Mot de passe perdu et e-mail de réinitialisation qui n’arrive jamais ? La réinitialisation directe en base de données reste la solution de dernier recours la plus fiable. Une précision que la plupart des tutoriels français n’ont pas encore intégrée : WordPress 6.8, sorti en avril 2025, a changé d’algorithme de chiffrement des mots de passe. La méthode classique fonctionne toujours, mais il en existe désormais une plus propre.
Avant de passer par la base : deux voies plus simples
Intervenir directement dans la base de données n’est jamais anodin. Vérifiez d’abord que ces deux options sont réellement épuisées.
- Le lien « Mot de passe oublié » de la page de connexion. S’il ne fonctionne pas, le problème est souvent l’envoi d’e-mails de votre hébergement, pas votre compte. Regardez dans les indésirables avant de conclure.
- WP-CLI, si votre hébergeur le propose. Une seule commande suffit :
wp user update votre-identifiant --user_pass=NouveauMotDePasse. C’est la méthode la plus propre, car WordPress gère lui-même le chiffrement.
Si aucune des deux n’est envisageable, la base de données reste ouverte. Comptez cinq minutes.
Ce qui a changé avec WordPress 6.8
WordPress ne stocke jamais votre mot de passe en clair : il en conserve une empreinte chiffrée. Jusqu’à la version 6.7, cette empreinte reposait sur l’algorithme phpass, dérivé de MD5. Depuis la version 6.8, WordPress utilise bcrypt, nettement plus robuste.
La méthode historique consistait à coller dans la base une empreinte MD5, que WordPress acceptait puis reconvertissait à la première connexion. Lors de la préparation de la version 6.8, cette compatibilité devait disparaître ; l’équipe du cœur est finalement revenue sur cette décision, précisément pour ne pas invalider la documentation existante. La méthode MD5 fonctionne donc encore.
Concrètement, vous avez deux méthodes valides. La première est plus simple, la seconde plus propre et pérenne.
Méthode 1 — Avec la fonction MD5 de phpMyAdmin
- Connectez-vous à phpMyAdmin depuis l’espace client de votre hébergeur.
- Sélectionnez la base de votre site dans la colonne de gauche. En cas de doute sur laquelle, son nom figure dans
wp-config.php, à la ligneDB_NAME. - Ouvrez la table
wp_users. Le préfixe peut différer du vôtre : cherchez la table dont le nom se termine par_users. - Repérez la ligne de votre compte grâce à la colonne
user_login, puis cliquez sur « Modifier ». - Sur la ligne
user_pass, effacez entièrement la valeur existante et saisissez votre nouveau mot de passe en clair. - Dans la colonne « Fonction », choisissez MD5 dans la liste déroulante. C’est l’étape décisive : sans elle, le mot de passe serait enregistré en clair et la connexion échouerait.
- Cliquez sur « Exécuter », puis connectez-vous avec ce nouveau mot de passe.
WordPress reconnaît l’empreinte MD5, vous authentifie, puis la reconvertit immédiatement en bcrypt. Votre mot de passe se retrouve donc chiffré selon la méthode moderne dès la première connexion réussie.
Méthode 2 — Générer directement une empreinte bcrypt
Plus propre, et indépendante d’une compatibilité que le cœur pourrait retirer un jour. Si vous pouvez exécuter un fichier PHP sur votre hébergement, créez un fichier temporaire contenant :
<?php echo password_hash( 'VotreNouveauMotDePasse', PASSWORD_BCRYPT );Appelez ce fichier dans votre navigateur, copiez la chaîne obtenue — elle commence par $2y$ — puis collez-la dans le champ user_pass de phpMyAdmin, cette fois sans sélectionner de fonction dans la liste déroulante, puisque l’empreinte est déjà chiffrée.
Supprimez ce fichier immédiatement après usage. Laissé en ligne, il constitue une porte ouverte sur votre serveur.
Si la connexion échoue encore
- Vérifiez la ligne modifiée. Sur un site à plusieurs utilisateurs, il est facile de modifier le mauvais compte. Recoupez avec la colonne
user_email. - Vérifiez la base. Si plusieurs installations WordPress cohabitent sur le même hébergement, vous avez peut-être modifié celle du mauvais site.
