Comment restreindre la connexion utilisateur à un seul appareil dans WordPress

Si votre site WordPress a des comptes utilisateurs, quelqu'un partage ses identifiants.

Il peut s'agir d'un étudiant qui transmet son mot de passe de cours à un ami, d'un membre qui partage son abonnement avec sa famille, ou d'un client qui divise une licence logicielle au sein d'une équipe.

Dans tous les cas, vous perdez des revenus et vos données utilisateur n'ont plus de sens.

Netflix a sévi contre le partage de comptes dans 100 millions de foyers. Pas parce que c'était facile, mais parce que la perte de revenus était réelle. Votre site est confronté au même problème, mais à plus petite échelle.

Dans ce tutoriel, je vais vous montrer comment restreindre la connexion des utilisateurs à un seul appareil actif à la fois dans WordPress. Aucun développeur nécessaire.

Vous utiliserez un plugin gratuit pour la restriction principale et WPCode pour définir des exemptions pour des utilisateurs ou des rôles spécifiques.

Que vous gériez un site d'adhésion, un produit par abonnement, ou que vous vendiez des cours en ligne, cette configuration prend environ 15 minutes et fonctionne automatiquement par la suite.

Points clés à retenir

• Je vais vous montrer un plugin gratuit qui limite chaque compte à une connexion active avec une seule modification de paramètre
• J'aborde deux comportements de logique de connexion et j'explique lequel est le moins perturbateur pour vos utilisateurs
• Découvrez comment exempter des utilisateurs ou des rôles spécifiques à l'aide de WPCode, sans toucher aux fichiers de votre thème
• Je vous explique comment cibler la restriction par type d'appareil, afin que les sessions mobiles et de bureau puissent être traitées différemment
• Je vous montre comment tester que la restriction fonctionne avant de la mettre en ligne

Ce que nous allons accomplir dans ce tutoriel

À la fin de ce guide, chaque compte utilisateur de votre site sera limité à une seule session de connexion active à la fois.

Lorsqu'une personne essaie de se connecter depuis un deuxième appareil, WordPress bloquera la tentative ou mettra fin silencieusement à sa session précédente. C'est votre choix.

Cela fonctionne sur n'importe quel site WordPress avec des comptes utilisateurs : sites d'adhésion, cours en ligne, produits par abonnement, ou blogs multi-auteurs.

Ce que vous aurez configuré :

• Une limite de connexion par compte appliquée automatiquement à chaque connexion
• Des exemptions optionnelles pour les administrateurs, les éditeurs ou des identifiants d'utilisateurs VIP spécifiques
• Un test fonctionnel pour confirmer que la restriction est active

Ce que voit un utilisateur bloqué lorsqu'il essaie de se connecter depuis un deuxième appareil.

Ce dont vous aurez besoin avant de commencer

Niveau de compétence : Intermédiaire
Temps nécessaire : ~15 minutes

• Loggedin – Limit Concurrent Sessions – free plugin from the WordPress repository.
  • Aucun achat nécessaire pour ce que nous faisons ici.
  • Installez-le comme n'importe quel autre plugin (Plugins » Ajouter, recherchez « Loggedin »).
• WPCode – only needed for Method 2 (user and role exemptions).
  • La version gratuite de WPCode Lite est suffisante. Installez-la de la même manière.
• Accès administrateur WordPress – vous devrez accéder aux menus Paramètres et Extraits de code.
• Identifiants des utilisateurs que vous souhaitez exempter – Méthode 2 uniquement. Je vous montrerai comment les trouver rapidement si vous ne les connaissez pas.

Comment restreindre la connexion utilisateur à un seul appareil dans WordPress

Maintenant, comme je vais vous montrer deux méthodes, j'ai divisé les étapes en sections simples. Vous pouvez utiliser la table des matières ci-dessous pour sauter à la méthode ou à l'étape que vous souhaitez lire.

Avec tout cela prêt, plongeons.

