Site WordPress bloqué : comment retrouver l’accès à votre wp-admin

Vous ne pouvez plus vous connecter sur WordPress ? Je peux quasiment sentir votre anxiété à travers l’écran. C’est compréhensible : il n’existe pas beaucoup de sensations plus désagréables que celle de ne plus pouvoir entrer chez soi.

Mais on va prendre une grande inspiration, OK ? On va traverser cette épreuve ensemble. Vous avez bien réalisé une sauvegarde de votre site ? Bon, on verra ça plus tard…

Les méthodes les plus délicates, je les ai rejouées le 8 octobre 2026 sur un WordPress 7.1.3 en français monté pour l’occasion : le mot de passe posé en MD5, le fichier de secours, les messages d’erreur. Les captures sont réelles, et le code publié ici a tourné.

Quel message voyez-vous ?

Un site WordPress bloqué se reconnaît à son message. Chacun pointe vers une cause précise, et donc vers une solution précise : inutile de toucher à la base de données quand une extension est en cause. Repérez le vôtre dans ce tableau, puis filez à la bonne section.

Ce que vous voyez	Cause la plus probable	Où aller
"Erreur : ce mot de passe ne correspond pas à l’identifiant…"	Mot de passe oublié ou changé	Votre mot de passe est refusé
Une page 404 à la place de wp-admin ou de wp-login.php	Adresse de connexion masquée par une extension	La page de connexion a disparu
Un message de verrouillage, "trop de tentatives"	Extension de sécurité	Verrouillé après trop de tentatives
"Désolé, vous n’avez pas l’autorisation d’accéder à cette page."	Droits d’administrateur perdus	Droits perdus
"Il y a eu une erreur critique sur ce site." ou une page blanche	Extension, thème ou code en panne	Erreur critique
"Indisponibilité temporaire pour cause de maintenance. Veuillez revenir dans un instant."	Mise à jour interrompue	Mode maintenance
Rien, parce que vous n’avez plus aucun accès	Prestataire disparu, comptes perdus	Plus aucun accès

Faites d’abord l’inventaire de vos accès

Avant de choisir une méthode, faites le point sur ce qui vous reste : les e-mails du site, l’espace client de votre hébergeur avec son terminal ou phpMyAdmin, un simple accès FTP… ou plus rien du tout. N’hésitez pas non plus à solliciter le support de votre hébergeur : beaucoup savent réinitialiser un mot de passe ou désactiver une extension depuis le serveur.

Une règle vaut pour toutes les colonnes : si vous comptez modifier la base de données, exportez-la d’abord. Une ligne effacée par erreur dans phpMyAdmin ne se rattrape pas d’un clic.

Que faire si votre mot de passe est refusé ?

Parfois le mot de passe ne fonctionne plus. Peut-être l’avez-vous oublié, ce qui arrive vite quand on gère plusieurs sites… Mais il se peut aussi que quelqu’un ait piraté le site et changé votre mot de passe. Dans ce cas, après avoir repris la main, lisez mon guide pour nettoyer un WordPress piraté.

Commencez par le lien "Mot de passe oublié ?" sous le formulaire. WordPress envoie un lien de réinitialisation à l’adresse du compte. Si rien n’arrive, regardez les indésirables, puis soupçonnez l’envoi des e-mails lui-même. Beaucoup de sites n’envoient rien de fiable tant qu’ils ne passent pas par un vrai serveur d’envoi, ce que j’explique dans mon tutoriel SMTP pour WordPress.

Avec un terminal : WP-CLI

Si votre hébergeur propose un terminal (de nombreuses offres cPanel en ont un), c’est la méthode la plus propre. Placez-vous dans le dossier du site, listez les administrateurs, puis changez le mot de passe du bon compte :

wp user list --role=administrator
wp user update admin --user_pass='Un-Nouveau-Mot-De-Passe-Long'

Remplacez admin par votre identifiant, ou par son numéro. WordPress chiffre lui-même le nouveau mot de passe. Si WP-CLI vous est étranger, mon guide WP-CLI vous met le pied à l’étrier.

Avec phpMyAdmin : la méthode MD5, toujours valable

Pas de terminal ? Ouvrez phpMyAdmin depuis l’espace client de votre hébergeur, puis la table wp_users. Son nom peut changer si le préfixe des tables a été modifié à l’installation, mais il se termine toujours par _users. Vous y trouvez tous les comptes du site.

