Nie mogę zalogować się do WordPressa? Jak odzyskać dostęp

Jak wejść do panelu WordPress: adres logowania

Panel WordPressa otwiera się pod adresem twojadomena.pl/wp-admin. Jeśli nie jesteś zalogowany, WordPress przeniesie Cię na formularz logowania pod twojadomena.pl/wp-login.php. Zwykle zadziałają też krótsze adresy /login i /admin. WordPress przekierowuje je do logowania, gdy podstrony mają adresy w rodzaju twojadomena.pl/kontakt i żadna nie nazywa się login ani admin. Jeśli WordPress jest zainstalowany w podfolderze, na przykład twojadomena.pl/blog, wpisz nazwę folderu przed /wp-admin. Domyślnego hasła WordPress nie ma. Login i hasło administratora ustala się przy instalacji.

Jeśli wp-admin nie działa i pod tymi adresami widzisz błąd 404 albo stronę główną, adres logowania prawdopodobnie zmieniła wtyczka bezpieczeństwa. Nowego adresu poszukaj w mailach od wykonawcy albo w menedżerze haseł. Jeśli go nie ma, wyłącz tę wtyczkę przez pliki na hostingu, tak jak przy blokadzie opisanej niżej. Logowanie zwykle wraca wtedy pod /wp-admin.

Nie mogę zalogować się do WordPressa: objaw i pierwszy krok

Zacznij od tego, co widzisz po próbie logowania:

• „Wpisano niepoprawne hasło dla użytkownika…” albo „…podano nieprawidłowe hasło”. Konto istnieje, nie zgadza się hasło. Kliknij „Nie pamiętasz hasła?”.
• „Nieznany użytkownik” albo „nieznany adres email”. WordPress nie ma konta z takim loginem albo adresem. Formularz przyjmuje jedno i drugie, więc spróbuj adresu e-mail zamiast loginu albo odwrotnie.
• Formularz się odświeża i znowu prosi o hasło. Zwykle winne są ciasteczka, pamięć przeglądarki albo adres strony w ustawieniach. Spróbuj w oknie prywatnym.
• „Pliki ciasteczek są wyłączone lub nie są wspierane…”. Przeglądarka blokuje ciasteczka. Włącz je dla swojej strony albo zaloguj się w innej przeglądarce.
• Komunikat o blokadzie po kilku próbach. Zablokowała Cię wtyczka bezpieczeństwa albo zapora. Przestań próbować i odczekaj czas podany w komunikacie.
• Mail z linkiem do nowego hasła nie przychodzi. Zajrzyj do spamu. Jeśli tam go nie ma, zwykle zawodzi wysyłka poczty ze strony. Gdy maile z Twojej domeny w ogóle często lądują w spamie, sprawdź rekordy SPF, DKIM i DMARC.
• Błąd krytyczny, biały ekran albo błąd 403 zamiast formularza. Tu hasło nic nie zmieni. Opisujemy to niżej.

Zapomniane hasło do WordPressa: jak je zresetować

Według dokumentacji WordPressa hasło najprościej zresetować linkiem pod formularzem logowania:

1. Kliknij „Nie pamiętasz hasła?” pod formularzem.
2. Wpisz nazwę użytkownika albo adres e-mail konta i kliknij „Zdobądź nowe hasło”.
3. Otwórz wiadomość od strony, kliknij link i ustaw nowe hasło przyciskiem „Zapisz hasło”.

Link działa przez dobę. Później WordPress pokaże „odnośnik resetowania hasła już wygasł” i trzeba poprosić o nowy. Każda kolejna prośba unieważnia poprzedni link, więc otwieraj ten z najnowszej wiadomości. Komunikat „brak konta o takiej nazwie lub adresie email” znaczy, że wpisany login albo adres nie pasuje do żadnego konta. Jeśli nie wiesz jaki, przejdź do części o koncie na byłego wykonawcę.

W haśle liczy się wielkość liter, o czym przypomina też poradnik WordPressa o problemach z logowaniem. Sprawdź Caps Lock i to, czy przeglądarka nie podstawia Ci starego hasła.

Mail z resetem hasła nie dochodzi

Najpierw sprawdź spam. Link do resetu WordPress wysyła tak samo jak wiadomości z formularza kontaktowego: oddaje mail serwerowi hostingu i nie wie, czy dotarł. Jeśli formularz na stronie też nie przysyła zapytań, przyczyna jest pewnie wspólna. Jak to sprawdzić i ustawić wysyłkę przez SMTP, opisaliśmy w artykule Formularz kontaktowy WordPress nie działa. Wtyczkę do SMTP ustawisz jednak dopiero w panelu, więc najpierw zmień hasło w bazie danych.

Gdy zaraz po kliknięciu „Zdobądź nowe hasło” widzisz „nie wysłano wiadomości email”, serwer w ogóle nie przyjął wiadomości. Wtedy też zostaje zmiana hasła w bazie danych.