Méthode 1 : Loggedin – Limiter les sessions simultanées

C'est par où je commencerais sur n'importe quel site.

Le plugin Loggedin – Limiter les sessions simultanées est gratuit, ne nécessite aucun code et applique la restriction automatiquement dès que vous enregistrez vos paramètres. Il n'y a rien à maintenir une fois qu'il est en marche.

Une chose à savoir avant de le configurer : le plugin autorise par défaut 3 connexions actives par utilisateur lorsque vous l'activez pour la première fois. Il fait donc déjà quelque chose, mais ne restreint pas encore assez.

Étape 1 : Installer et configurer votre limite de connexion

Comme mentionné, Loggedin – Limiter les sessions simultanées est un plugin gratuit.

Par conséquent, vous pouvez y accéder en allant dans Tous les plugins » Ajouter un nouveau plugin dans votre tableau de bord WordPress. Ensuite, utilisez la barre de recherche pour trouver l'outil depuis votre référentiel de plugins WordPress.

Si vous rencontrez des problèmes, consultez mon tutoriel sur comment installer des plugins pour obtenir des instructions.

Une fois installé et activé, allez dans Paramètres » Général. Notez qu'il s'agit de l'option « Paramètres » native de WordPress, et non d'un élément de menu distinct.

Ensuite, faites défiler vers le bas de cette page, et vous trouverez la section Paramètres Loggedin.

Voici exactement ce qu'il faut faire :

1. Trouvez le champ Connexions actives maximales et changez la valeur à 1.
2. N'enregistrez pas encore, définissez d'abord la Logique de connexion (étape suivante).

⚠️Vérification rapide : Assurez-vous d'être dans Paramètres » Général, et non sur la page du plugin Loggedin lui-même. Les paramètres n'apparaissent pas dans un menu de plugin dédié.

Étape 2 : Choisir votre logique de connexion

C'est la décision qui compte vraiment et que la plupart des tutoriels négligent.

Le menu déroulant Logique de connexion propose deux options : Autoriser et Bloquer. Elles semblent similaires mais se comportent complètement différemment du point de vue de vos utilisateurs.

• Autoriser signifie : lorsqu'une deuxième tentative de connexion arrive, WordPress la laisse passer. Mais met fin silencieusement à la session active la plus ancienne de l'utilisateur. La personne déjà connectée est expulsée sans avertissement. Elle se retrouvera simplement à l'écran de connexion, se demandant ce qui s'est passé.
• Bloquer signifie : la nouvelle tentative de connexion est rejetée. La personne qui essaie de se connecter voit un message d'erreur lui indiquant que le compte est déjà utilisé. Sa session existante reste active.

Voici le truc : le choix dépend de votre public.

Bloquer fonctionne mieux pour les sites d'adhésion ou de cours où vous souhaitez une application claire, et où vous êtes d'accord avec une certaine friction. Autoriser est moins conflictuel et convient aux équipes internes ou aux configurations à faible enjeu où le remplacement silencieux de session est acceptable.

Une fois que vous avez décidé, sélectionnez votre option dans le menu déroulant et cliquez sur Enregistrer les modifications.

Étape 3 : Forcer la déconnexion des sessions existantes

Cette étape est facultative, mais je la lancerais le jour du lancement.

Lorsque vous activez la restriction pour la première fois, les utilisateurs qui étaient déjà connectés sur plusieurs appareils restent connectés. La limite ne s'applique qu'aux nouvelles connexions. Forcer la déconnexion efface cela.

Pour l'utiliser, vous aurez besoin de l'ID utilisateur WordPress pour tout compte que vous souhaitez réinitialiser.

Voici le moyen le plus rapide d'en trouver un : allez dans Utilisateurs » Tous les utilisateurs, survolez n'importe quel nom d'utilisateur et regardez l'URL affichée dans la barre d'état de votre navigateur. Vous verrez quelque chose comme ?user_id=5. Ce nombre est l'ID.

