Identifiez le compte que vous cherchez à récupérer
Vous arrivez devant le formulaire de connexion et aucun mot de passe ne semble fonctionner. Avant d’en demander un nouveau, vérifiez que vous êtes sur le bon site. Le compte de votre hébergeur, celui du bureau d’enregistrement du domaine et votre utilisateur WordPress sont généralement trois comptes distincts. Réinitialiser le premier ne modifie pas automatiquement les deux autres.
Pour une installation WordPress indépendante, la connexion se trouve habituellement à l’adresse de votre site suivie de /wp-login.php. L’accès à /wp-admin/ peut également vous y conduire. Une installation dans un sous-dossier ou un dispositif de connexion personnalisé peut utiliser une autre adresse. Reprenez un favori fiable ou les indications de votre hébergeur, plutôt qu’un lien envoyé par un inconnu.
Si vous vous connectez avec un compte WordPress.com, utilisez son parcours de récupération. Un compte créé sur WordPress.org pour participer aux forums ne donne pas, à lui seul, accès à l’administration de votre site. Lorsque la connexion passe par un fournisseur d’identité externe, c’est parfois ce compte externe qu’il faut récupérer.
Ce guide s’adresse au propriétaire du compte ou à la personne explicitement autorisée à l’administrer. Il explique comment définir un nouvel accès. WordPress conserve une empreinte du mot de passe, pas une copie lisible que l’on pourrait simplement afficher dans un tableau.
Choisissez le chemin correspondant à vos accès disponibles
Commencez par l’approche 1 si vous pouvez recevoir les messages envoyés à l’adresse de votre profil. Elle utilise le lien de récupération natif et ne demande aucune modification du serveur. C’est le parcours le plus direct lorsque la messagerie du site fonctionne.
L’approche 2 convient si une session reste ouverte sur un de vos appareils ou si un administrateur autorisé peut vous aider. Elle permet de corriger le profil depuis le tableau de bord. Gardez cette session disponible pendant le diagnostic : vous déconnecter partout avant d’avoir confirmé le nouvel accès peut vous priver de votre seule entrée.
L’approche 3 passe par l’hébergement quand les deux premières sont indisponibles. Elle suppose un accès déjà autorisé au serveur, ou une vérification de propriété par le prestataire. WP-CLI fournit un parcours adapté aux utilisateurs intermédiaires ; phpMyAdmin reste une variante plus délicate à utiliser sur le compte exact.
Ne changez pas le rôle de l’utilisateur pour résoudre un oubli de mot de passe. Un auteur peut retrouver son compte sans devenir administrateur. Ne restaurez pas non plus toute la base de données pour ce seul problème : cela pourrait annuler des contenus, inscriptions ou commandes sans rapport avec la connexion.
Approche 1 : demander un lien de réinitialisation
Ouvrez la page de connexion depuis une adresse connue et vérifiez le domaine ainsi que la connexion HTTPS. Cliquez sur le lien « Mot de passe oublié ? », dont le libellé peut varier avec la langue ou le thème de connexion. Saisissez l’identifiant du compte ou l’adresse électronique enregistrée dans son profil, puis envoyez une seule demande.
Attendez le message dans la boîte concernée et consultez les indésirables. Ouvrez le message le plus récent correspondant à votre demande. Dans le parcours habituel, il contient un lien qui permet de choisir un nouveau mot de passe. Il ne doit pas être nécessaire de payer un service ni de transmettre vos identifiants d’hébergement pour effectuer cette opération.
Avant de suivre le lien, vérifiez sa destination. Elle doit correspondre à votre installation ou au service d’identité réellement utilisé. Le lien contient un secret temporaire : ne le publiez pas sur un forum et ne le laissez pas visible dans une capture d’écran partagée. Une personne qui intervient sur le site n’a pas besoin de le recevoir si vous pouvez terminer le parcours vous-même.
Choisissez un mot de passe unique, idéalement généré et enregistré dans votre gestionnaire de mots de passe. Validez la modification, puis revenez au formulaire normal pour vous connecter. Si votre navigateur remplit encore l’ancienne valeur, remplacez-la et mettez à jour l’entrée enregistrée. Le succès de la réinitialisation et le succès de la connexion sont deux vérifications distinctes.
