Vous avez perdu l’accès à votre administration WordPress : comment reprendre la main ?

Ne plus pou­voir se connec­ter à son tableau de bord Word­Press est une situa­tion angois­sante. Dans la grande majo­ri­té des cas, il existe un che­min pour récu­pé­rer l’ac­cès à l’ad­mi­nis­tra­tion Word­Press sans rien perdre. Encore faut-il choi­sir le bon, et ce choix dépend d’une seule ques­tion : de quoi dis­po­sez-vous encore ? Ce guide part de vos moyens réels, du plus simple au plus tech­nique, pour vous aider à reprendre la main en sécurité.

Un préa­lable, que nous posons fran­che­ment dès main­te­nant. Ce guide s’a­dresse à la per­sonne qui a per­du l’ac­cès à son admi­nis­tra­tion Word­Press, mais qui conserve au moins un moyen d’ac­tion : l’ac­cès à l’a­dresse e‑mail asso­ciée à son compte, au cPa­nel ou aux fichiers du site. Si vous avez tout per­du en même temps, l’ad­mi­nis­tra­tion, l’a­dresse e‑mail asso­ciée et l’ac­cès à l’hé­ber­ge­ment, aucune mani­pu­la­tion ne vous ren­dra la main : la seule voie est de contac­ter le sup­port de votre héber­geur et de prou­ver que vous êtes bien le titu­laire du compte. Nous y reve­nons plus bas.

Le tableau ci-des­sous résume les solu­tions pos­sibles selon les accès dont vous dis­po­sez encore. Cha­cune est détaillée dans la suite de l’article.

Les exemples de ce guide s’ap­puient sur le cPa­nel et les outils o2switch, l’en­vi­ron­ne­ment de ce blog. Le rai­son­ne­ment, lui, vaut chez n’im­porte quel héber­geur : ailleurs, vous retrou­ve­rez les mêmes étapes avec les outils équi­va­lents de votre hébergement.

Avant de chercher à récupérer l’accès administrateur, faites le point

Deux réflexes avant toute manipulation.

Le pre­mier : dis­tin­guez une simple perte d’ac­cès d’un pira­tage. Si vous ne par­ve­nez plus à vous connec­ter alors que rien d’autre ne cloche, c’est très pro­ba­ble­ment un mot de passe éga­ré ou une adresse e‑mail deve­nue inac­ces­sible. En revanche, si le site affiche des conte­nus que vous n’a­vez pas publiés, redi­rige vers des pages incon­nues ou si votre mot de passe a ces­sé de fonc­tion­ner du jour au len­de­main, vous n’êtes peut-être plus dans une simple perte d’ac­cès, mais face à une com­pro­mis­sion. Le pré­sent guide traite la perte d’ac­cès. Un site pira­té demande une autre démarche, plus large, que nous n’a­bor­dons pas ici.

Le second : dès que vous vous apprê­tez à tou­cher à la base de don­nées, sau­ve­gar­dez-la d’a­bord. La plu­part des méthodes qui suivent se font sans risque, mais celles qui passent par la base modi­fient direc­te­ment le cœur de votre site. Une sau­ve­garde préa­lable vous laisse un filet en cas de fausse manœuvre. Chez o2switch, une sau­ve­garde peut se déclen­cher en quelques clics depuis le cPanel.

➔ Astuce : si votre accès aux fichiers vous demande un iden­ti­fiant et un mot de passe, essayez-les sur le pan­neau de votre héber­ge­ment. Chez o2switch, le compte FTP prin­ci­pal par­tage sou­vent les iden­ti­fiants du cPa­nel, et vous ouvre alors l’hé­ber­ge­ment com­plet, donc toutes les solu­tions les plus simples de cet article. Au pire, l’ac­cès sera refu­sé et vous n’au­rez rien perdu.

Si vous avez accès au cPanel : WPTiger, la voie la plus rapide

Si vous avez accès à votre cPa­nel, com­men­cez par là. C’est la voie la plus rapide, et elle ne demande ni de retrou­ver votre mot de passe Word­Press, ni d’at­tendre un e‑mail.

Chez o2switch, l’ou­til WPTi­ger, dis­po­nible dans le cPa­nel, sait se connec­ter à votre site sans pas­ser par la page de connexion habi­tuelle. Il s’ap­puie sur votre héber­ge­ment, sur lequel vous êtes déjà authen­ti­fié, pour vous ouvrir l’ad­mi­nis­tra­tion. Si votre héber­geur pro­pose un ges­tion­naire Word­Press de ce type, la démarche est la même, seul le nom de l’ou­til change.

