Wordfence : récupérer l’accès quand les codes 2FA sont refusés ou perdus

Identifier l’étape qui refuse la connexion

Le mot de passe est reconnu, puis Wordfence demande un code supplémentaire qui est refusé. Ou bien le téléphone a été perdu et aucun code ne peut être produit. Ce blocage concerne le second facteur d’authentification, appelé 2FA. Réinitialiser seulement le mot de passe WordPress ne recrée pas ce facteur et ne remet pas l’application du téléphone en place.

Commencez par identifier le site et le compte exacts. Une application peut conserver plusieurs entrées portant un nom proche, notamment après une copie ou un changement de domaine. Le code d’un ancien site ou d’un autre administrateur ne correspond pas nécessairement au secret enregistré pour votre compte actuel.

Le résultat recherché est une connexion vérifiée, suivie d’un nouvel appairage fiable lorsque l’ancien appareil n’est plus disponible. Nous privilégions la récupération du compte concerné. Désactiver le second facteur pour tous les utilisateurs, élargir une liste d’adresses autorisées ou supprimer toutes les données de sécurité ne constitue pas une réponse proportionnée à la perte d’un téléphone.

Vérifier le module réellement utilisé

Ce guide vise le second facteur local de Wordfence Security déjà installé. La fiche du répertoire consultée indique la version 9.0.2, publiée par Mark Maunder, avec WordPress 4.7 et PHP 7.0 minimum et une compatibilité déclarée jusqu’à WordPress 7.1.4. Ces informations décrivent le produit et ne garantissent pas la compatibilité d’une page de connexion personnalisée.

Le compte du service Wordfence, la connexion WordPress et une intégration utilisant un mot de passe d’application sont des accès différents. Si l’écran appartient au service externe, utilisez sa récupération propre. Un passage en boucle au formulaire sans demande explicite de code peut aussi relever de cookies ou d’une redirection, à examiner séparément.

Sur une installation en réseau, faites intervenir le responsable du réseau lorsque le rôle et les réglages sont partagés. Un administrateur de sous-site n’a pas automatiquement le droit de réinitialiser tous les comptes. Aucun nouveau plugin n’est nécessaire : superposer deux mécanismes d’authentification pendant la récupération rendrait le parcours plus difficile à comprendre et à remettre en état.

Préparer une récupération sans perdre la dernière session

Si une session d’administration fonctionne encore dans un autre navigateur, gardez-la ouverte. Ne supprimez pas immédiatement l’entrée de l’application d’authentification et ne désinstallez pas cette application : elle peut contenir les seuls accès utilisables à d’autres services. Une correction de l’heure ou une entrée simplement mal choisie peut encore résoudre le problème.

Avant une modification par les fichiers, conservez une sauvegarde privée cohérente et l’accès de retour. Pour les premières méthodes par code ou par compte, notez surtout qui intervient, sur quel utilisateur et avec quelle preuve d’identité. Ne transmettez ni QR code, ni secret d’appairage, ni code de récupération dans un forum public.

Préparez une seconde fenêtre de navigation pour le contrôle final. Le principe est de tester une nouvelle connexion sans fermer la session qui permet de corriger les réglages. Si le compte est géré par une organisation, suivez son circuit de récupération plutôt que de demander à un collègue d’utiliser ses identifiants à votre place. L’intervention doit rester attribuable au responsable autorisé et au seul compte réellement bloqué.

Vérifier le code courant et les horloges

Un code TOTP dépend du temps et du secret partagé entre le site et l’application. Choisissez l’entrée correspondant au bon site, puis attendez le début d’un nouveau code plutôt que d’envoyer plusieurs fois un code sur le point d’expirer. Respectez le délai annoncé si le site limite les tentatives.

Dans les réglages du téléphone, vérifiez la date, l’heure et leur synchronisation automatique. Une heure affichée approximativement correcte ne garantit pas un décalage suffisamment faible. Le fuseau d’affichage de WordPress n’est pas une commande de synchronisation de l’horloge du serveur.