Cliquez sur "Éditer" (ou "Edit") à côté de votre identifiant. Sur la ligne user_pass, choisissez MD5 dans la colonne "Fonction", effacez le contenu du champ et tapez votre nouveau mot de passe en clair. Validez avec "Exécuter". Si votre phpMyAdmin s’affiche en anglais, "Function" et "Go" désignent les mêmes boutons.

Mais le MD5 n’est-il pas dépassé depuis WordPress 6.8 ? WordPress 6.8 a remplacé l’ancien chiffrement par bcrypt. Un développeur du cœur a d’abord écrit que le MD5 ne serait plus accepté, avant que l’équipe ne revienne en arrière. Je l’ai vérifié sur WordPress 7.1.3 : un mot de passe posé en MD5 dans la base m’a laissé entrer, et WordPress l’a aussitôt rechiffré en bcrypt à la connexion. Le code du cœur prévoit toujours ce cas, dans la fonction wp_check_password().

Où est passée la page de connexion ?

Vous tapez /wp-admin ou /wp-login.php et vous tombez sur une page 404. Rien de cassé, le plus souvent : une extension a déplacé l’adresse de connexion pour la cacher aux robots, et vous avez oublié la nouvelle. Je connais bien le mécanisme, puisque je suis le cocréateur de WPS Hide Login, l’une des extensions qui font exactement ça. Je détaille ces protections dans mon article sur la page de connexion WordPress.

Avec WPS Hide Login, la nouvelle adresse est rangée dans la base, table wp_options, ligne whl_page. Sans accès à la base, renommez par FTP le dossier wp-content/plugins/wps-hide-login : l’extension se désactive et wp-login.php répond de nouveau.

Avec Login Armor, la commande wp login-armor status affiche l’adresse sans rien modifier, et la ligne login_armor_hide_slug de wp_options la contient aussi. En dernier recours, ajoutez cette ligne au fichier wp-config.php :

define( 'LOGIN_ARMOR_SAFE_MODE', true );

La page de connexion classique revient. Retirez la ligne dès que vous êtes entré.

Verrouillé après trop de tentatives

Limiter le nombre d’essais de connexion est l’un des meilleurs moyens de contrer les attaques par force brute, ces robots qui testent des milliers de couples identifiant et mot de passe. Le revers de la médaille : vous pouvez vous enfermer dehors vous-même.

C’est précisément ce qui m’est arrivé. J’avais oublié d’autoriser ma nouvelle adresse IP dans l’extension de sécurité que j’utilisais, iThemes Security à l’époque (elle s’appelle aujourd’hui Kadence Security). Elle enregistre tous les verrouillages dans la table wp_itsec_lockouts de la base : je n’ai eu qu’à retirer celui qui visait mon identifiant. Une fois de retour dans l’administration, j’ai déclaré mon adresse IP pour que ça ne se reproduise pas.

Si votre extension est en cause, le plus simple est souvent d’attendre la fin du verrouillage, qui dure de quelques minutes à quelques heures selon le réglage. Si vous êtes pressé, tapez son nom suivi de "locked out" dans un moteur de recherche : la plupart documentent leur porte de sortie. Et si rien ne marche, renommez son dossier par FTP pour désactiver l’extension sans accès à l’administration.

Même logique pour la double authentification : téléphone perdu, application réinstallée… Les codes de secours générés à l’activation servent à ça. Sans eux, un autre administrateur peut réinitialiser votre second facteur, par exemple avec wp login-armor 2fa reset suivi de votre identifiant sous Login Armor.

Droits perdus : "Désolé, vous n’avez pas l’autorisation d’accéder à cette page"

Ce message signifie que WordPress vous reconnaît, mais que votre compte n’a plus le droit d’ouvrir la page demandée. Vous vous connectez, mais Extensions, Apparence ou Réglages vous sont refusés. Trois causes reviennent : un rôle rétrogradé par erreur, un piratage qui a retiré vos droits, ou un préfixe de tables changé dans wp-config.php sans renommer les clés de rôles dans la base.

Avec WP-CLI, une ligne suffit pour rendre son rôle à un compte, ou pour en créer un nouveau :

wp user set-role admin administrator
wp user create secours vous@exemple.fr --role=administrator

Créer un administrateur dans phpMyAdmin

Sans terminal, ouvrez la table wp_users et cliquez sur "Insérer". Voici les champs à remplir :

• ID : un numéro qui n’est pas déjà pris. Notez-le, il resservira.
• user_login : votre identifiant, n’importe lequel sauf "admin".
• user_pass : un mot de passe long, avec la fonction MD5, comme plus haut.
• user_nicename : l’identifiant en minuscules, sans espace ni accent (il apparaît dans l’adresse de vos pages d’auteur).
• user_email : votre adresse e-mail.
• user_status : 0.
• display_name : le nom affiché sur le site.

