Dépannage WordPress
Récupérer un accès administrateur WordPress en sécurité
La méthode la plus sûre est le lien « Mot de passe oublié » envoyé à l’adresse du compte. Les solutions serveur ou base sont des recours réservés au propriétaire légitime lorsqu’un envoi ou un compte ne fonctionne plus.
Ce que ce symptôme signifie réellement
Un courriel absent peut venir d’une adresse obsolète, d’un problème de délivrabilité ou d’un blocage avant l’envoi. Il ne faut jamais transmettre l’ancien mot de passe : WordPress stocke une empreinte et peut en générer une nouvelle.
Un compte administrateur inconnu ou une adresse modifiée sans autorisation peut signaler une compromission. Dans ce cas, récupérer l’accès ne suffit pas.
Avant toute modification : préserver les preuves et le retour arrière
Notez l’heure, l’URL, le message exact, le code HTTP et le dernier changement connu. Vérifiez ensuite qu’une sauvegarde récente couvre bien les fichiers et la base de données, qu’elle est lisible et qu’un retour arrière limité est possible. Une sauvegarde non testée ne suffit pas pour une intervention risquée.
- Ne transmettez jamais de mot de passe, clé privée, jeton, fichier
wp-config.phpou export de base dans un formulaire ou une capture. - Travaillez d’abord sur un staging ou une copie isolée lorsque le diagnostic exige une mise à jour, une modification de code ou une opération de base de données.
- Conservez les journaux et les fichiers suspects avant nettoyage : ils peuvent être nécessaires pour comprendre la cause ou vérifier l’étendue d’un incident.
Diagnostic : avancer du signal le plus fiable au test le moins intrusif
Confirmez le domaine exact, le nom d’utilisateur sans l’exposer et l’adresse de récupération attendue. Vérifiez aussi spam et journaux d’envoi si vous les administrez.
- Utiliser la page officielle de connexion du site et demander un lien unique.
- Vérifier que le lien reçu correspond au bon domaine et n’a pas été partagé.
- Si WP-CLI est disponible, confirmer l’identité du propriétaire avant une réinitialisation ciblée.
- Si les données du compte ont changé de façon inattendue, préserver les journaux et examiner les autres administrateurs/sessions.
Correction : appliquer une action ciblée et réversible
Changez uniquement le compte concerné et utilisez un canal sûr pour remettre l’accès à son propriétaire.
- Définir un mot de passe long et unique via le flux WordPress ou une commande WP-CLI exécutée localement sans l’imprimer dans l’historique.
- Révoquer les sessions du compte si un tiers a pu y accéder.
- Mettre à jour l’adresse de récupération après vérification et activer MFA lorsque la solution le permet.
- Corriger la délivrabilité séparément afin que les prochains liens de sécurité arrivent.
Contrôles après correction
Une page qui se recharge ne suffit pas à prouver que le problème est résolu. Contrôlez le parcours concerné, une page non connectée, l’administration, les erreurs console et réseau, les journaux serveur, le cache et les redirections. Vérifiez aussi les écrans mobile et desktop si le symptôme touchait le rendu.
- Connexion puis déconnexion réussies, rôles inchangés.
- Aucun secret présent dans logs, tickets ou captures.
- Liste des administrateurs et sessions contrôlée.
Quand arrêter et demander une intervention
Si vous ne pouvez pas prouver la propriété du site ou si plusieurs comptes ont changé, n’effectuez pas de réinitialisation : déclenchez une procédure d’incident et de vérification d’identité.