➔ Dans le cPa­nel, ouvrez l’ou­til WPTi­ger.
➔ En face du site concer­né, cli­quez sur « Administration ».

Vous voi­là dans le tableau de bord, sans avoir eu à sai­sir quoi que ce soit. Pro­fi­tez-en pour redé­fi­nir un mot de passe depuis votre pro­fil WordPress.

WPTi­ger va plus loin si néces­saire. En pas­sant par « Gérer le site », puis l’on­glet « Uti­li­sa­teurs », vous accé­dez à la liste des comptes du site. Pour cha­cun, vous pou­vez défi­nir un nou­veau mot de passe sans que l’an­cien soit exi­gé, modi­fier son rôle, ou ouvrir une ses­sion à sa place avec « Connexion rapide ». Un bou­ton « Créer un compte Word­Press » per­met enfin d’en ajou­ter un, si votre admi­nis­tra­teur a dis­pa­ru. La pro­cé­dure com­plète, cap­tures à l’ap­pui, est décrite dans la docu­men­ta­tion o2switch : Mot de passe per­du Word­Press avec WPTi­ger.

Cette approche répond à elle seule à la plu­part des situa­tions. Les sec­tions sui­vantes pré­sentent les autres voies, selon ce dont vous disposez.

Si vous avez accès à vos e‑mails : la procédure « mot de passe oublié »

C’est le cas le plus cou­rant, et la mani­pu­la­tion la plus simple, à condi­tion que votre site expé­die encore ses mes­sages. Sous le for­mu­laire de connexion de Word­Press, le lien « Mot de passe oublié ? » envoie un lien de réini­tia­li­sa­tion à l’a­dresse e‑mail de votre compte.

➔ Ren­dez-vous sur la page de connexion de votre site (géné­ra­le­ment votre-domaine.fr/wp-login.php).
➔ Cli­quez sur « Mot de passe oublié ? ».
➔ Sai­sis­sez votre iden­ti­fiant ou l’a­dresse e‑mail du compte.
➔ Ouvrez le mes­sage reçu et sui­vez le lien pour défi­nir un nou­veau mot de passe.

Si le mes­sage arrive, vous avez ter­mi­né. Dans le cas contraire, véri­fiez d’a­bord le dos­sier des cour­riers indé­si­rables, patien­tez quelques minutes et assu­rez-vous d’a­voir sai­si l’i­den­ti­fiant ou l’a­dresse e‑mail asso­ciés au bon compte. Si rien ne vient mal­gré tout, n’in­sis­tez pas : il se peut que votre site n’en­voie plus aucun e‑mail, un pro­blème que vous ne pour­rez pas cor­ri­ger sans y avoir accès. Inutile alors d’at­tendre ce mes­sage, pas­sez direc­te­ment aux méthodes ci-des­sous, qui reprennent la main depuis l’hé­ber­ge­ment sans pas­ser par la messagerie.

Si vous avez accès au cPanel : quelques commandes dans le Terminal

Si vous avez accès au cPa­nel, l’ou­til Ter­mi­nal est la manière la plus propre d’in­ter­ve­nir vous-même. Comme WPTi­ger, les com­mandes que vous y sai­si­rez confient le tra­vail à Word­Press : le mot de passe est enre­gis­tré au for­mat en vigueur et les rôles sont ins­crits cor­rec­te­ment. Vous le trou­ve­rez dans la sec­tion « Avan­cé » du cPa­nel : une console acces­sible depuis votre navi­ga­teur, sans logi­ciel à ins­tal­ler. Si vous ne le trou­vez pas, contac­tez le support.

Word­Press s’y pilote avec WP-CLI, son outil en ligne de com­mande. Ras­su­rez-vous : ici, seules quelques com­mandes sont nécessaires.

➔ Ouvrez le Ter­mi­nal depuis le cPa­nel.
➔ Pla­cez-vous dans le dos­sier du site, par exemple cd ~/public_html.
➔ Repé­rez votre compte et son iden­ti­fiant avec la com­mande wp user list.

Une pré­ci­sion sur la deuxième étape : public_html est le dos­sier du domaine prin­ci­pal de votre héber­ge­ment. Un domaine sup­plé­men­taire ou un sous-domaine pos­sède son propre dos­sier, dont le che­min est indi­qué dans le cPa­nel, à la rubrique « Domaines ». Si vous vous trom­pez de dos­sier, WP-CLI vous répon­dra sim­ple­ment qu’il n’a pas trou­vé d’ins­tal­la­tion Word­Press à cet endroit, sans rien casser.

