Réponse rapide : WordPress propose cinq rôles par défaut : administrateur, éditeur, auteur, contributeur et abonné auxquels s’ajoute le super admin en contexte multisite. Chaque rôle regroupe un ensemble de permissions précises qui déterminent ce qu’un utilisateur peut créer, modifier ou supprimer sur votre site.
Mal gérer les rôles utilisateurs WordPress, c’est laisser une porte entrouverte. Pas forcément ouverte en grand mais entrouverte. Suffisamment pour qu’une mauvaise manipulation, une intrusion, ou un prestataire parti avec ses accès encore actifs causent des dégâts réels.
Pourtant, la plupart des guides sur le sujet s’arrêtent à la liste des cinq rôles et à leur tableau de permissions. C’est utile, mais insuffisant. Ce qui compte vraiment, c’est de savoir à qui attribuer quoi, pourquoi limiter les droits protège votre site, et comment éviter les erreurs de configuration qui transforment une équipe WordPress en faille de sécurité.
C’est exactement ce que cet article vous donne : une lecture complète des rôles par défaut, des cas pratiques d’attribution, et une méthode concrète pour gérer les accès sans exposer votre site. La gestion des rôles s’inscrit dans une logique de sécurité plus large au même titre que mettre à jour WordPress régulièrement ou placer votre site en maintenance avant une intervention.
Les rôles utilisateurs WordPress par défaut
WordPress structure les accès autour d’une hiérarchie claire. Chaque rôle hérite d’un périmètre défini ni plus, ni moins. Voici ce que chacun implique concrètement.
Administrateur : le contrôle total
L’administrateur dispose de tous les droits sur un site WordPress. Il peut installer des thèmes et des plugins, modifier les réglages, gérer les utilisateurs, accéder aux fichiers via l’éditeur de thème, et supprimer n’importe quel contenu.
C’est le rôle le plus puissant et donc le plus risqué à distribuer. Une erreur commise par un administrateur, qu’elle soit humaine ou le résultat d’un compte compromis, peut rendre un site inaccessible en quelques secondes.
Éditeur : la gestion de tout le contenu
L’éditeur peut créer, modifier, publier et supprimer tous les articles et pages y compris ceux rédigés par d’autres utilisateurs. Il gère également les commentaires, les catégories et les médias.
Ce rôle convient à un rédacteur en chef ou à un responsable éditorial qui doit coordonner la production de contenu sans avoir besoin d’accéder aux réglages techniques du site.
Auteur : ses propres articles uniquement
L’auteur peut rédiger, modifier et publier ses propres articles. Il peut aussi uploader des médias, mais n’a aucun accès aux contenus des autres utilisateurs ni aux réglages du site.
C’est le rôle adapté aux contributeurs réguliers qui publient de manière autonome, sans supervision systématique.
Contributeur : rédiger sans publier
Le contributeur peut écrire et soumettre des articles, mais pas les publier. Chaque article qu’il produit doit être relu et validé par un éditeur ou un administrateur avant d’être mis en ligne.
Ce rôle est idéal pour les rédacteurs externes, les stagiaires, ou toute personne dont vous souhaitez valider la production avant diffusion.
Abonné : lire et gérer son profil
L’abonné n’a accès qu’à son profil personnel et au contenu public du site. Il ne peut ni créer ni modifier de contenu.
Ce rôle est principalement utile pour les sites à accès restreint : espaces membres, zones de téléchargement réservées, forums où l’inscription conditionne l’accès à certaines ressources.
Super admin : le cas du multisite
En contexte WordPress Multisite, le super admin est au-dessus des administrateurs classiques. Il gère le réseau dans son ensemble : création et suppression de sites, installation de plugins et de thèmes au niveau réseau, gestion des utilisateurs sur tous les sous-sites.
Un administrateur classique reste limité à son site, même en multisite. Le super admin, lui, voit tout. Ce rôle ne doit exister qu’en un seul exemplaire, confié à la personne responsable de l’architecture du réseau.
➡️ Quel est le meilleur hébergement web en 2026 ?
Le tableau des permissions en un coup d’œil
Qui peut faire quoi : tableau récapitulatif
| Permission | Abonné | Contributeur | Auteur | Éditeur | Administrateur |
|---|---|---|---|---|---|
| Lire le contenu public | ✓ | ✓ | ✓ | ✓ | ✓ |
| Rédiger un article | — | ✓ | ✓ | ✓ | ✓ |
| Publier ses propres articles | — | — | ✓ | ✓ | ✓ |
| Modifier les articles des autres | — | — | — | ✓ | ✓ |
| Gérer les commentaires | — | — | — | ✓ | ✓ |
| Installer des plugins/thèmes | — | — | — | — | ✓ |
| Gérer les utilisateurs | — | — | — | — | ✓ |
| Modifier les réglages du site | — | — | — | — | ✓ |
Rôles et capacités : la différence à connaître
Un rôle, c’est un nom. Une capacité, c’est une action précise. WordPress distingue les deux : un rôle n’est qu’un regroupement nommé de capacités, comme publish_posts, edit_others_posts ou manage_options.