Entrez l'ID dans le champ Forcer la déconnexion et cliquez sur le bouton. Cet utilisateur est immédiatement déconnecté de toutes les sessions actives.

Étape 4 : Définir votre niveau de cache

Si vous utilisez un plugin de mise en cache comme WP Rocket, W3 Total Cache, LiteSpeed Cache ou similaire, ce paramètre est important.

Le mauvais niveau de cache peut amener WordPress à servir des données de session obsolètes, ce qui rend la restriction de connexion imprévisible.

La section Paramètres de connexion inclut un menu déroulant Niveau de cache avec quatre options :

• Normal – le bon choix pour la plupart des sites. Gère les configurations de mise en cache WordPress standard.
• Actifs uniquement – met en cache les fichiers statiques (CSS, JS) mais pas les données de session. Bon pour les configurations de mise en cache plus légères.
• Avancé – utilisez ceci si vous utilisez une configuration de mise en cache complète agressive.
• Désactivé – uniquement si vous n'utilisez aucune mise en cache.

Pour la plupart des sites d'adhésion ou de cours utilisant WP Rocket ou similaire, Normal fonctionne bien. Cliquez sur Enregistrer les modifications une fois que vous avez sélectionné votre niveau.

C'est tout. Vous pouvez maintenant restreindre les utilisateurs à un seul appareil sur votre site WordPress. Consultez la capture d'écran ci-dessous pour voir à quoi vous attendre.

Et si vous voulez plus de contrôle ? C'est là qu'intervient la Méthode 2.

Méthode 2 : WPCode – Exempter des utilisateurs ou des rôles spécifiques

La méthode 1 applique la restriction à tous les utilisateurs de votre site. C'est généralement ce que vous voulez, mais pas toujours.

Les administrateurs, les éditeurs ou les membres de grande valeur ont souvent besoin d'accéder depuis plusieurs appareils. Éjecter votre propre compte d'administrateur d'un deuxième onglet est frustrant.

Si vous souhaitez gérer qui a quel accès sur votre site, les exemptions sont la bonne approche.

C'est là qu'intervient WPCode. Vous ajouterez un court extrait de code PHP qui indique à Loggedin de sauter la restriction pour des ID d'utilisateur ou des rôles spécifiques, sans modifier les fichiers du thème ou votre thème enfant.

La version gratuite, WPCode Lite, est tout ce dont vous avez besoin ici.

Elle vous donne une interface dédiée pour gérer les extraits, garde votre code séparé de votre thème, et facilite l'activation ou la désactivation des extraits sans rien casser.

La version gratuite WPCode Lite dispose d'une bibliothèque de plus de 130 extraits pré-construits et prend en charge le PHP personnalisé, ce qui est exactement ce que nous utilisons.

Vous pouvez la trouver dans le répertoire WordPress sous Plugins » Ajouter et rechercher « WPCode ».

Après cela, installez-la et activez-la comme n'importe quel autre plugin.

Étape 1 : Créer un nouveau fragment PHP

Une fois WPCode installé et activé, vous verrez un élément de menu Code Snippets dans la barre latérale de votre WordPress.

Voici exactement ce qu'il faut faire :

1. Une fois terminé, modifiez le tableau $allowed_roles pour qu'il corresponde aux rôles de votre site.
2. Vous arriverez dans la bibliothèque de snippets. Recherchez l'option Ajouter votre code personnalisé (Nouveau snippet).
3. Survolez-la et cliquez sur Utiliser le snippet.
4. Une fenêtre pop-up apparaît vous demandant quel type de code vous ajoutez. Cliquez sur Snippet PHP.

Étape 2 : Exempter des utilisateurs spécifiques

Vous êtes maintenant dans l'éditeur de snippets. C'est ici que vous ajoutez le code qui contourne la restriction de connexion pour les comptes d'utilisateurs individuels.

