscrits. Il ne se révoque pas individuellement, et le changer coupe l’accès à tout le monde d’un coup.
• Prendre ce montage pour une mesure de sécurité. Il restreint la lecture d’une page, rien de plus. Il ne remplace ni les mises à jour, ni le durcissement des comptes, ni la surveillance des extensions : c’est l’objet de notre guide pour sécuriser un site WordPress.
• L’utiliser pour du contenu sensible ou payant. Un mot de passe qui circule par email se transmet en une seconde. Pour des documents confidentiels ou un contenu vendu, il faut de vrais comptes et de vrais droits.