Cette distinction devient essentielle dès que vous souhaitez personnaliser les accès. Un plugin comme User Role Editor vous permet d’attribuer ou de retirer des capacités individuelles, sans vous forcer à choisir entre deux rôles prédéfinis qui ne correspondent pas exactement à votre besoin.
Quel rôle attribuer à qui
C’est là que la théorie rencontre la réalité d’une équipe. Connaître les rôles, c’est bien. Savoir les distribuer intelligemment, c’est ce qui protège votre site au quotidien.
Rédacteur, rédacteur en chef, webmaster, prestataire
Voici comment traduire les fonctions réelles en rôles WordPress :
- Rédacteur autonome qui publie ses propres contenus → Auteur
- Rédacteur en cours d’intégration ou sous supervision → Contributeur
- Rédacteur en chef qui valide et coordonne les productions → Éditeur
- Webmaster qui gère l’infrastructure technique et les mises à jour → Administrateur, avec toutes les précautions qui s’imposent
- Prestataire externe intervenant ponctuellement → accès temporaire, rôle limité au strict nécessaire, et suppression à la fin de la mission
Les rôles ajoutés par WooCommerce : gestionnaire de boutique et client
WooCommerce enrichit WordPress avec deux rôles supplémentaires adaptés au e-commerce.
Le gestionnaire de boutique peut gérer les commandes, les produits, les coupons et les réglages WooCommerce sans toucher au reste de WordPress. C’est le rôle adapté à votre responsable commercial ou à votre service logistique.
Le client, quant à lui, est un abonné enrichi. Il accède à son historique de commandes, gère ses adresses de livraison et peut laisser des avis. Ce rôle est attribué automatiquement lors de la création d’un compte sur la boutique.
Gérer les rôles sans compromettre la sécurité
C’est l’angle que la plupart des guides effleurent. Pourtant, c’est ici que se joue l’essentiel. Mal gérer les rôles, c’est créer des vulnérabilités que ni un plugin de sécurité ni une mise à jour ne pourront compenser entièrement.
Le principe du moindre privilège
Une règle simple : chaque utilisateur doit disposer uniquement des permissions dont il a besoin pour accomplir sa mission. Pas une de plus.
Ce principe, emprunté à la cybersécurité, s’applique directement à WordPress. Un rédacteur qui n’a jamais besoin d’accéder aux réglages du site n’a aucune raison d’avoir un rôle Administrateur même si c’est plus simple à configurer. La commodité ne justifie jamais l’exposition.
Pourquoi limiter le nombre d’administrateurs
Chaque compte administrateur supplémentaire est une surface d’attaque. Si ce compte est compromis par un mot de passe faible, un phishing, ou une réutilisation de credentials, l’attaquant obtient un accès total à votre site.
La règle pratique : limitez les comptes administrateurs au minimum absolu. Sur la plupart des sites, un seul compte administrateur actif suffit. Si plusieurs personnes doivent intervenir techniquement, évaluez si un rôle Éditeur ou un rôle personnalisé ne suffit pas à couvrir leurs besoins.
Prestataire temporaire : accès daté et retrait en fin de mission
Un développeur externe qui intervient pour une migration, une refonte, ou la résolution d’un bug a souvent besoin d’un accès Administrateur. C’est légitime mais temporaire.
Deux bonnes pratiques s’imposent :
- Créez un compte dédié pour cette intervention, avec un mot de passe fort et unique. N’utilisez jamais votre propre compte administrateur comme accès partagé.
- Révoquez l’accès immédiatement à la fin de la mission. Pas dans une semaine. Pas quand vous y pensez. Tout de suite.
Un plugin comme Temporary Login Without Password permet de créer des accès à durée limitée, avec expiration automatique. Une option à considérer pour les prestataires ponctuels.
Préférer un environnement de préproduction à un accès admin
La règle d’or pour les interventions techniques : si quelque chose peut être testé hors production, c’est hors production qu’il faut le tester.
Un environnement de staging, une copie de votre site dans un espace isolé permet au prestataire de travailler sans risque pour le site en ligne. Les erreurs restent confinées. Les modifications ne sont déployées en production qu’une fois validées. C’est une protection bien plus solide qu’un accès admin bien gardé.
