Mot de passe administrateur WordPress perdu : trois solutions

Méthode 1 : la réinitialisation par e-mail

C’est la méthode normale, et elle fonctionne dans la majorité des cas. Sur l’écran de connexion, cliquez sur « Mot de passe oublié », saisissez votre identifiant ou votre adresse, et attendez le message.

Quand il n’arrive pas, trois raisons reviennent systématiquement. L’adresse enregistrée dans WordPress n’est plus la vôtre, parce que vous avez changé de fournisseur ou d’entreprise depuis la création du site. Le serveur mail n’est pas configuré, et le message n’a jamais été envoyé. Ou bien il est parti dans les indésirables, ce qui est très fréquent pour les messages automatiques de WordPress.

Vérifiez les indésirables avant tout, y compris l’onglet Promotions si vous êtes chez Gmail. Si rien n’apparaît au bout de dix minutes, l’e-mail n’est pas la bonne piste et il faut passer à la méthode suivante.

Méthode 2 : modifier le mot de passe dans la base de données

Cette méthode fonctionne toujours, à condition d’avoir accès à la base de données. Elle passe par phpMyAdmin, disponible dans le panneau de votre hébergeur, souvent sous « Bases de données ».

Une fois dans phpMyAdmin, sélectionnez la base de votre site puis ouvrez la table wp_users. Le préfixe wp_ est parfois différent, choisi à l’installation : cherchez la table dont le nom se termine par users.

Repérez votre ligne, cliquez sur Modifier, et travaillez sur le champ user_pass. Effacez la valeur existante, saisissez votre nouveau mot de passe en clair, puis sélectionnez MD5 dans la liste déroulante de la colonne « Fonction ». Enregistrez.

Ce point mérite une précision, parce qu’il inquiète souvent : MD5 n’est plus considéré comme sûr, et WordPress ne l’utilise pas pour stocker les mots de passe. Mais il le reconnaît encore. À votre première connexion, WordPress détecte cette empreinte ancienne et rechiffre automatiquement votre mot de passe avec son algorithme actuel. Vous n’avez rien à faire, et la sécurité de votre compte n’est pas dégradée.

Méthode 3 : créer un administrateur par FTP

Si vous avez un accès FTP mais pas la base de données, vous pouvez créer un compte administrateur en ajoutant temporairement du code au thème. La manipulation est simple, mais elle demande une précaution absolue.

Connectez-vous en FTP, ouvrez le fichier functions.php de votre thème actif, et ajoutez à la fin :

function alr_admin_temporaire() {
    $login = 'depannage';
    $motdepasse = 'ChoisissezUnMotDePasseLong2027';
    $email = 'votre@adresse.fr';
    if ( ! username_exists( $login ) ) {
        $id = wp_create_user( $login, $motdepasse, $email );
        $user = new WP_User( $id );
        $user->set_role( 'administrator' );
    }
}
add_action( 'init', 'alr_admin_temporaire' );

Enregistrez, rechargez la page d’accueil de votre site une fois, puis connectez-vous avec ces identifiants.

Retirez ce code immédiatement après vous être connecté. Tant qu’il reste en place, n’importe qui connaissant ces identifiants peut entrer, et le fichier functions.php est un endroit que les robots inspectent. Ce n’est pas une précaution théorique : c’est la faille la plus courante laissée derrière soi après un dépannage pressé.

Et si vous n’avez plus aucun accès ?

Sans e-mail, sans base et sans FTP, il reste l’hébergeur. Lui seul peut vous rendre la main, et il le fera à condition que vous prouviez que le compte est bien le vôtre.

Préparez ce qu’ils demandent en général : la facture d’hébergement, une pièce d’identité si le compte est personnel, un extrait Kbis si le compte est au nom d’une société, et l’adresse e-mail qui figure au contrat. Plus votre demande arrive complète, plus la réponse est rapide.

Si le compte d’hébergement est au nom de votre ancien prestataire, la démarche est plus longue et parfois bloquée. C’est précisément la situation qu’il faut éviter, et j’y reviens à la fin de cet article.

Une fois reconnecté : les trois réflexes

Avant de reprendre votre travail, prenez cinq minutes pour trois vérifications. Elles vous éviteront de revivre la situation, ou pire, de découvrir que la perte d’accès n’était pas un oubli.

Premièrement, corrigez l’adresse e-mail d’administration dans Réglages puis Général, et vérifiez aussi celle de votre profil utilisateur : ce sont deux champs distincts, et c’est le second qui sert à la réinitialisation.

Deuxièmement, ouvrez la liste des utilisateurs et lisez-la ligne par ligne. Un compte administrateur que vous ne reconnaissez pas n’est pas un oubli, c’est un signe de piratage. Les intrusions se traduisent très souvent par la création d’un compte discret, au nom crédible, laissé en place pour revenir plus tard. Si vous en trouvez un, ne vous contentez pas de le supprimer : le point d’entrée est toujours ouvert, et la marche à suivre complète est décrite dans l’article sur les sites piratés.

Troisièmement, activez la double authentification. Elle transforme un mot de passe volé en incident sans conséquence.

Éviter que ça se reproduise

Trois habitudes suffisent, et aucune ne demande de compétence technique.

Utilisez un gestionnaire de mots de passe plutôt qu’un carnet ou un fichier. Il génère des mots de passe longs, les retient à votre place, et vous n’avez plus qu’un seul mot de passe à mémoriser.

Renseignez une adresse de récupération distincte de celle du site. Si votre messagerie professionnelle est hébergée sur le même serveur que votre site, une panne peut vous priver des deux en même temps.

Créez un second compte administrateur de secours, avec une adresse différente, et ne vous en servez jamais au quotidien. C’est la roue de secours : inutile jusqu’au jour où elle vous évite d’appeler quelqu’un.

Si vous préférez que quelqu’un garde un œil sur tout ça, c’est une des choses que couvre un forfait de maintenance : accès contrôlés, comptes surveillés, sauvegardes testées. Et si vous êtes bloqué maintenant, le dépannage en urgence commence par un diagnostic gratuit.

Questions fréquentes

Le mot de passe en MD5 rend-il mon site vulnérable ?
Non, parce que WordPress le remplace par son propre chiffrement dès votre première connexion. L’empreinte MD5 ne survit pas à cette connexion.

Puis-je supprimer le compte de mon ancien prestataire ?
Oui, une fois que vous avez vérifié qu’aucun automatisme ne s’appuie dessus. Changez son rôle en abonné pendant quelques jours avant de le supprimer, vous verrez tout de suite si quelque chose casse.

Combien de comptes administrateurs faut-il ?
Deux au maximum dans la plupart des cas. Les autres intervenants n’ont presque jamais besoin des droits complets.