1. Confirmez le site, le compte et l’entrée de l’application.
2. Vérifiez la synchronisation de l’appareil, puis essayez une seule fois un code nouvellement produit.
3. Avec une session autorisée, ouvrez Login Security puis la page 2FA et comparez Server Time et Browser Time.
4. Si l’heure serveur est incorrecte, faites corriger sa synchronisation par l’hébergement. Le contrôle NTP de Wordfence peut être indisponible sans que cela prouve une mauvaise horloge.
5. Si le refus persiste, conservez le message et passez à la récupération au lieu d’accumuler les essais.

Utiliser un code de récupération sauvegardé

Les codes de récupération conservés lors de l’activation permettent de se connecter sans le téléphone. Ils sont plus longs que les codes temporaires et chacun n’est utilisable qu’une fois. Utilisez uniquement le jeu actuel du site et du compte concernés ; un jeu remplacé par une génération ultérieure ne doit plus être considéré comme valable.

Cherchez votre copie dans le stockage privé ou le document conservé lors de l’appairage. Évitez de la recopier dans un outil de partage pour faciliter la saisie. Si les codes ont été stockés uniquement sur le téléphone perdu, ils ne constituent pas une voie de récupération indépendante.

1. Ouvrez la page de connexion réelle et saisissez vos identifiants WordPress habituels.
2. À la demande 2FA, saisissez un code de récupération inutilisé à la place du code temporaire.
3. Validez une fois, puis marquez ce code comme utilisé dans votre copie privée.
4. Si l’accès revient, gardez la session ouverte et préparez le nouvel appairage.
5. Si le code est refusé, vérifiez le jeu et le compte. Ne publiez pas la liste pour demander lequel pourrait fonctionner.

Réinitialiser son facteur depuis une session conservée

Une session encore autorisée peut permettre de remplacer le facteur du compte sans interrompre les protections des autres utilisateurs. Ouvrez Wordfence > Login Security, puis My 2FA. Vérifiez que la page concerne bien votre compte avant d’utiliser Deactivate pour retirer son ancien appairage.

Préparez déjà le nouvel appareil et le stockage des codes de secours. Une désactivation doit être suivie de la remise en place du facteur prévu. Si une politique impose la 2FA, l’accès peut exiger un nouvel enrôlement ; ne modifiez pas le rôle de tous les administrateurs pour contourner cette obligation.

Conservez cette session pendant la configuration et le premier contrôle dans une autre fenêtre. Si vous ne pouvez pas ouvrir la page ou si une réauthentification réclame précisément le facteur perdu, n’essayez pas de modifier des valeurs inconnues en base. Utilisez un autre administrateur autorisé ou le parcours de récupération de l’hébergement. La présence d’une ancienne session ne doit pas devenir un prétexte pour laisser durablement un compte sensible sans facteur, ni pour partager son navigateur avec une personne dont l’identité n’a pas été vérifiée.

Faire intervenir un autre administrateur autorisé

Un administrateur encore connecté peut réinitialiser le facteur d’un utilisateur après vérification de son identité. La demande doit passer par un canal déjà connu : le seul fait de connaître un nom de compte ou d’envoyer un message urgent ne suffit pas. Convenez d’un créneau où le propriétaire pourra immédiatement configurer son nouvel appareil.

L’intervention concerne l’enregistrement 2FA de cet utilisateur. Elle ne demande pas de donner à tous les membres le rôle administrateur ni d’arrêter globalement la sécurité des connexions. Sur un réseau, utilisez les droits et le contexte appropriés au compte concerné.

1. Dans Utilisateurs, retrouvez la fiche exacte et confirmez son identité avec le propriétaire.
2. Sous le nom d’utilisateur, ouvrez le lien 2FA fourni par Wordfence.
3. Vérifiez la mention User et le nom affiché sur la page de gestion.
4. Utilisez Deactivate pour l’ancien facteur du seul utilisateur.
5. Faites configurer le nouvel appairage et vérifier une nouvelle connexion. Conservez la preuve de cette fin d’intervention ; une désactivation réussie ne suffit pas à garantir que le compte est à nouveau protégé.

