Accès WordPress perdu · Urgence
Mot de passe refusé, mail de réinitialisation qui n'arrive jamais, administrateur que vous n'avez jamais créé, wp-admin qui renvoie ailleurs : vous êtes enfermé dehors, de votre propre site. Parfois c'est un mot de passe oublié ou une messagerie en panne. Souvent, quand un compte inconnu apparaît ou que votre adresse mail a été changée, c'est qu'un intrus a pris la main et vous a exclu. On reprend l'accès par la base de données, sans dépendre de l'écran de connexion, on identifie ce qui a été fait pendant votre absence, et on verrouille.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic. Si c'est une intrusion, re-nettoyage inclus pendant 30 jours.
Activateur France NumInitiative gouvernementaleIntervention le jour même
06 38 42 04 85Du lundi au vendredi, 9 h à 18 h. En dehors de ces horaires, laissez un message : on rappelle en priorité le matin suivant.
Réponse sous 1 h ouvrée. On vous dit en quelques questions ce qu'on voit et comment on procède.
Ils nous font confiance
Ce problème vous concerne-t-il ?
Être bloqué devant wp-login.php a trois grandes explications. Les détails de ce que vous voyez permettent de classer l'incident avant même d'avoir accès aux fichiers.
Noms typiques : « support », « wp_admin », « adminuser », ou un nom d'apparence banale. C'est le signe le plus sûr d'une intrusion : un attaquant crée son compte pour garder la main même si vous changez votre mot de passe.
L'adresse de l'administrateur ou l'adresse générale du site a été remplacée par celle de l'intrus. Les mails de réinitialisation partent, mais vers lui.
Un compte administrateur compromis a vu son mot de passe changé. Combiné à un compte inconnu ou à un mail modifié, le doute n'est plus permis.
Une règle ajoutée dans .htaccess, dans wp-config.php ou dans un fichier de thème détourne la page de connexion. Vous ne pouvez même plus tenter de vous connecter.
Une extension de sécurité ou le pare-feu de l'hébergeur a bloqué votre adresse IP. Ce n'est pas une intrusion : attendez, ou passez par un autre réseau. Voir aussi la page sur l'erreur 403.
Boucle de redirection due à une adresse de site incohérente (http contre https, avec ou sans www), à un cache trop agressif ou à un cookie mal réglé. Technique, sans intrus.
Extension de sécurité ou de connexion incompatible avec une mise à jour. Le site public fonctionne, seule la connexion plante. Voir la page sur un site qui ne fonctionne plus.
Les intrus installent souvent un gestionnaire de fichiers ou une extension « utilitaire » pour agir sans FTP. Une extension inconnue, active, installée à une date où vous n'avez rien fait : c'est une intrusion.
Pourquoi ça arrive
Six causes expliquent l'essentiel des pertes d'accès. Trois sont sans intrus. Les trois autres sont des intrusions, et elles partagent la même origine : un moyen d'entrer qui traînait.
Mot de passe
« admin / entreprise2024 », ou le même mot de passe que sur un service qui a fuité. Les attaques par force brute testent des millions de combinaisons connues. WordPress, par défaut, ne limite pas les essais : un identifiant « admin » avec un mot de passe court tombe en quelques heures.
Extension
Certaines vulnérabilités permettent à n'importe qui de créer un compte administrateur sans mot de passe, ou d'élever un simple abonné au rang d'administrateur. Patchstack a recensé plus de 11 000 vulnérabilités WordPress en 2025, dont l'immense majorité dans des extensions : la mise à jour est la seule protection.
Porte dérobée
Un site nettoyé à moitié conserve souvent un fichier PHP dans uploads ou dans un thème inactif. Il permet à l'attaquant de recréer un compte à volonté, des mois plus tard, sans jamais passer par la page de connexion.
Messagerie
Le serveur n'envoie plus de mails (fonction mail désactivée, domaine sur liste noire, SPF absent), ou l'adresse enregistrée est celle d'un ancien prestataire. Sans intrus, mais bloquant.
Configuration
Adresse du site incohérente entre les réglages et le certificat, extension de cache qui sert une page de connexion figée, cookie de session invalide : on se connecte, puis on est éjecté. Purement technique.
Accès partagés
Un ancien stagiaire, un prestataire parti, un mot de passe envoyé par mail il y a trois ans : l'accès existe toujours. Ce n'est pas toujours malveillant, mais un compte administrateur dormant est une porte ouverte.
Dans l'immédiat
La reprise de contrôle est une opération précise. Ce qu'on fait avant compte autant que ce qu'on fait pendant.
Comment on intervient
On ne passe pas par l'écran de connexion. On travaille directement dans la base de données et les fichiers, avec les accès hébergeur, puis on remonte la chronologie de ce qui s'est passé pendant que vous étiez exclu.
On liste les comptes, leurs rôles, leurs dates de création et de dernière connexion, les extensions actives et les tâches planifiées. On sait si c'est un oubli, une panne ou une intrusion, et depuis quand.
Vous validez : le périmètre et les accès hébergeur
Réinitialisation de votre mot de passe directement dans la base, rétablissement de votre adresse mail, suppression des comptes intrus, invalidation de toutes les sessions ouvertes. Vous rentrez, l'intrus sort.
Vous validez : votre accès rétabli
Extension vulnérable, fichier de porte dérobée, identifiant faible : on trouve par où l'intrus est entré et ce qu'il a modifié (fichiers, extensions, redirections, contenus).
Suppression des fichiers injectés, mise à jour de ce qui était vulnérable, mots de passe forts partout, double authentification sur les comptes administrateurs, limitation des tentatives de connexion, identifiant « admin » retiré.
