Tu viens de récupérer un vieux site WordPress dont tu ne te souviens plus du mot de passe ? L'envoi d'un nouvel identifiant par e-mail n'a pas fonctionné ? C'est une situation que tout développeur WordPress a déjà rencontré : Voici la solution !

Pour retrouver l'identifiant de l'administrateur, il est possible de fouiller dans la table wp_users dans la base de données du site. Toutefois, modifier un mot de passe sans accès administrateur est un peu plus compliqué : En effet, il n'est pas évident de hasher manuellement le mot de passe à partir des clés de sécurité définies dans WordPress.

WP Backdoor User à la rescousse !

Grâce à l'outil WP Backdoor User, nous allons pouvoir récupérer un accès administrateur à notre site WordPress. Ce script PHP consiste en une boîte à outils qui va te permettre au choix :

  • De recréer un nouvel utilisateur (en choisissant son mot de passe)
  • De modifier le mot de passe et/ou le rôle d'un utilisateur existant (très utile si tu dispose déjà d'un accès avec des droits insuffisants)
  • De se connecter directement sur un compte sans connaitre le mot de passe

Accessoirement, cet outil peut aussi te servir à désactiver un plugin ou supprimer un mu-plugin en cas de blocage du site. C'est une fonctionnalité que je juge inutile, car cela est faisable via FTP directement, en renommant simplement le dossier du plugin concerné.

Interface de WP BackDoor User

Utiliser WP Backdoor User pour retrouver son mot de passe WordPress

  1. Télécharge le script PHP situé à cette adresse : WP Backdoor User
  2. Je te recommande de renommer le fichier, en rajoutant des caractères à la fin du nom de fichier, afin qu'il ne soit pas devinable par un tiers
  3. Uploade le fichier via FTP ou SSH à l'intérieur de l'installation WordPress
  4. Accède au script via le navigateur web : https://www.nomdusite.com/wp-backdoor-user-0x4r5o974.php
  5. Tu peux te servir de l'outil pour modifier le mot de passe du compte de ton choix
  6. Une fois l'opération effectuée, le fichier devrait se supprimer de lui-même. Assurez-toi tout de même que c'est bien le cas !

Bravo, tu viens de retrouver l'accès à ton site WordPress !

Attention prudence !

De par la nature même de sa mission, WP Backdoor User est un outil puissant mais qui mal employé peut corrompre la sécurité du site en question : Il va donc sans dire qu'il est à employer de manière exceptionnelle et avec prudence.

N'oublie pas de le supprimer totalement de ton serveur une fois que tu as fini de l'utiliser !