Si le lien est invalide ou a expiré
Un lien de récupération n’est pas un accès permanent. Il contient une clé liée au compte et à la demande. Une demande plus récente peut rendre une précédente clé inutilisable ; une clé utilisée ou devenue trop ancienne ne doit plus servir à définir un mot de passe. Ne tentez pas de corriger cette clé à la main dans l’adresse.
Retournez au formulaire de mot de passe oublié et effectuez une nouvelle demande. Repérez son heure dans votre messagerie, puis utilisez uniquement le dernier message reçu. Si votre boîte regroupe les messages en conversation, développez le plus récent : il est facile d’ouvrir par erreur un ancien lien placé plus haut dans le même fil.
Si le lien paraît tronqué, utilisez l’adresse complète fournie dans le message, sans ajouter d’espace ni enlever ses paramètres. Effectuez ce test dans un navigateur à jour et sur le domaine attendu. Une redirection vers l’ancien domaine après une migration est un indice de configuration à corriger ; demander vingt nouveaux liens ne résoudra pas cette incohérence.
Lorsque chaque nouveau lien échoue immédiatement, relevez l’heure de la demande, le domaine de départ, la destination finale et le texte de l’erreur. Transmettez ces éléments au responsable du site sans divulguer la clé. Il pourra vérifier le traitement des liens, les redirections et les composants de connexion à partir d’un essai daté.
Si aucun message de récupération n’arrive
Vérifiez d’abord la boîte correspondant au profil utilisateur, qui peut être différente de l’adresse générale de contact du site. Un site peut envoyer ses notifications administratives à une adresse tout en associant votre compte personnel à une autre. Si vous connaissez votre identifiant, essayez-le dans le formulaire pour éviter une erreur de saisie de l’adresse.
Recherchez le nom du site dans les indésirables et les dossiers de classement automatique. Vérifiez aussi que la boîte n’est pas saturée et que vous pouvez recevoir un message ordinaire. Ces observations distinguent un problème de réception général d’un problème propre aux messages émis par WordPress.
Une page indiquant que la demande a été traitée ne prouve pas que le courriel est arrivé jusqu’à votre boîte. L’envoi peut être bloqué par l’hébergement, une configuration de messagerie ou un filtre. Si vous n’avez plus accès au tableau de bord, installer immédiatement une extension d’envoi n’est pas une solution disponible : passez plutôt par un administrateur autorisé ou le support.
Évitez de multiplier les demandes à quelques secondes d’intervalle. Vous risquez surtout de recevoir une série de messages difficiles à distinguer. Notez un essai précis et demandez au support si le message correspondant a été émis, rejeté ou différé. La récupération du compte peut être menée par une autre approche pendant que la délivrabilité est diagnostiquée séparément.
Approche 2 : utiliser une session ouverte ou un administrateur autorisé
Si votre session fonctionne encore sur un appareil de confiance, ouvrez votre profil depuis le tableau de bord. Vérifiez le nom d’utilisateur et l’adresse électronique avant toute modification. Dans la section de gestion du compte, utilisez l’action permettant de définir ou générer un nouveau mot de passe, puis enregistrez le profil. Attendez la confirmation de sauvegarde.
Testez ensuite le nouvel accès dans une autre fenêtre. Ne vous fiez pas au fait que votre ancienne session reste ouverte : elle ne démontre pas que vous avez correctement enregistré et conservé la nouvelle valeur. Mettez à jour votre gestionnaire de mots de passe dès que la connexion indépendante fonctionne.
Si un autre administrateur intervient, il doit d’abord vérifier votre identité par un moyen déjà connu. Il ouvre la liste des utilisateurs, sélectionne votre compte exact et utilise les fonctions de gestion du mot de passe autorisées par ses droits. Selon la configuration, il peut envoyer un lien de réinitialisation ou définir une nouvelle valeur. L’envoi d’un lien reste dépendant du bon fonctionnement de votre messagerie.
Convenez d’un mode de transmission sûr si une valeur temporaire doit vous être remise, puis remplacez-la depuis votre profil après connexion. N’utilisez pas un commentaire public ou un document partagé à toute l’équipe. Sur un réseau multisite, certaines actions sont réservées à l’administrateur du réseau : l’absence du bouton attendu peut venir des droits du compte, pas d’une panne du site.