Vous validez : les comptes conservés
Alerte immédiate à toute création de compte administrateur ou modification de fichier sensible pendant un mois, avec re-nettoyage inclus si l'intrus revient.
Vous décidez : la suite, avec ou sans maintenance
Diagnostic gratuit sous 24 h ouvrées. Le devis est établi après le diagnostic, sur un périmètre écrit : ce qui est inclus, ce qui ne l'est pas, et le délai.
Ce que ça comprend
Inclus
Non inclus
Scénario type
La gérante d'un cabinet reçoit un lundi un mail « Votre adresse e-mail d'administrateur a été modifiée ». Son mot de passe est refusé, la réinitialisation n'arrive pas. Une extension de formulaire, non mise à jour depuis huit mois, avait une faille permettant de créer un administrateur sans mot de passe.
Ce scénario est une synthèse de ce qu'on rencontre le plus souvent sur ce type d'incident : aucun site client n'est décrit ici. Quand la perte d'accès s'accompagne d'une infection étendue, le déroulé est celui de la page principale : nettoyage complet, réexamen Google, surveillance 30 jours.
Et après
Un site nettoyé sans suivi se refait pirater. Trois façons de ne pas y revenir.
Maintenance
Le nettoyage referme la porte utilisée. La maintenance empêche qu'une autre s'ouvre : mises à jour hebdomadaires, sauvegardes testées, scan quotidien.
Hébergement
Beaucoup d'infections viennent d'un mutualisé mal isolé ou d'un serveur obsolète. On migre le site nettoyé vers un hébergement sain, sans coupure.
Refonte
Thème abandonné, extensions mortes, PHP obsolète : on nettoie une fois, puis on refond sur une base propre plutôt que de nettoyer tous les six mois.
FAQ
Non. Un mot de passe oublié, un mail de réinitialisation bloqué par la messagerie, une extension de sécurité qui a bloqué votre IP ou une boucle de redirection expliquent beaucoup de cas. Le piratage devient probable dès qu'un compte inconnu apparaît, que votre adresse mail a été changée ou que wp-admin redirige ailleurs. Le diagnostic le dit en moins d'une heure.
Par la base de données et les fichiers, avec les accès de l'hébergement. WordPress stocke les comptes dans une table : on y réinitialise votre mot de passe, on rétablit votre adresse mail et on supprime les comptes intrus sans passer par l'écran de connexion. C'est pour ça que l'accès hébergeur est indispensable.
La reprise de contrôle proprement dite se fait en moins d'une heure après réception des accès. La recherche de la porte d'entrée, le nettoyage et le durcissement prennent ensuite 24 à 48 heures selon l'étendue de ce que l'intrus a fait.
Le diagnostic est gratuit et rendu sous 24 heures ouvrées. Le devis est établi ensuite sur un périmètre écrit : une simple reprise d'accès et un site entièrement infecté ne se chiffrent pas pareil, et vous le savez avant de valider.
Obligatoirement : l'espace d'administration de votre hébergeur et un accès FTP ou SSH, puisque WordPress vous est fermé. Utile mais pas obligatoire : une sauvegarde récente, WordPress ou FTP, pour comparer les fichiers et retrouver un contenu supprimé.
On les passe en revue avec vous : chaque compte inutile est supprimé, chaque compte conservé reçoit un mot de passe fort et une double authentification. Un ancien prestataire ne devrait pas garder un accès administrateur : on lui crée un accès limité si nécessaire.
Un administrateur WordPress voit tout ce que le site stocke : formulaires, commandes, comptes clients. Si le diagnostic confirme une intrusion et que des données personnelles étaient accessibles, le RGPD impose de notifier la CNIL sous 72 heures. On vous fournit les éléments techniques pour cette déclaration.
Mots de passe uniques et longs, double authentification, identifiant « admin » supprimé, limitation des tentatives, mises à jour hebdomadaires des extensions et surveillance des créations de comptes. C'est ce que couvre une maintenance mensuelle.
Problèmes voisins
Problème voisin
Des titres en japonais ou en chinois dans Google
Problème voisin
403 Forbidden sur le site ou sur wp-admin
Problème voisin
Erreur critique, écran blanc, site inaccessible
Problème voisin
Redirection malveillante depuis mobile ou Google
Page principale
Symptômes, méthode, garanties et les 13 problèmes courants.
Décrivez ce que vous voyez sur l'écran de connexion et ce que vous avez reçu par mail. On vous dit sous 1 h ouvrée s'il s'agit d'un oubli, d'une panne ou d'une intrusion.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic, re-nettoyage inclus 30 jours.
Ils nous font confiance
Le blog EVICO
70 % des sites compromis contiennent une porte dérobée. Webshell, compte fantôme, mot de passe d’application, cron de…
Avertissement « Ce site peut avoir été piraté » ou page rouge Safe Browsing : la procédure exacte de réexamen Google, les délais…
Redirections vers des sites de paris ou de faux antivirus : le redirect hack expliqué de l’intérieur. Les 6 cachettes exactes du…
La méthode de nettoyage que nous appliquons sur chaque site piraté : logs, checksums, base de données, cron, réexamen Google. 7…
Remplissez le formulaire pour télécharger immédiatement votre rapport d’audit SEO personnalisé (17 pages, PDF).
Téléchargement immédiat · Sans engagement · Données RGPD
Pour découvrir ce que le digital peut réellement apporter à votre entreprise, réservez votre audit gratuit. On analyse votre marché, vos concurrents et vos opportunités — et vous repartez avec un cahier des charges complet, sans engagement.