La com­mande wp user list affiche un tableau de ce genre :

+----+------------+--------------+------------------+---------------------+---------------+
| ID | user_login | display_name | user_email       | user_registered     | roles         |
+----+------------+--------------+------------------+---------------------+---------------+
| 1  | mdupont    | Marie Dupont | marie@exemple.fr | 2023-04-12 09:14:22 | administrator |
| 5  | jlefevre   | Jean Lefèvre | jean@exemple.fr  | 2024-02-03 16:41:07 | editor        |
+----+------------+--------------+------------------+---------------------+---------------+

+----+------------+--------------+------------------+---------------------+---------------+
| ID | user_login | display_name | user_email       | user_registered     | roles         |
+----+------------+--------------+------------------+---------------------+---------------+
| 1  | mdupont    | Marie Dupont | marie@exemple.fr | 2023-04-12 09:14:22 | administrator |
| 5  | jlefevre   | Jean Lefèvre | jean@exemple.fr  | 2024-02-03 16:41:07 | editor        |
+----+------------+--------------+------------------+---------------------+---------------+

Repé­rez votre compte à la colonne roles, qui doit indi­quer administrator, et non à son numé­ro : l’ad­mi­nis­tra­teur n’est pas tou­jours l’u­ti­li­sa­teur 1. Dans cet exemple, l’i­den­ti­fiant à rete­nir est mdupont, celui de la colonne user_login. C’est lui que vous rem­pla­ce­rez par le vôtre dans les com­mandes qui suivent.

Le plus direct consiste ensuite à lais­ser Word­Press géné­rer un mot de passe solide et à l’af­fi­cher à l’é­cran, sans ten­ter d’en­voyer le moindre e‑mail :

wp user reset-password mdupont --skip-email --show-password

wp user reset-password mdupont --skip-email --show-password

L’op­tion --skip-email a tout son sens ici : puisque vous êtes peut-être dans la situa­tion décrite plus haut, où le site n’ex­pé­die plus rien, autant ne pas comp­ter sur un mes­sage qui n’ar­ri­ve­ra pas. Notez le mot de passe affi­ché, puis connec­tez-vous normalement.

Lais­ser Word­Press géné­rer ce mot de passe n’est pas qu’un confort. Dans l’ur­gence, on en choi­sit vite un trop simple, en se pro­met­tant de le chan­ger plus tard, pro­messe rare­ment tenue. Un mot de passe géné­ré est solide dès le départ, et vous épargne d’a­voir à en inven­ter un.

L’autre com­mande pré­sente l’a­van­tage inverse : elle vous laisse choi­sir vous-même votre mot de passe. Repre­nez l’i­den­ti­fiant rele­vé plus haut, puis indi­quez le mot de passe de votre choix :

wp user update mdupont --user_pass=VotreNouveauMotDePasse

wp user update mdupont --user_pass=VotreNouveauMotDePasse

L’i­den­ti­fiant accepte indif­fé­rem­ment le nom de compte, l’a­dresse e‑mail ou le numé­ro de l’utilisateur.

Une pré­cau­tion tou­te­fois : écrit de cette manière, le mot de passe reste ins­crit dans l’his­to­rique des com­mandes du Ter­mi­nal. Si vous pré­fé­rez l’é­vi­ter, rem­pla­cez --user_pass=... par --prompt=user_pass : WP-CLI vous deman­de­ra alors de le sai­sir dans une invite sépa­rée, sans le conser­ver dans l’historique.

Si votre compte admi­nis­tra­teur a pure­ment et sim­ple­ment dis­pa­ru, vous pou­vez en recréer un :

wp user create secours vous@exemple.fr --role=administrator --prompt=user_pass

wp user create secours vous@exemple.fr --role=administrator --prompt=user_pass

Pas­ser par cette com­mande n’est pas un détail de confort. Le rôle d’un uti­li­sa­teur n’est pas une simple éti­quette posée sur son compte : Word­Press l’en­re­gistre dans un for­mat par­ti­cu­lier, facile à abî­mer si on l’é­crit soi-même. La com­mande, elle, laisse Word­Press écrire ce rôle cor­rec­te­ment. C’est la rai­son pour laquelle ce guide décon­seille de créer un admi­nis­tra­teur direc­te­ment dans la base de don­nées. Si vous vou­lez décou­vrir tout ce que WP-CLI per­met par ailleurs, nous lui avons consa­cré un guide complet :

Si vous avez accès au cPanel : la base de données avec phpMyAdmin, en dernier recours

Pas­ser par la base de don­nées est la méthode la plus connue. C’est aus­si la plus déli­cate, car vous édi­tez direc­te­ment le conte­nu du site. Réser­vez-la aux cas où les pré­cé­dentes ne sont pas pos­sibles, et n’ou­bliez pas la sau­ve­garde évo­quée plus haut.