Voici exactement ce qu'il faut faire :

1. Donnez un titre clair à votre snippet, quelque chose comme Contourner les restrictions de connexion pour certains utilisateurs.
2. Collez ce code dans le panneau Aperçu du code :

<code>function loggedin_bypass_users( $bypass, $user_id ) {<br>    $allowed_users = array( 1, 2, 3 );<br>    if ( in_array( $user_id, $allowed_users ) ) {<br>        $bypass = true;<br>    }<br>    return $bypass;<br>}<br>add_filter( 'loggedin_bypass', 'loggedin_bypass_users', 10, 2 );</code>

3. Remplacez 1, 2, 3 dans le tableau $allowed_users par les identifiants réels des utilisateurs que vous souhaitez exempter.

Pour trouver l'ID d'un utilisateur : allez dans Utilisateurs » Tous les utilisateurs, survolez leur nom d'utilisateur et regardez l'URL dans la barre d'état de votre navigateur. Vous verrez ?user_id=X. Ce nombre est leur ID.

C'est le même processus que nous avons utilisé dans la Méthode

Étape 3 : Exempter des rôles spécifiques

Si vous préférez exempter des rôles entiers au lieu d'utilisateurs individuels, créez un deuxième snippet en utilisant ce code. Le processus est identique à l'étape 2.

Tout ce que vous avez à faire est de sélectionner Ajouter votre code personnalisé (Nouveau snippet), puis le type PHP, et de coller le code.

function loggedin_bypass_roles( $bypass, $user_id ) {
    $allowed_roles = array( 'administrator', 'editor' );
    $user = get_userdata( $user_id );
    if ( $user && array_intersect( $allowed_roles, $user->roles ) ) {
        $bypass = true;
    }
    return $bypass;
}
add_filter( 'loggedin_bypass', 'loggedin_bypass_roles', 10, 2 );

Une fois terminé, modifiez le tableau $allowed_roles pour qu'il corresponde aux rôles de votre site.

Par défaut, il exempte les administrateurs et les éditeurs. Donc, supprimez 'editor' si vous ne voulez exempter que les administrateurs, ou ajoutez d'autres rôles comme 'shop_manager' ou 'subscriber'.

Étape 4 : Définir le type d'appareil (facultatif)

C'est une fonctionnalité que la plupart des gens ignorent que WPCode inclut, et elle est utile pour ce cas d'utilisation spécifique. Avant de sauvegarder votre snippet, faites défiler vers le bas pour trouver le paramètre Type d'appareil.

Vous avez trois options :

• Tout appareil – le snippet s'exécute pour tous les utilisateurs, quel que soit l'appareil sur lequel ils se trouvent (c'est le réglage par défaut)
• Ordinateur uniquement – le contournement de la restriction s'applique uniquement lorsque les utilisateurs se connectent depuis un navigateur de bureau
• Mobile uniquement – le contournement s'applique uniquement sur les appareils mobiles

La plupart des sites laisseront ce réglage sur Tout appareil.

Mais si votre contenu d'adhésion est principalement basé sur ordinateur et que vous souhaitez bloquer plusieurs sessions sur ordinateur tout en étant plus souple sur mobile, c'est ici que vous le configurerez.

Étape 5 : Enregistrer et activer votre fragment

Une fois terminé, allez sous la zone de snippet WPCode pour trouver l'onglet Insertion.

Ici, naviguez vers « Méthode d'insertion », où vous pouvez insérer le code avec Insertion automatique ou Shortcode. Ensuite, utilisez le menu déroulant « Emplacement » pour indiquer à WPCode où le snippet doit apparaître.

Après cela, il est temps d'activer et de sauvegarder.

Voici exactement ce qu'il faut faire :

1. Faites défiler jusqu'en haut de l'éditeur de snippets.
2. Faites passer le statut du snippet de Inactif à Actif.
3. Cliquez sur Enregistrer le snippet.

Bien joué. Le snippet est mis en ligne immédiatement. Aucune actualisation de page n'est nécessaire. L'utilisateur connecté ignorera désormais la restriction pour toute personne figurant sur votre liste d'exemptions.