- Méfiez-vous des espaces invisibles. Un copier-coller depuis un document peut ajouter un caractère parasite en fin de chaîne. Ressaisissez plutôt que de coller.
- Supprimez les sessions actives. Dans la table
wp_usermeta, supprimez la lignesession_tokensassociée à votre identifiant utilisateur. Une session résiduelle peut entrer en conflit avec la nouvelle authentification.
Si le mot de passe est accepté mais que l’accès à l’administration reste refusé, le problème n’est plus le mot de passe mais votre rôle d’utilisateur : voyez notre guide sur l’impossibilité de se connecter à wp-admin.
Précautions
Exportez la table des utilisateurs avant toute modification : phpMyAdmin ne propose aucune annulation. L’export prend dix secondes et vous couvre entièrement.
Une fois l’accès retrouvé, changez à nouveau le mot de passe depuis votre profil WordPress. Cela garantit un chiffrement conforme à la version en cours, et évite que le mot de passe saisi dans phpMyAdmin subsiste dans l’historique de votre navigateur ou dans les journaux du serveur.
Profitez-en enfin pour traiter la cause : si l’e-mail de réinitialisation n’arrive pas, le problème se reposera au prochain incident. Configurer un envoi par SMTP règle durablement la question, et améliore au passage la délivrabilité de tous les messages de votre site, y compris les confirmations de commande si vous vendez en ligne.
Questions fréquentes
La méthode MD5 fonctionne-t-elle encore en 2026 ?
Oui. Le retrait de cette compatibilité avait été envisagé au moment du passage à bcrypt, puis abandonné par l’équipe du cœur, notamment parce que la fonction permettant de générer une empreinte moderne n’est pas disponible dans toutes les versions de phpMyAdmin. WordPress accepte donc toujours une empreinte MD5 et la reconvertit à la première connexion. Rien ne garantit que cette tolérance soit maintenue indéfiniment : la méthode bcrypt reste préférable quand vous le pouvez.
Mon mot de passe est-il moins sécurisé après cette manipulation ?
Temporairement, oui. Entre le moment où vous inscrivez l’empreinte MD5 et votre première connexion, le mot de passe est protégé par un algorithme daté. Cette fenêtre se referme dès la connexion, WordPress procédant automatiquement à la reconversion. Pour ne prendre aucun risque, connectez-vous immédiatement après la modification, puis changez le mot de passe depuis votre profil.
Je n’ai pas accès à phpMyAdmin, quelles alternatives ?
Certains hébergeurs proposent un autre gestionnaire de bases de données, dont le fonctionnement est équivalent. Si vous avez un accès FTP mais pas à la base, une autre voie consiste à créer temporairement un administrateur via un extrait de code placé dans le fichier functions.php du thème, à retirer immédiatement après usage. En dernier recours, le support de votre hébergeur peut intervenir.
Comment identifier la bonne table si le préfixe est inhabituel ?
Le préfixe figure dans wp-config.php, à la ligne $table_prefix. Il vaut wp_ par défaut, mais beaucoup d’installations utilisent un préfixe personnalisé pour des raisons de sécurité. La table recherchée est celle qui se termine par _users. Si plusieurs préfixes coexistent, c’est que plusieurs sites partagent la base : vérifiez bien lequel correspond au vôtre avant de modifier.
Peut-on changer aussi l’identifiant de connexion ?
Techniquement oui, en modifiant la colonne user_login dans la même table. C’est d’ailleurs le seul moyen, WordPress ne permettant pas de renommer un compte depuis son interface. Deux précautions : vérifiez que le nouvel identifiant n’est pas déjà pris, et n’en profitez pas pour modifier la colonne ID, à laquelle sont rattachés tous vos articles et commentaires.
Pourquoi l’e-mail de réinitialisation n’arrive-t-il jamais ?
Parce que WordPress envoie ses messages par la fonction de messagerie native de PHP, que beaucoup de serveurs de réception filtrent ou rejettent purement et simplement. Le message part, mais n’arrive pas. La solution durable consiste à faire transiter les e-mails du site par un service SMTP authentifié, via une extension dédiée. C’est une configuration à faire une fois, qui règle définitivement le problème.