Strona logowania się odświeża i wraca do formularza

Według dokumentacji WordPressa do zalogowania potrzebne są ciasteczka w przeglądarce. Gdy coś je blokuje albo zostały stare, formularz może wracać w kółko. Zrób po kolei:

1. Otwórz stronę logowania w oknie prywatnym przeglądarki i zaloguj się tam.
2. Jeśli w oknie prywatnym działa, wyczyść w zwykłym oknie ciasteczka i pamięć podręczną przeglądarki. Tak radzi poradnik WordPressa o problemach z logowaniem.
3. Wpisz adres strony w wersji, pod którą działa: z https albo bez, z www albo bez.

Jeśli w oknie prywatnym też wraca do logowania, a ktoś niedawno przenosił stronę albo zmieniał jej adres, na przykład na https, winny może być adres zapisany w WordPressie. W Ustawienia → Ogólne są pola „Adres WordPressa (URL)” i „Adres witryny (URL)”. Dokumentacja WordPressa podaje, że oba powinny zaczynać się od https:// i nie mieć ukośnika na końcu. Pisze też, że kłopoty zaczynają się zwykle po zmianie jednego z nich albo obu. Bez dostępu do panelu wykonawca poprawi je w pliku wp-config.php stałymi WP_HOME i WP_SITEURL albo w bazie danych, w tabeli wp_options, w wierszach siteurl i home.

Blokada po kilku nieudanych próbach logowania

Wtyczki bezpieczeństwa po kilku błędnych hasłach często blokują na jakiś czas logowanie z Twojego adresu IP. To samo potrafi zapora na hostingu. Dokumentacja WordPressa o atakach na hasła zaleca ograniczać próby logowania na serwerze albo jeszcze przed nim, bo wtyczka działa w PHP i przy dużym ataku też obciąża stronę. Odczekaj czas z komunikatu i zresetuj hasło linkiem, zamiast zgadywać dalej.

Jeśli blokada nie mija, wyłącz wtyczkę przez pliki na hostingu, zmieniając nazwę jej folderu w wp-content/plugins. Krok po kroku pokazujemy to w artykule o błędzie krytycznym WordPress, w części „Jak wyłączyć wtyczki bez dostępu do wp-admin”. Po zalogowaniu przywróć folderowi nazwę i włącz wtyczkę z powrotem, bo chroni stronę przed zgadywaniem haseł. Blokadę w zaporze hostingu zdejmie pomoc techniczna hostingu.

Zmiana hasła WordPress przez phpMyAdmin albo WP-CLI

Gdy maile nie dochodzą, a masz dostęp do panelu hostingu, hasło możesz zmienić w bazie danych. Opisuje to artykuł dokumentacji WordPressa o resetowaniu hasła. Ostrzega przy tym, że z phpMyAdmin korzystasz na własne ryzyko, a jeśli nie masz pewności, lepiej poradzić się kogoś. Zanim cokolwiek zmienisz, zrób kopię bazy, na przykład w zakładce „Eksport” w phpMyAdmin albo w panelu hostingu.

1. W panelu hostingu otwórz phpMyAdmin i wybierz bazę strony. Jej nazwę znajdziesz w pliku wp-config.php, przy DB_NAME.
2. Znajdź tabelę użytkowników i kliknij przy niej „Przeglądaj”. Domyślnie nazywa się wp_users, ale przedrostek bywa inny, więc szukaj nazwy kończącej się na _users.
3. Znajdź swój login w kolumnie user_login i kliknij „Edytuj”.
4. W wierszu user_pass usuń długi ciąg znaków i wpisz nowe hasło. W kolumnie „Funkcja” obok wybierz MD5 i zapisz przyciskiem „Wykonaj”.
5. Zaloguj się nowym hasłem. Przy tym logowaniu WordPress zapisze je od nowa w swoim, bezpieczniejszym formacie.

Nie rób tego sam, gdy phpMyAdmin widzisz pierwszy raz albo na hostingu jest kilka baz i nie wiesz, która należy do strony. Przycisk „Usuń” jest w tym samym wierszu co „Edytuj”, a skasowanego konta bez kopii bazy nie odzyskasz. Wykonawca z dostępem SSH zrobi to samo poleceniem WP-CLI wp user update, podając login, adres e-mail albo numer konta i opcję --user_pass.

Metoda przez functions.php i skrypt awaryjny: usuń je zaraz po użyciu

Dokumentacja opisuje też dwie metody przez pliki. Pierwsza to dopisanie do pliku functions.php aktywnego motywu linijki wp_set_password z nowym hasłem i numerem konta. Ten kod ustawia hasło przy każdym wczytaniu strony, dopóki go nie usuniesz, a samo hasło leży w pliku zwykłym tekstem. Druga to skrypt emergency.php wgrany do głównego katalogu strony. Działa bez logowania, wystarczy mu login administratora. Dopóki leży na serwerze, każdy, kto na niego trafi, może zmienić Twoje hasło, dlatego dokumentacja każe go skasować od razu po użyciu. Obie metody najlepiej zostawić wykonawcy.