Passez ensuite à la table wp_usermeta et insérez deux lignes, avec le numéro choisi dans user_id. La première porte la clé wp_capabilities et cette valeur :

a:1:{s:13:"administrator";b:1;}

La seconde porte la clé wp_user_level et la valeur 10. Si vos tables commencent par un autre préfixe, abc_ par exemple, les clés deviennent abc_capabilities et abc_user_level. Laissez umeta_id vide : la base le remplit seule.

Seulement le FTP ? Un fichier de secours

Quand il ne reste que les fichiers, c’est la méthode la plus sûre. Créez un fichier acces-secours.php avec le contenu ci-dessous, déposez-le dans wp-content/mu-plugins (créez ce dossier s’il n’existe pas), puis ouvrez n’importe quelle page du site. WordPress charge tout seul les fichiers de ce dossier : le compte "secours" est créé avec le rôle administrateur.

<?php
// wp-content/mu-plugins/acces-secours.php
// Crée un administrateur de secours. SUPPRIMEZ CE FICHIER juste après.
add_action( 'init', function () {
    if ( username_exists( 'secours' ) ) {
        return;
    }
    $id = wp_create_user( 'secours', 'Un-Mot-De-Passe-Long-2026', 'vous@exemple.fr' );
    if ( ! is_wp_error( $id ) ) {
        ( new WP_User( $id ) )->set_role( 'administrator' );
    }
} );

Une fois dans l’administration, ouvrez Comptes et vérifiez qui a quel rôle. Si un compte inconnu porte le rôle administrateur, vous êtes face à un piratage. Pour comprendre ce que chaque rôle autorise, je vous invite à lire mon guide des rôles et des droits WordPress.

"Il y a eu une erreur critique sur ce site" ou page blanche

Ce message, ou une page toute blanche sur les vieilles versions, signale une erreur PHP fatale : une extension, le thème, ou un bout de code ajouté à la main. Depuis WordPress 5.2, le site se protège : il envoie à l’adresse e-mail d’administration (Réglages, puis Général) un lien qui ouvre le site en mode de récupération, l’élément fautif mis de côté. Regardez donc vos e-mails avant de toucher à quoi que ce soit.

Sans e-mail, passez par FTP et renommez le dossier wp-content/plugins en plugins-off. Toutes les extensions sont désactivées d’un coup. Si le site revient, redonnez au dossier son nom, puis réactivez les extensions une à une depuis l’administration jusqu’à trouver la coupable. Si le site reste bloqué, faites la même chose avec le dossier de votre thème, après en avoir gardé une copie : WordPress basculera sur un thème par défaut de la série Twenty, à condition qu’il en reste un d’installé.

Pour lire l’erreur exacte plutôt que deviner, activez le journal de débogage : le message donne le fichier et la ligne fautive. Tout est dans mon tutoriel pour déboguer WordPress. Et si l’erreur parle de mémoire, de délai d’exécution ou de base de données, mon guide des erreurs WordPress les plus courantes prend le relais.

Une erreur de syntaxe PHP dans un fichier modifié

Le blocage a suivi une modification de code ? Un point-virgule oublié suffit à mettre un site à terre. Toutefois, vous savez où chercher : le plus souvent dans le fichier functions.php du thème. Connectez-vous en FTP, ouvrez le fichier avec un éditeur de code (VS Code ou Notepad++, par exemple), retirez la ligne ajoutée ou remettez-la dans son état d’origine, puis renvoyez le fichier sur le serveur.

Comment sortir du mode maintenance ?

Pendant chaque mise à jour lancée depuis l’administration, WordPress crée un fichier .maintenance à la racine du site, le dossier qui contient wp-config.php, et affiche "Indisponibilité temporaire pour cause de maintenance. Veuillez revenir dans un instant." En temps normal, le fichier disparaît en quelques secondes. Un onglet fermé en pleine mise à jour, ou trop d’extensions mises à jour d’un coup, et il reste.