Approche 3 : préparer une récupération depuis l’hébergement
Connectez-vous au compte d’hébergement par son adresse habituelle. S’il est lui aussi inaccessible, récupérez cet accès auprès du prestataire avant d’essayer de modifier WordPress. Le support peut demander les éléments de propriété prévus dans son processus. La connaissance du nom de domaine ou d’un nom d’utilisateur public ne suffit pas à prouver que vous êtes autorisé à reprendre le compte.
Repérez l’installation concernée, son chemin et la base de données associée. Un même hébergement peut contenir une production, une préproduction et une ancienne copie. Une réinitialisation sur la mauvaise installation peut afficher un message de succès sans rien changer à votre connexion habituelle. Préparez une sauvegarde restaurable avant une intervention directe dans la base.
Certains hébergeurs proposent une fonction de gestion des utilisateurs WordPress ou une connexion administrative depuis leur panneau. Utilisez-la si elle est prévue pour votre site et si votre compte est autorisé. Une fois dans WordPress, reprenez le parcours de modification du profil décrit précédemment.
À défaut, WP-CLI permet une intervention ciblée depuis SSH. Il faut que l’outil soit disponible et que vous sachiez ouvrir une session autorisée. N’installez pas un script de récupération trouvé au hasard dans le dossier public : ce script pourrait devenir une porte d’entrée supplémentaire si son accès est mal protégé ou s’il reste en place.
Avec WP-CLI, identifiez le compte avant de le modifier
Ouvrez une session SSH et placez-vous dans le répertoire de la bonne installation. Vérifiez le chemin avec les informations de votre hébergeur. La première commande ci-dessous lit l’adresse d’accueil configurée ; la seconde affiche les informations de l’utilisateur choisi. Remplacez IDENTIFIANT par votre identifiant réel, sans supposer qu’il s’appelle admin ou qu’il possède le numéro 1.
Lisez le résultat avant de poursuivre. Si le domaine, l’adresse électronique ou le compte ne correspond pas à ce que vous connaissez, arrêtez la modification et clarifiez l’installation ciblée. Une différence peut venir d’une copie ancienne, d’un changement légitime ou d’une altération du compte. Elle ne doit pas être corrigée au hasard pour faire passer la commande suivante.
Les informations d’utilisateur affichées peuvent être privées. Gardez-les dans votre session et masquez-les avant toute capture destinée à un forum. Sur un réseau multisite, faites préciser le site et le compte du réseau concernés : changer un mot de passe partagé dans le réseau peut avoir des effets au-delà d’un seul sous-site.
wp option get home
wp user get IDENTIFIANTDéfinissez le nouveau mot de passe avec une saisie séparée
La commande suivante demande la valeur du champ user_pass au moment de son exécution. Remplacez seulement l’identifiant dans la commande. Préparez un mot de passe unique dans votre gestionnaire, puis saisissez-le lorsque WP-CLI le demande. Cela évite de placer le secret directement dans la ligne de commande conservée par l’historique du shell.
Une saisie interactive ne dispense pas de protéger votre session : un terminal enregistré, partagé à l’écran ou capturé peut encore exposer des informations. Effectuez l’opération dans votre session de confiance. Ne choisissez pas une option qui imprime volontairement le nouveau mot de passe dans la sortie si vous n’en avez pas besoin.
Après la confirmation de mise à jour, essayez une connexion normale depuis le navigateur. La commande modifie le mot de passe du compte ciblé ; elle ne supprime pas une exigence de double authentification et ne corrige pas automatiquement des règles de redirection. Si la connexion échoue encore, relevez le message exact avant toute nouvelle réinitialisation.
Ne modifiez pas simultanément le rôle, le nom d’utilisateur et l’adresse électronique. En changeant une seule donnée à la fois, vous savez ce qui a réellement résolu le problème. Si WP-CLI échoue avant d’exécuter l’action, transmettez l’erreur technique au responsable de l’hébergement plutôt que d’ajouter des options au hasard.
wp user update IDENTIFIANT --prompt=user_passVariante avec phpMyAdmin lorsque WP-CLI n’est pas disponible
Cette variante suppose un accès autorisé à phpMyAdmin et une sauvegarde préalable. Sélectionnez la base réellement utilisée par l’installation. Le fichier de configuration permet d’identifier son nom et le préfixe des tables ; consultez ces informations sans partager le fichier complet. Le préfixe n’est pas nécessairement wp_.