Elle sert à chan­ger un mot de passe, ou à cor­ri­ger l’a­dresse e‑mail de votre compte pour ensuite rece­voir le lien de réini­tia­li­sa­tion. En revanche, elle ne convient pas pour créer un admi­nis­tra­teur dans le cadre de ce guide, pour la rai­son expli­quée juste au-dessus.

➔ Dans le cPa­nel, ouvrez php­MyAd­min et sélec­tion­nez la base de votre site. Son nom figure dans le fichier wp-config.php, à la ligne DB_NAME.
➔ Ouvrez la table wp_users (le pré­fixe wp_ peut dif­fé­rer sur votre site).
➔ Repé­rez votre compte à sa colonne user_login ou user_email, et non à son numé­ro : l’ad­mi­nis­tra­teur n’est pas tou­jours l’u­ti­li­sa­teur 1. Cli­quez sur « Édi­ter » sur cette ligne.
➔ Dans le champ user_pass, effa­cez la valeur, tapez votre nou­veau mot de passe en clair, et dans la colonne « Fonc­tion » choi­sis­sez MD5.
➔ Vali­dez avec « Exécuter ».

Une remarque s’im­pose ici, car ce point fait dou­ter beau­coup de monde. Depuis Word­Press 6.8, les nou­veaux mots de passe sont pro­té­gés avec bcrypt, qui a rem­pla­cé l’an­cien sys­tème phpass. Word­Press conserve tou­te­fois la com­pa­ti­bi­li­té avec plu­sieurs anciens for­mats, dont le MD5 uti­li­sé pour cette mani­pu­la­tion. Le mot de passe sera donc accep­té lors de votre connexion, puis immé­dia­te­ment réen­re­gis­tré avec le sys­tème de pro­tec­tion actuel. Cette méthode reste valable et ne laisse pas dura­ble­ment votre mot de passe en MD5.

Vous pou­vez, sur la même ligne, cor­ri­ger le champ user_email si votre pro­blème venait d’une adresse obso­lète : vous pour­rez alors reve­nir à la simple pro­cé­dure « mot de passe oublié ».

Pour com­prendre ce que vous mani­pu­lez et évi­ter les fausses manœuvres, un détour utile :

Si vous n’avez accès qu’aux fichiers du site, sans le cPanel

Il existe un cas où vous ne dis­po­sez ni de l’ad­mi­nis­tra­tion Word­Press, ni du cPa­nel, mais seule­ment d’un accès limi­té aux fichiers du site, sou­vent confié par un prestataire.

Une réini­tia­li­sa­tion reste tech­ni­que­ment pos­sible en ajou­tant tem­po­rai­re­ment du code au site. Cette méthode est tou­te­fois plus déli­cate et plus ris­quée que celles pré­sen­tées pré­cé­dem­ment : il faut notam­ment iden­ti­fier le bon compte, modi­fier un fichier exé­cu­té par Word­Press, puis reti­rer immé­dia­te­ment le code uti­li­sé. Une erreur pour­rait per­tur­ber l’af­fi­chage du site ou lais­ser une infor­ma­tion sen­sible dans ses fichiers.

Dans cette situa­tion, nous vous recom­man­dons donc de récu­pé­rer d’a­bord l’ac­cès com­plet à l’hé­ber­ge­ment. Rap­pro­chez-vous de la per­sonne ou de la socié­té qui le détient, ou du sup­port de votre héber­geur en prou­vant que vous êtes le titu­laire du compte. Une fois le cPa­nel entre vos mains, toutes les solu­tions simples de cet article vous rede­viennent accessibles.

Ce cas illustre sur­tout l’im­por­tance de savoir, en amont, quels accès sont réel­le­ment à votre nom. C’est une pré­cau­tion qui se prend à froid, avant tout inci­dent, bien plus faci­le­ment que dans l’urgence.

Bloqué par votre propre sécurité (double authentification, extension de protection)

Der­nier cas de figure : vous connais­sez vos iden­ti­fiants, mais c’est votre propre dis­po­si­tif de sécu­ri­té qui vous ver­rouille. Il peut s’a­gir d’une double authen­ti­fi­ca­tion dont vous avez per­du l’ap­pli­ca­tion ou les codes de secours, ou d’une exten­sion de pro­tec­tion qui a blo­qué votre adresse IP après plu­sieurs tentatives.

