Définition simple
Un nonce WordPress est un jeton associé à une action qui aide à empêcher certaines requêtes non souhaitées, notamment de type CSRF.
Définition technique
Les nonces WordPress sont générés selon l'action, l'utilisateur et des fenêtres temporelles ; ils ne sont pas nécessairement à usage unique. Les fonctions wp_nonce_field et check_admin_referer servent à les manipuler, mais il faut toujours vérifier séparément les permissions avec current_user_can.
À quoi cela sert ?
réduire les risques de requêtes forgées sur les actions d’administration.
Exemple concret
un formulaire admin utilise wp_nonce_field puis wp_verify_nonce.
Problèmes fréquents
- nonce expiré
- action différente
- cache servant un ancien formulaire
À retenir : un nonce WordPress réduit certains risques CSRF, mais ne constitue ni une autorisation d’accès ni un secret d’authentification ; vérifiez aussi les capacités utilisateur.