Dans cet article
Vous tapez votre mot de passe d'administration, il est refusé. Vous demandez une réinitialisation, aucun e-mail n'arrive. Avant de conclure à un piratage, quelques vérifications s'imposent. Mais si quelqu'un a bien changé votre mot de passe, chaque heure compte : il a les clés du site. Cet article explique comment reprendre la main par l'hébergement. Pour le cas plus large d'un compte inconnu ou d'un accès perdu, voyez notre page compte administrateur inconnu, et la rubrique dépannage.
Oubli ou piratage : les premiers indices
Commencez par écarter les causes banales :
- Le gestionnaire de mots de passe a enregistré une ancienne version, ou remplit le mauvais compte.
- Un collègue ou un prestataire a changé le mot de passe sans prévenir.
- L'e-mail de réinitialisation arrive dans les indésirables, ou part vers une ancienne adresse.
En revanche, plusieurs signes orientent vers un piratage :
- l'e-mail de réinitialisation n'arrive jamais, et vous êtes sûr de l'adresse : elle a peut-être été remplacée par celle du pirate ;
- vous avez reçu un message signalant un changement de mot de passe ou d'adresse e-mail que vous n'avez pas demandé ;
- le site présente d'autres anomalies : redirection, pages inconnues, extensions nouvelles ;
- d'autres comptes du site ne fonctionnent plus non plus.
Reprendre l'accès par l'hébergement
Si l'administration vous est fermée, l'hébergement reste la porte de secours. Ces méthodes demandent les accès à votre espace d'hébergement. Si vous ne les avez plus non plus, contactez d'abord l'hébergeur avec une preuve de titularité.
Par phpMyAdmin
- Ouvrez phpMyAdmin depuis l'espace d'hébergement et sélectionnez la base du site.
- Dans la table des utilisateurs (souvent wp_users, le préfixe peut varier), repérez votre compte.
- Vérifiez d'abord la colonne user_email : si l'adresse n'est plus la vôtre, c'est une preuve forte de piratage. Notez-la, puis remettez la vôtre.
- Modifiez le champ user_pass en choisissant la fonction MD5 et en saisissant un nouveau mot de passe provisoire. WordPress le convertira en format sécurisé à la première connexion.
Par WP-CLI
Si votre hébergement propose un accès SSH avec WP-CLI, la commande « wp user list --role=administrator » affiche tous les administrateurs, et « wp user update » permet de changer l'adresse e-mail et le mot de passe d'un compte.
Une fois reconnecté : les dix premières minutes
Le pirate a eu accès à l'administration. Il a pu préparer son retour. Dans l'ordre :
- Listez les administrateurs (Utilisateurs, filtre Administrateur). Supprimez tout compte inconnu après l'avoir noté. Pensez aussi aux rôles Éditeur et Gestionnaire de boutique.
- Changez le mot de passe de tous les administrateurs, et choisissez la déconnexion de toutes les autres sessions dans le profil de chacun.
- Régénérez les clés de sécurité dans wp-config.php : cela invalide toutes les sessions ouvertes, y compris celle du pirate.
- Vérifiez l'adresse e-mail d'administration dans Réglages, Général.
- Regardez les extensions installées récemment, surtout celles que vous ne connaissez pas, et le dossier wp-content/mu-plugins par FTP.
Remonter à l'origine
Un mot de passe ne change pas tout seul. Les causes habituelles :
- Mot de passe réutilisé sur un autre service qui a fuité. C'est très fréquent.
- Faille dans une extension permettant de créer un compte ou de changer un mot de passe sans autorisation.
- Ordinateur infecté par un logiciel qui vole les mots de passe enregistrés dans le navigateur.
- Boîte e-mail piratée : le pirate a demandé la réinitialisation et l'a reçue à votre place.
Si votre boîte e-mail est en cause, sécurisez-la en priorité : tant qu'elle est compromise, toutes les réinitialisations de mot de passe le sont aussi. Changez son mot de passe et activez la double authentification.
Pourquoi changer le mot de passe ne suffit pas
Avec un accès administrateur, le pirate peut installer une extension, modifier un fichier du thème ou créer un administrateur caché. Notre article sur les administrateurs cachés dans mu-plugins montre un exemple de compte qui réapparaît après suppression. Si un compte inconnu revient, ou si le site présente d'autres symptômes, un nettoyage est nécessaire.
Pour la suite
- Un mot de passe unique et long pour chaque administrateur, rangé dans un gestionnaire de mots de passe.
- La double authentification sur tous les comptes administrateurs.
- Un compte par personne, jamais de compte partagé, et suppression des comptes des anciens prestataires.
- Une adresse e-mail d'administration à laquelle vous avez toujours accès.
Si vous ne parvenez pas à reprendre la main, une simple récupération d'accès sans piratage relève du dépannage dès 120 €. En cas de piratage d'un WordPress standard, le nettoyage express est à 190 € (TVA non applicable). Diagnostic gratuit au 04 82 53 39 32 ou à lois.armand@hinsight.org. Pour vérifier l'état du site, lisez aussi comment savoir si mon site est piraté.