Bonne nouvelle : WordPress ignore de lui-même un fichier .maintenance vieux de plus de dix minutes. Si le message persiste au-delà, connectez-vous en FTP et supprimez .maintenance. Attention, son nom commence par un point : c’est un fichier caché, que votre logiciel FTP n’affiche qu’une fois l’option activée. Vérifiez ensuite que la mise à jour interrompue s’est bien terminée, en la relançant au besoin.

Que faire quand vous n’avez plus aucun accès ?

Le cas le plus pénible, et pas le plus rare : le site a été construit par un prestataire qui ne répond plus. Vous n’avez ni l’espace client de l’hébergeur, ni les identifiants FTP, ni même la main sur le nom de domaine. Aucune astuce technique ne vous fera entrer… Il faut d’abord récupérer la propriété.

Commencez par le nom de domaine, parce que tout en dépend. Cherchez qui en est titulaire et chez quel registraire il est déposé, puis contactez l’hébergeur et le registraire avec vos preuves : factures, contrat avec le prestataire, documents de votre société. Une fois l’hébergement récupéré, toutes les méthodes plus haut redeviennent possibles. J’ai décrit un cas voisin, celui d’un site dont le gestionnaire est décédé, dans mon article sur la reprise d’un site après un décès.

Ne plus jamais rester à la porte

La plupart de ces blocages se préviennent à froid, en dix minutes :

• Un second compte administrateur, avec une autre adresse e-mail, rangé dans votre gestionnaire de mots de passe.
• Les codes de secours de la double authentification, imprimés ou stockés hors du site.
• Une adresse e-mail d’administration à jour dans Réglages, puis Général : c’est elle qui reçoit le lien de récupération.
• Les accès à l’hébergeur, au FTP et au registraire du domaine, à votre nom.
• Une sauvegarde régulière, testée au moins une fois.

Avec un accès hébergeur et une sauvegarde récente, un site WordPress bloqué devient une affaire de minutes. Sans eux, il peut coûter des jours.

Questions fréquentes quand on est bloqué sur WordPress

Comment entrer dans WordPress si j’ai oublié mon mot de passe et que l’e-mail n’arrive pas ?

Changez le mot de passe sans passer par l’e-mail. Avec un terminal chez votre hébergeur : wp user update suivi de votre identifiant et de --user_pass. Sinon, dans phpMyAdmin, table wp_users, ligne user_pass, fonction MD5 et nouveau mot de passe en clair.

La méthode MD5 dans phpMyAdmin marche-t-elle encore depuis WordPress 6.8 ?

Oui. WordPress 6.8 chiffre les mots de passe en bcrypt, mais accepte toujours un mot de passe posé en MD5 et le rechiffre en bcrypt à la première connexion. Je l’ai vérifié sur WordPress 7.1.3 le 8 octobre 2026.

Comment retrouver l’adresse de connexion masquée par WPS Hide Login ?

Elle est enregistrée dans la base, table wp_options, à la ligne whl_page. Sans accès à la base, renommez le dossier wps-hide-login dans wp-content/plugins : wp-login.php fonctionne de nouveau.

Que veut dire "Désolé, vous n’avez pas l’autorisation d’accéder à cette page" ?

WordPress vous reconnaît, mais votre compte n’a pas les droits nécessaires pour la page demandée. Si vous êtes censé être administrateur, votre rôle a été modifié ou les clés de rôles ne correspondent plus au préfixe des tables. Récupérez votre rôle avec WP-CLI, ou créez un nouvel administrateur.

Combien de temps dure le mode maintenance de WordPress ?

Quelques secondes en temps normal. WordPress ignore de lui-même un fichier .maintenance vieux de plus de dix minutes. Si le message persiste, supprimez ce fichier à la racine du site par FTP.

Sources

Lues le 8 octobre 2026 ; passages anglais résumés en français par mes soins. Les captures et les tests viennent d’un WordPress 7.1.3 en français, monté le même jour avec WordPress Playground : connexion par un mot de passe posé en MD5, création d’un administrateur par fichier, mode maintenance.

• WordPress : passage à bcrypt dans WordPress 6.8, mode de récupération des erreurs fatales (WordPress 5.2), wp user update, wp user set-role, wp user create.
• Code de WordPress : wp_check_password() et les empreintes MD5, wp_is_maintenance_mode() et le délai de dix minutes.
• Extensions : FAQ de WPS Hide Login (adresse oubliée), FAQ de Login Armor (récupérer l’accès), Kadence Security, ex-iThemes Security.