La parade consiste à empê­cher tem­po­rai­re­ment Word­Press de char­ger l’ex­ten­sion res­pon­sable en renom­mant son dos­sier, sans rien sup­pri­mer. Vous pou­vez le faire depuis le ges­tion­naire de fichiers du cPa­nel ou en FTP. Nous avons détaillé cette mani­pu­la­tion, cap­tures à l’ap­pui, dans un autre article :

➔ Dans le dos­sier wp-content/plugins/, renom­mez le dos­sier de l’ex­ten­sion concer­née, par exemple nom-extension en nom-extension-off.
➔ Recon­nec­tez-vous à Word­Press : l’ex­ten­sion ne pou­vant plus être char­gée, le ver­rou devrait être levé.
➔ Redon­nez immé­dia­te­ment au dos­sier son nom d’o­ri­gine, puis véri­fiez si l’ex­ten­sion est tou­jours active et recon­fi­gu­rez pro­pre­ment la sécurité.

Atten­tion avec Word­fence : lorsque son pare-feu fonc­tionne en pro­tec­tion éten­due, il peut être char­gé avant Word­Press. Renom­mer son dos­sier peut alors pro­vo­quer une erreur sur l’en­semble du site. Dans ce cas, redon­nez immé­dia­te­ment au dos­sier son nom d’o­ri­gine : le site devrait retrou­ver son fonc­tion­ne­ment nor­mal. Pas­sez ensuite par une autre méthode de cet article, ou deman­dez l’aide du sup­port avant d’al­ler plus loin.

Cette opé­ra­tion neu­tra­lise tem­po­rai­re­ment une par­tie de la pro­tec­tion du site. Ne lais­sez donc pas l’ex­ten­sion désac­ti­vée plus long­temps que nécessaire.

Une fois la main reprise : refermer derrière vous

Reprendre l’ac­cès n’est que la moi­tié du tra­vail. Pre­nez quelques minutes pour ne pas lais­ser de porte ouverte der­rière vous.

Com­men­cez par ouvrir la liste de vos uti­li­sa­teurs et véri­fier les comptes admi­nis­tra­teurs : s’il s’en trouve un que vous ne recon­nais­sez pas, cela peut être le signe d’une com­pro­mis­sion à trai­ter comme telle. Sup­pri­mez ensuite tout compte de secours que vous auriez créé et qui ne sert plus.

Véri­fiez que l’a­dresse e‑mail de votre compte admi­nis­tra­teur est valide et sur­tout consul­tée régu­liè­re­ment : c’est elle qui vous sau­ve­ra la pro­chaine fois. Assu­rez-vous que votre site envoie bien ses e‑mails, sans quoi le lien de réini­tia­li­sa­tion ne vous par­vien­dra pas la pro­chaine fois ; si ce n’est pas le cas, voi­ci com­ment le régler : Word­Press n’en­voie plus d’e-mails : causes et solu­tions. Enfin, remet­tez en place une connexion pro­té­gée, et si vous uti­li­sez la double authen­ti­fi­ca­tion, met­tez ses codes de secours en lieu sûr, ailleurs que sur le télé­phone qui génère les codes.

Pour aller plus loin sur la sécu­ri­sa­tion de la connexion, un article com­plé­men­taire couvre l’ac­cès nor­mal et sa protection :

À retenir

Perdre l’ac­cès à son admi­nis­tra­tion Word­Press fait peur, mais mène rare­ment à une impasse. La bonne méthode se déduit d’une seule ques­tion : de quoi dis­po­sez-vous encore ?

Si vous avez accès au cPa­nel, WPTi­ger règle la qua­si-tota­li­té des situa­tions sans retrou­ver votre mot de passe Word­Press, et le Ter­mi­nal per­met d’en défi­nir un nou­veau avec une seule com­mande. Si vous rece­vez encore les e‑mails du site, la pro­cé­dure « mot de passe oublié » suf­fit ; s’ils n’ar­rivent pas, sou­ve­nez-vous que le cou­pable peut être un site qui n’en­voie plus d’e-mails, pas for­cé­ment une mau­vaise adresse. La base de don­nées reste le der­nier recours, à manier avec une sau­ve­garde de côté. Et si vous n’a­vez vrai­ment plus aucun accès à l’hé­ber­ge­ment, la vraie solu­tion n’est pas un bri­co­lage tech­nique, mais la récu­pé­ra­tion de vos accès auprès de qui les détient.

La meilleure des méthodes reste celle que l’on n’a jamais à uti­li­ser : une adresse e‑mail d’ad­mi­nis­tra­tion à jour et consul­tée, des accès dont vous connais­sez le pro­prié­taire, et une sau­ve­garde récente. Ces trois habi­tudes trans­forment une panique en simple formalité.