👉 Commencez avec WPCode ici

Comment tester votre travail

Ne supposez pas que cela fonctionne ; vérifiez-le. Ce test prend deux minutes et confirme que la restriction est bien appliquée.

Voici exactement ce qu'il faut faire :

1. Ouvrez votre navigateur en mode incognito ou privé.
2. Accédez à votre page de connexion WordPress et connectez-vous avec un compte utilisateur normal (pas un administrateur).
3. Sans vous déconnecter, ouvrez votre fenêtre de navigateur normale.
4. Essayez de vous connecter au même compte.

Si vous avez choisi Bloquer comme logique de connexion, vous devriez voir le message d’erreur « La limite de connexion de cet utilisateur a été atteinte ».

Si vous choisissez Autoriser, votre session incognito devrait se terminer. Actualisez-la, et vous serez redirigé vers l’écran de connexion.

Si les deux sessions restent actives, vérifiez deux choses : assurez-vous que Nombre maximum de connexions actives est défini sur 1 (et non sur la valeur par défaut de 3), et assurez-vous d’avoir cliqué sur Enregistrer les modifications après avoir ajusté les paramètres.

⚠️Astuce rapide : Utilisez un compte abonné ou client pour ce test, pas votre compte administrateur, surtout si vous avez configuré une exemption de rôle pour les administrateurs.

Problèmes courants et solutions rapides

Problème : « Le compte administrateur est également bloqué »

• Ce qui se passe : La restriction s’applique à tous les rôles utilisateur par défaut, y compris les administrateurs.
• Correction rapide : Ajoutez le snippet de contournement de rôle de la méthode 2, étape 3, et incluez « administrator » dans le tableau $allowed_roles. Si vous n’avez besoin que de vous exempter vous-même, le contournement par ID utilisateur de l’étape 2 est plus simple.

Mon expérience : J’ajoute toujours l’exemption d’administrateur avant d’activer la restriction sur un site en production — cela évite un appel de support embarrassant.

Problème : « Les utilisateurs sont déconnectés aléatoirement, même sans deuxième connexion »

• Ce qui se passe : Un plugin de mise en cache sert des données de session obsolètes, déclenchant de fausses détections de « deuxième connexion ».
• Correction rapide : Retournez dans Paramètres » Général » Paramètres Loggedin et changez le Niveau de Cache en Avancé. Videz votre cache après avoir enregistré. Si vous n’êtes pas sûr du plugin d’optimisation de la vitesse qui cause le conflit, le mode Avancé couvre la plupart des configurations.

Mon expérience : Celui-ci perturbe les sites qui utilisent une mise en cache agressive de page entière — WP Rocket en particulier.

Problème : « La restriction ne fonctionne pas du tout après activation »

• Ce qui se passe : Le plugin a utilisé par défaut 3 connexions actives, et vous avez oublié de le changer à 1.
• Correction rapide : Allez dans Paramètres » Général, assurez-vous que Nombre maximum de connexions actives est défini sur 1, et cliquez sur Enregistrer les modifications.

Problème : « Les membres se plaignent d’être déconnectés sans raison »

• Ce qui se passe : Ils partagent leurs identifiants entre membres de la famille ou appareils — la logique Autoriser remplace leur session silencieusement.
• Correction rapide : changez la logique de connexion sur Bloquer pour qu'ils voient une erreur claire au lieu d'une déconnexion silencieuse. Ou utilisez la déconnexion forcée pour réinitialiser leurs sessions et expliquer la nouvelle politique.

J'espère que ce tutoriel sur la restriction des utilisateurs à un seul appareil vous a été utile. Si quelque chose n'est pas clair, consultez la foire aux questions ci-dessous.

FAQ : Comment restreindre la connexion des utilisateurs à un seul appareil dans WordPress

Est-ce que cela fonctionne avec WooCommerce ou des plugins d'adhésion comme MemberPress ?