➡️ Comment accélérer un site wordpress en 2026 ?
Créer un rôle personnalisé
Les cinq rôles par défaut couvrent la majorité des cas. Mais certaines configurations d’équipe nécessitent un périmètre d’accès qui n’existe pas nativement dans WordPress. Deux approches s’offrent à vous.
Avec un plugin comme User Role Editor ou Members
User Role Editor et Members sont les deux références pour gérer les rôles sans toucher au code.
User Role Editor affiche l’ensemble des capacités disponibles dans WordPress et vous permet de les activer ou désactiver par rôle, voire par utilisateur. Vous pouvez cloner un rôle existant pour en créer une variante, ou construire un rôle entièrement nouveau à partir d’une liste blanche de capacités.
Members propose une approche similaire avec une interface plus visuelle, et offre en prime la gestion de contenu restreint par rôle, utile pour les espaces membres ou les zones réservées.
Ces deux plugins conviennent à la majorité des besoins, sans nécessiter de compétences en développement.
Par le code, avec add_role, pour les développeurs
Pour les équipes qui préfèrent versionner leurs configurations et éviter les dépendances aux plugins, WordPress expose la fonction add_role() directement dans le code.
add_role(
'editeur_seo',
'Éditeur SEO',
array(
'read' => true,
'edit_posts' => true,
'publish_posts'=> true,
'manage_categories' => true,
)
);
Ce code, placé dans le fichier functions.php de votre thème enfant ou dans un plugin dédié, crée un rôle personnalisé lors de l’activation. La fonction remove_role() permet de le supprimer proprement si nécessaire.
Note importante : add_role() n’écrase pas un rôle existant portant le même identifiant. Si vous modifiez les capacités d’un rôle existant via le code, utilisez plutôt get_role()->add_cap() ou remove_cap().
➡️ Acheter un nom de domaine pour WordPress : le guide d’achat complet
Rôles, sécurité et hébergement chez Systalink
Un hébergement WordPress et des sauvegardes automatisées comme filet
Gérer les rôles avec soin réduit les risques mais aucune configuration n’est infaillible. Une erreur humaine, une capacité mal attribuée, un plugin tiers qui exploite un accès élargi : les incidents arrivent, même sur les sites les mieux administrés.
C’est pourquoi nos équipes chez Systalink ont conçu un hébergement WordPress qui intègre des sauvegardes automatisées comme filet de sécurité. Si une manipulation incorrecte ou une compromission de compte entraîne des modifications non souhaitées, vous disposez d’un point de restauration récent pour revenir en arrière sans perte de données. La gestion des accès et la sauvegarde ne s’excluent pas, elles se complètent. L’une prévient, l’autre répare.
Support en français, facturation en euros
Parce qu’un problème d’accès à 22h ne devrait pas vous forcer à rédiger un ticket en anglais, notre support est disponible en français. Pas de formulaire international, pas de fuseau horaire à calculer. Et pour simplifier votre gestion comptable, la facturation se fait en euros, sans conversion ni frais cachés.
FAQ
Quels sont les rôles utilisateurs par défaut de WordPress ?
WordPress propose cinq rôles par défaut : administrateur, éditeur, auteur, contributeur et abonné. En contexte WordPress Multisite, un sixième rôle s’ajoute : le super admin, qui dispose de droits étendus sur l’ensemble du réseau de sites.
Quel rôle donne le plus de droits ?
Sur un site WordPress classique, c’est l’administrateur qui dispose du niveau de droits le plus élevé. Il peut modifier les réglages, installer des plugins et des thèmes, gérer les utilisateurs, et accéder à la totalité du contenu. Sur un réseau multisite, le super admin surpasse l’administrateur classique, car il contrôle l’ensemble du réseau.
Combien d’administrateurs faut-il sur un site WordPress ?
Dans la grande majorité des cas, un seul compte administrateur actif suffit. Multiplier les comptes administrateurs augmente la surface d’attaque : chaque compte supplémentaire représente un accès total au site qui peut être compromis. Si plusieurs personnes doivent intervenir techniquement, évaluez si un rôle plus restreint ou un accès temporaire ne suffit pas à couvrir leur besoin.
Comment créer un rôle personnalisé sur WordPress ?
Deux méthodes sont disponibles. Sans code, des plugins comme User Role Editor ou Members permettent de créer et de configurer des rôles personnalisés depuis l’interface d’administration WordPress. Pour les développeurs, la fonction native add_role() permet de définir un rôle directement dans le code, avec un contrôle total sur les capacités attribuées. Cette approche est préférable pour les environnements versionnés ou les configurations complexes.