Respecter l’obligation de facteur et les délais individuels

Wordfence peut autoriser, interdire ou imposer la 2FA selon les rôles. Le comportement d’un compte récemment réinitialisé dépend donc de cette politique. Avant de modifier une règle, vérifiez si le blocage vient du code, d’un enrôlement obligatoire ou d’une période de grâce arrivée à son terme.

Dans Login Security > Settings, les réglages des rôles décrivent le périmètre général. Une intervention sur un utilisateur ne justifie pas de passer tous les administrateurs en mode facultatif. Lorsqu’un délai individuel est réellement nécessaire, le responsable peut utiliser le contrôle de grâce sur la page Profil, 2FA ou Passkeys de cet utilisateur et en fixer la durée adaptée. Les administrateurs et super administrateurs ne bénéficient pas de la période de grâce par défaut ; un éventuel délai individuel doit être décidé explicitement, puis suivi jusqu’au nouvel enrôlement.

Ne confondez pas cette grâce avec la récupération d’un ancien secret : elle ne restaure pas l’application perdue. Elle organise seulement le temps autorisé pour compléter la configuration prévue. Documentez la personne aidée et le résultat attendu, puis vérifiez que le nouvel appairage a été effectué avant l’échéance. Les passkeys et les autres mécanismes peuvent modifier le parcours de connexion ; s’ils sont imposés sur le site, faites traiter leur politique propre plutôt que de changer la 2FA pour réparer un autre facteur.

Préparer le dernier recours par les fichiers

Si aucun code de récupération ni administrateur disponible ne permet l’accès, la documentation Wordfence prévoit une interruption temporaire du plugin par renommage. Cette voie exige un accès SFTP ou un gestionnaire de fichiers autorisé et la certitude de travailler sur la bonne installation. Elle réduit temporairement la protection du produit ; préparez donc une intervention courte avec le responsable.

Identifiez le dossier réel de Wordfence Security et sa configuration de pare-feu. Une protection étendue peut être chargée avant WordPress ; ne supprimez pas ses fichiers de chargement ni ses directives PHP pour appliquer un conseil générique. Si le déploiement ou le pare-feu est géré par le prestataire, faites préparer cette récupération précise par son responsable.

Conservez la sauvegarde et le nom initial. Vérifiez qu’aucun dossier de destination ne porte déjà le nom choisi. Ne renommez ni tout le dossier des extensions ni les extensions indispensables. N’appliquez pas cette procédure au composant d’un autre éditeur qui affiche lui aussi une demande 2FA. Le but est une ouverture temporaire permettant de réparer le compte, pas la désinstallation du système de sécurité ni l’effacement de ses données.

Rétablir rapidement le plugin après l’accès temporaire

Dans l’accès aux fichiers de l’installation confirmée, le dossier ordinaire est généralement wp-content/plugins/wordfence. Adaptez le chemin si le répertoire de contenus est personnalisé. Le nom temporaire wordfence-disabled suit le parcours de récupération documenté ; ne supprimez pas le dossier.

Gardez le navigateur et l’accès aux fichiers disponibles pendant l’opération. Si la connexion reste bloquée ou qu’une erreur serveur apparaît, arrêtez le parcours, restaurez le nom initial et faites examiner le chargement par le responsable. Répéter les renommages ou retirer d’autres protections au hasard ne préciserait pas le diagnostic.