Oui. Loggedin s'intègre au système de connexion principal de WordPress, il fonctionne donc quel que soit le plugin d'adhésion ou de commerce électronique que vous utilisez. Les comptes clients WooCommerce, les membres MemberPress, et tout autre système d'utilisateurs basé sur des rôles seront affectés par la restriction.

Cela bloquera-t-il mes administrateurs ?

Par défaut, oui, la restriction s'applique à tous les rôles. Si vous souhaitez que les administrateurs (ou tout autre rôle) soient exemptés, ajoutez l'extrait de contournement de rôle de la méthode 2, étape 3. Vous pouvez exécuter les deux extraits simultanément, un pour les rôles, un pour les utilisateurs individuels.

Que se passe-t-il pour les utilisateurs déjà connectés lorsque j'active ceci ?

Les sessions existantes ne sont pas immédiatement terminées lorsque vous activez la restriction. La limite ne s'applique qu'aux nouvelles tentatives de connexion. Si vous souhaitez l'appliquer rétroactivement, utilisez la fonction de déconnexion forcée de la méthode 1, étape 3, et entrez les identifiants des utilisateurs que vous souhaitez réinitialiser.

Puis-je limiter les comptes à 2 ou 3 appareils au lieu d'un seul ?

Oui. Changez simplement la valeur Nombre maximum de connexions actives dans Paramètres » Général au nombre dont vous avez besoin. Le régler sur 2 permet deux sessions simultanées par compte. C'est utile si vous souhaitez autoriser à la fois un téléphone et un ordinateur portable, mais rien de plus.

Réflexions finales

Restreindre les connexions à un seul appareil est l'un de ces changements qui s'amortit rapidement sur tout site avec des comptes payants.

Vous le configurez une fois, et chaque nouvelle connexion après cela est automatiquement appliquée. Pas de maintenance, de vérifications manuelles ou de poursuite des partageurs d'identifiants.

Le plugin Loggedin gère la restriction principale en quelques minutes.

WPCode vous donne la flexibilité d'exempter les bonnes personnes sans toucher une ligne de code de thème.

Entre les deux, vous obtenez une configuration suffisamment rigoureuse pour protéger vos revenus et suffisamment flexible pour ne pas frustrer votre propre équipe.

Si vous gérez un site d'adhésion ou vendez l'accès à tout type de contenu, cela vaut la peine d'être fait dès aujourd'hui.

Vos données utilisateur deviendront immédiatement plus fiables, et les revenus que vous perdez à cause des identifiants partagés cesseront de fuir.

Pour un aperçu plus approfondi du renforcement de votre site au-delà des contrôles de connexion, le guide complet de sécurité WordPress est une bonne prochaine étape.

Hub de ressources : Sécurité WordPress et gestion des utilisateurs

Ces guides couvrent les prochaines étapes pour sécuriser votre site et gérer correctement vos utilisateurs.

• 9 meilleurs plugins de sécurité WordPress comparés – une comparaison testée des meilleurs plugins de sécurité pour WordPress, couvrant les pare-feu, l'analyse des logiciels malveillants et la protection de la connexion.
• Comment limiter les tentatives de connexion dans WordPress étape par étape – restreignez le nombre de fois où quelqu'un peut essayer de se connecter avant d'être bloqué. Se marie bien avec la restriction d'un seul appareil.
• 8 meilleurs plugins de force brute que j'ai testés et qui bloquent réellement – protégez votre page de connexion contre les attaques automatisées de mots de passe.
• 7 meilleurs plugins et outils WordPress CAPTCHA comparés – ajoutez une couche supplémentaire à votre formulaire de connexion afin que les robots ne puissent même pas tenter de se connecter.
• Comment créer un cours en ligne avec WordPress – si vous restreignez les connexions pour protéger le contenu du cours, voici comment créer et structurer le cours lui-même.
• La liste de contrôle complète de la sécurité WordPress – tout en un seul endroit : sécurité de la connexion, permissions de fichiers, sauvegardes, et plus encore.