Désactiver les notifications WordPress de changements de mot de passe

Chaque fois qu’un utilisateur de votre site sous WordPress réinitialise son mot de passe, l’administrateur reçoit un e-mail, ce qui, pour un site avec de nombreux utilisateurs, peut vite devenir agaçant.

Heureusement, deux lignes de code suffisent pour désactiver cette notification, ainsi que celle que reçoit un utilisateur lorsque le mot de passe de son compte est modifié. WordPress envoie en effet deux e-mails distincts, tous deux intitulés « [Nom de votre site] Mot de passe changé » :

• le premier part vers l’Adresse e-mail d’administration définie dans Réglages > Général, quand un utilisateur choisit un nouveau mot de passe après avoir cliqué sur le lien « Mot de passe oublié ? » de la page de connexion. Il n’est pas envoyé si ce compte utilise lui-même l’adresse d’administration ;
• le second part vers l’adresse du compte concerné, quand son mot de passe est modifié depuis sa page de profil (Comptes > Profil, ou simplement Profil pour les rôles qui n’ont pas accès à la liste des comptes) ou par un administrateur dans Comptes > Tous les comptes.

Pour les désactiver, créez simplement un mu-plugin, c’est-à-dire un fichier PHP placé dans le dossier wp-content/mu-plugins, avec le code suivant :

<?php
/**
 * Plugin Name: Disable Password Change Notifications
 */

/* Disable User Password Change Notification */
add_filter('send_password_change_email', '__return_false');

/* Disable Admin Password Change Notification */
remove_action('after_password_reset', 'wp_password_change_notification');

Un mu-plugin pour must-use plugin fonctionne de la même manière qu’une extension classique à la différence près que vous ne pouvez pas la désactiver depuis l’interface d’administration.

Pour le vérifier, utilisez un compte non administrateur et réinitialisez son mot de passe via le lien « Mot de passe oublié ? » de la page de connexion, avant et après l’ajout du bout de code. Vous ne devriez plus recevoir la notification par e-mail en tant qu’administrateur.

Idem pour la première ligne, qui désactive l’e-mail envoyé au titulaire du compte : modifiez son mot de passe depuis Comptes > Profil pour le constater. Ne la gardez que si vous en avez vraiment besoin : ce message invite l’utilisateur à contacter l’administrateur s’il n’a pas modifié lui-même son mot de passe, une alerte précieuse en cas de piratage de son compte.

Comme le souligne Julio en commentaire, il est judicieux que l’administrateur soit informé d’un changement de mot de passe notamment sur les autres comptes administrateurs qui disposent des droits complets sur le site. Il peut donc être intéressant de filtrer cela sur un rôle spécifique.

Pour continuer à être prévenu lorsqu’un administrateur réinitialise son mot de passe, remplacez les deux dernières lignes du code précédent par celles-ci :

/* Notify the site admin only when an account with one of these roles resets its password */
function wpc_password_reset_admin_notification( $user ) {
	$roles = array( 'administrator' );

	if ( array_intersect( $roles, (array) $user->roles ) ) {
		wp_password_change_notification( $user );
	}
}
remove_action( 'after_password_reset', 'wp_password_change_notification' );
add_action( 'after_password_reset', 'wpc_password_reset_admin_notification' );

Pour surveiller d’autres rôles, ajoutez leur identifiant au tableau $roles, par exemple 'editor' pour le rôle Éditeur/éditrice.

Autre notification souvent superflue : voyez comment désactiver la vérification de l’e-mail d’administration.