1. Renommez uniquement le dossier identifié en wordfence-disabled, dans le créneau préparé.
2. Essayez une connexion WordPress avec les identifiants légitimes du compte.
3. Une fois connecté, gardez la session et remettez aussitôt le nom original wordfence.
4. Cliquez sur Tableau de bord pour actualiser le menu après le retour du dossier. Si Wordfence reste absent, ouvrez Extensions et réactivez-le si nécessaire, puis rouvrez son menu.
5. Dans Login Security, désactivez l’ancien facteur de votre compte si nécessaire et préparez immédiatement son remplacement.
6. Contrôlez ensuite l’état du plugin et de la protection prévue. Rétablir un nom de dossier ne constitue pas à lui seul une validation du pare-feu.

Créer le nouvel appairage et renouveler les codes

Ouvrez Login Security > My 2FA dans la session conservée. Ajoutez une nouvelle entrée dans votre application et utilisez le QR code ou le secret manuel de cette page. Ne partagez pas une capture du QR code : elle contient ce qui permet de produire les futurs codes du compte.

Téléchargez le nouveau jeu de codes de récupération dans un stockage privé disponible même si le téléphone disparaît. Wordfence invalide les anciens codes lorsqu’un nouveau jeu est généré. Une copie ancienne doit donc être clairement écartée pour éviter les confusions lors du prochain incident.

Saisissez un code courant et utilisez Activate pour terminer l’appairage. Une simple présence de l’entrée dans l’application ne prouve pas que le site a validé l’activation. Attendez sa confirmation, puis passez au contrôle dans une autre fenêtre. Ne supprimez les anciennes entrées devenues inutiles qu’après avoir identifié sans ambiguïté le nouveau site et le nouveau compte. Si l’appareil a réellement été perdu, examinez aussi avec le responsable les autres accès qui pouvaient y être conservés, sans réinitialiser indistinctement tous les comptes du site.

Tester sans fermer la session qui permet de corriger

Gardez la session de maintenance ouverte et lancez une nouvelle connexion dans une fenêtre privée ou un second navigateur. Utilisez le même compte, le mot de passe habituel et un code nouvellement généré. N’utilisez pas un appareil déjà mémorisé comme seul contrôle, puisqu’il peut éviter la demande de code.

Le résultat attendu est l’affichage du bon parcours, l’acceptation du nouveau code et l’accès au tableau de bord approprié. Si une page de connexion personnalisée échoue alors que le formulaire WordPress standard fonctionne, faites examiner son intégration au lieu de refaire l’appairage plusieurs fois.

1. Vérifiez une connexion fraîche avec le nouveau code.
2. Contrôlez que la 2FA est active pour le compte et que les rôles n’ont pas été élargis.
3. Si le recours par fichiers a été utilisé, confirmez le nom et l’activation du plugin ainsi que la protection attendue.
4. Vérifiez que les nouveaux codes de secours sont récupérables dans leur stockage privé.
5. Fermez ensuite les sessions de test devenues inutiles et consignez le résultat. Un accès retrouvé sans facteur ne constitue pas la fin normale de cette récupération.

Prévenir une nouvelle perte et revenir sur une mauvaise modification

Conservez une méthode de récupération indépendante de l’appareil principal et un contact de maintenance autorisé. Identifiez les entrées de l’application par site et par compte, surtout lorsque vous gérez des copies. Un téléphone neuf ou une restauration d’application demande un contrôle avant d’effacer l’ancien appareil.

Si une modification a concerné le mauvais compte, rétablissez sa protection avec son propriétaire et vérifiez les journaux disponibles. Ne tentez pas de reconstruire un ancien secret à partir de valeurs trouvées en base. Si un dossier a été renommé sans résoudre le problème, remettez son nom et son état initial avant de poursuivre un autre diagnostic.

Le retour arrière d’un facteur n’est pas la remise en service d’un téléphone déclaré perdu. Il consiste à conserver ou rétablir la politique légitime, puis à appairer un appareil disponible et contrôlé. Consignez les étapes réellement réalisées, les sessions utilisées et l’état final du compte. Ne mettez dans ce dossier ni les codes de secours, ni le secret, ni le mot de passe. Cette trace permet de distinguer une récupération autorisée d’une désactivation restée ouverte par oubli.