Un compte doté du rôle Administrateur que personne de votre côté n’a créé est un signe sérieux d’intrusion. Un administrateur peut tout faire : installer des extensions, modifier le code, créer d’autres comptes. Même si le site paraît normal, partez du principe qu’un tiers y a eu accès et traitez l’ensemble du site, pas seulement ce compte.
D’où vient le problème
- Une faille dans une extension ou un thème a permis à un tiers de créer ce compte.
- Les identifiants d’un administrateur existant ont été volés ou devinés, puis utilisés pour ajouter un nouveau compte.
- L’inscription libre est ouverte dans Réglages > Général avec un rôle par défaut trop élevé.
- Plus banal : un prestataire, une agence ou un outil de support a créé ce compte sans vous prévenir.
Comment corriger le problème
Identifier le compte avant d’agir
Notez l’identifiant, l’adresse e-mail et le nom affiché du compte. Demandez aux personnes qui ont travaillé sur le site (agence, développeur, hébergeur) s’il vient d’elles. Une adresse jetable ou un nom générique du type admin2 ou wpsupport doit vous alerter.
Comparer le nombre d’administrateurs
Au-dessus de la liste des utilisateurs, WordPress indique le nombre de comptes par rôle, par exemple Administrateur (3). Si ce chiffre ne correspond pas au nombre de lignes affichées pour ce rôle, un compte est peut-être masqué : c’est un indice d’infection.
Fermer l’inscription libre
Dans Réglages > Général, regardez la ligne Inscription. Si la case « Tout le monde peut s’enregistrer » est cochée sans raison, décochez-la. Vérifiez aussi que le champ « Rôle par défaut de tout nouvel utilisateur » indique Abonné : un rôle plus élevé donne des droits à n’importe quel inscrit.
Changer les mots de passe
Modifiez votre mot de passe et ceux des autres administrateurs légitimes, puis ceux de l’hébergement, du FTP et de la base de données. Dans le profil de chaque administrateur, révoquez les mots de passe d’application que vous n’avez pas créés : ils restent valables après un changement de mot de passe. Signalez l’incident à votre hébergeur.
Supprimer le compte et fermer les sessions
Relevez l’identifiant numérique du compte, puis filtrez Articles et Pages sur cet auteur pour voir ce qu’il a publié. Au moment de la suppression, WordPress demande quoi faire de son contenu : supprimez-le s’il est malveillant, et ne l’attribuez à votre compte qu’après l’avoir relu. Un compte invisible dans l’interface se supprime avec WP-CLI, comme ci-dessous. Gardez ensuite une copie de wp-config.php et remplacez ses clés de sécurité (AUTH_KEY, SECURE_AUTH_KEY et les suivantes) par un jeu neuf généré sur api.wordpress.org/secret-key/1.1/salt/ : toutes les sessions ouvertes, y compris celles d’un intrus, sont alors fermées.
wp post list --author=ID --post_type=any --post_status=any
wp user delete ID --reassign=VOTRE_IDChercher ce que le compte a modifié
Contrôlez les extensions installées ou mises à jour, les fichiers ajoutés, les pages publiées et les réglages changés. Un intrus qui s’est donné les droits d’administrateur laisse souvent une porte dérobée : supprimer son compte sans nettoyer le reste ne règle rien. Si des données personnelles de clients ont pu être consultées, une notification à la CNIL peut être obligatoire.
Lister les administrateurs directement dans la base
Cette requête en lecture seule, à lancer dans phpMyAdmin, liste les comptes administrateurs sans passer par WordPress : un compte masqué dans l’interface y apparaît. Adaptez le préfixe wp_ (tables et clé wp_capabilities) s’il est différent chez vous ; il est indiqué dans wp-config.php par $table_prefix.
SELECT u.ID, u.user_login, u.user_email, u.user_registered FROM wp_users u JOIN wp_usermeta m ON m.user_id = u.ID WHERE m.meta_key = 'wp_capabilities' AND m.meta_value LIKE '%administrator%';Avant de supprimer le compte, sauvegardez le site et notez ses informations : elles aident à retrouver la faille et, pour une boutique, à mesurer l’impact sur les données des clients.
Un autre message d'erreur ? Collez-le dans le décodeur : il le reconnaît et vous oriente vers la bonne fiche.
Ouvrir le décodeur