Ouvrez la table des utilisateurs, généralement nommée avec ce préfixe suivi de users. Repérez la ligne à partir de l’identifiant et de l’adresse du compte. Vérifiez son numéro avant de choisir Modifier. Dans le champ user_pass, sélectionnez la fonction MD5 proposée par phpMyAdmin et saisissez le nouveau mot de passe dans la valeur, puis enregistrez uniquement cette ligne.
Cette procédure utilise une compatibilité de récupération : après une connexion réussie, WordPress remplace l’empreinte temporaire par son mécanisme de hachage actuel. MD5 n’est pas un choix à adopter pour concevoir votre propre système de mots de passe. Ne collez pas simplement un mot de passe en clair dans le champ sans la transformation prévue, et ne transmettez pas le secret à un générateur de hachage en ligne.
Connectez-vous aussitôt, puis utilisez le profil WordPress pour établir votre accès définitif. Si vous ne pouvez pas identifier sans ambiguïté la bonne base ou la bonne ligne, faites réaliser cette opération par le prestataire. N’exécutez pas une modification visant toute la table et ne touchez pas aux droits pour compenser un compte mal identifié.
Si le mot de passe fonctionne mais qu’un autre écran vous bloque
Une demande de code à usage unique signifie généralement que vous avez atteint une seconde étape d’authentification. Réinitialiser encore le mot de passe ne recrée pas votre application d’authentification. Utilisez les codes de récupération que vous aviez conservés ou le processus prévu par le fournisseur de cette protection. Ne partagez pas ces codes avec une personne rencontrée sur un forum.
Pour WordPress.com, la récupération du téléphone, de l’adresse électronique ou du compte suit des parcours distincts. Si vous n’avez plus aucun moyen de validation, passez par son formulaire officiel de récupération. Sur une installation indépendante, contactez l’administrateur ou le prestataire qui gère la double authentification, avec une preuve de propriété adaptée.
Si le formulaire se recharge sans ouvrir le tableau de bord, vérifiez d’abord les cookies du site et l’adresse finale. Une incohérence HTTP/HTTPS, de domaine ou de cache peut interrompre la session alors que les identifiants sont corrects. Testez dans une fenêtre privée ou un autre navigateur de confiance, sans désactiver globalement vos protections.
Enfin, un compte connecté qui ne peut pas installer une extension n’est pas nécessairement mal récupéré. Ses droits peuvent être ceux d’un auteur, d’un éditeur ou d’un administrateur de sous-site. Comparez les actions attendues au rôle autorisé avant de demander une modification de permissions.
Confirmez la récupération et réduisez le risque de nouvel oubli
La récupération est vérifiée lorsque vous pouvez vous connecter avec le nouvel accès dans une session indépendante, ouvrir votre profil et effectuer une action autorisée. Contrôlez l’adresse électronique du compte. Si vous la changez, suivez les éventuelles étapes de confirmation : un champ modifié visuellement ne garantit pas toujours que la nouvelle adresse est déjà validée.
Enregistrez le domaine exact, l’identifiant et le mot de passe dans votre gestionnaire. Distinguez les fiches du site, de l’hébergeur et de WordPress.com pour éviter une nouvelle confusion. Chaque personne qui gère le site devrait disposer de son propre compte avec les droits nécessaires, plutôt que d’utiliser un identifiant partagé dont personne ne connaît le dernier changement.
Si l’oubli était simplement accidentel, vérifiez vos appareils et fermez les sessions devenues inutiles depuis les fonctions disponibles dans le profil. Si vous découvrez une adresse inconnue, un changement non demandé ou un administrateur supplémentaire, traitez aussi l’éventuelle compromission. Retrouver un mot de passe ne suffit pas à démontrer que le site et la messagerie sont sûrs.
Préparez enfin la récupération future : boîte électronique accessible, accès au compte d’hébergement documenté et codes de secours conservés dans un emplacement sûr. Une extension spécialisée peut compléter l’authentification d’un site indépendant, mais elle n’est pas nécessaire pour les méthodes décrites ici. Ajoutez un outil seulement après avoir retrouvé un accès stable et compris son propre mécanisme de secours.