Nie znam loginu, a konto jest na mail byłego wykonawcy

Link do nowego hasła przychodzi na adres zapisany w koncie. Jeśli to skrzynka byłego pracownika albo wykonawcy, z którym nie masz kontaktu, link trafi do niego. Ustal wtedy:

• Na jaki adres jest konto. Jeśli to skrzynka w Twojej domenie, na przykład anna@twojafirma.pl, administrator poczty w firmie może zmienić do niej hasło i odebrać link.
• Kto ma dostęp do hostingu. W bazie danych da się zmienić hasło albo adres e-mail konta bez udziału wykonawcy.
• Na kogo są hosting i domena. Jeśli konto hostingu jest na wykonawcę, najpierw odzyskaj je, a dopiero potem panel. Jak przejąć domenę od wykonawcy i jakie dostępy trzymać u siebie, piszemy w artykule Domena i hosting na firmę: jak nie stracić dostępu.

Jeśli wykonawca odpowiada, poproś go, żeby w menu Użytkownicy założył Ci osobne konto z rolą Administrator na Twój adres e-mail. Potem sam usuniesz jego konto albo zmienisz mu rolę na niższą. Nie proś o jego hasło, bo wtedy dalej logujecie się na jedno konto.

Błąd krytyczny, biały ekran albo 403 zamiast formularza logowania

Gdy zamiast formularza widzisz komunikat „W witrynie wystąpił krytyczny błąd” albo pustą stronę, zmiana hasła nic nie da. Kod strony zatrzymał się na błędzie, zwykle we wtyczce albo w motywie. Co wtedy zrobić, opisaliśmy w poradniku Błąd krytyczny WordPress: co zrobić, gdy strona nie działa.

Błąd 403, czyli odmowę dostępu do wp-login.php albo wp-admin, zwykle daje zapora hostingu, reguła w pliku .htaccess albo wtyczka bezpieczeństwa, która zablokowała Twój adres IP. Otwórz formularz na telefonie z wyłączonym Wi-Fi, bo na danych komórkowych łączysz się z innego adresu. Jeśli tam działa, blokada dotyczy Twojego adresu IP. Wtyczkę wyłączysz przez pliki, jak przy blokadzie opisanej wyżej, a zaporę i reguły serwera sprawdzi pomoc techniczna hostingu.

Po odzyskaniu dostępu: hasło, administratorzy i logowanie dwuetapowe

• W Użytkownicy → Profil kliknij „Ustaw nowe hasło” i zostaw długie hasło, które podpowie WordPress. Zapisz je w menedżerze haseł i kliknij „Zaktualizuj profil”. Inne urządzenia zalogowane na to konto zostaną wtedy wylogowane.
• W Użytkownicy → Wszyscy użytkownicy kliknij nad listą „Administrator”. Konto byłego wykonawcy albo pracownika usuń albo zmień mu rolę na niższą. Konto administratora, którego nikt nie zakładał, może oznaczać włamanie. Wtedy oddaj stronę do sprawdzenia, bo samo usunięcie konta nie wystarczy.
• Nie loguj się jako admin. Dokumentacja WordPressa o zabezpieczeniach odradza takie loginy, bo atakujący próbują ich najpierw. W panelu loginu nie zmienisz (przy polu jest dopisek „Nazwy użytkowników nie mogą być zmieniane”), więc załóż nowe konto administratora, a stare usuń i przypisz jego wpisy nowemu.
• Włącz logowanie dwuetapowe dla każdego administratora, co zaleca ta sama dokumentacja. WordPress nie ma go wbudowanego, potrzebna jest wtyczka.
• Sprawdź w Ustawienia → Ogólne pole „Administracyjny adres e-mail”. Wpisz tam skrzynkę, którą czytasz.

Kiedy oddać to komuś

Okno prywatne, link „Nie pamiętasz hasła?”, folder spam i odczekanie blokady sprawdzisz sam w kilka minut. Oddaj sprawę komuś, kto zajmuje się WordPressem, gdy:

• Mail z resetem nie dochodzi, a nie masz dostępu do hostingu.
• Logowanie wraca do formularza także w oknie prywatnym.
• Konto administratora albo hosting są zapisane na byłego wykonawcę.
• Widzisz nieznane konta administratorów albo przekierowania na obce strony.

Jak to robimy w Kodarni

Brak dostępu do panelu wp-admin to jedna z awarii, które obejmuje nasza naprawa strony WordPress. Diagnoza jest bezpłatna, a cenę podajemy na piśmie, zanim zaczniemy pracę. Gdy panel jest zamknięty, potrzebujemy dostępu do hostingu. Jeśli nie wiesz, gdzie jest hosting i domena, pomagamy to ustalić, na przykład po fakturach albo danych domeny. Przed pierwszą zmianą robimy kopię strony, a po naprawie sprawdzamy panel i dostajesz krótki opis przyczyny. Prosta naprawa kosztuje od 199 zł netto, do tego 23% VAT.

Naprawa strony WordPress: bezpłatna diagnoza, naprawa od 199 zł