Как сбросить пароль WordPress

Быстрые ссылки

• Сброс пароля через MySQL
• Если у вас нет доступа к MySQL
• Сброс с помощью ссылки по e‑mail

Если вы потеряли доступ к своей установке WordPress, вы всегда можете сбросить пароль, вручную отредактировав таблицу, где WordPress хранит хэши паролей — при условии, что у вас есть доступ к базе данных MySQL.

Сброс пароля через MySQL

WordPress работает на PHP и использует MySQL для хранения данных о записях, конфигурации и другом, включая пароли. По умолчанию WordPress хранит пароли через библиотеку PHPass, но для обратной совместимости он примет и MD5‑хэш. MD5 легко сгенерировать, но он небезопасен для долгосрочного использования. После первого входа WordPress автоматически перехеширует пароль более надёжным алгоритмом.

Вам нужен доступ к MySQL. Если есть командная строка на сервере, выполните:

mysql -u root -p

Затем выберите базу данных WordPress (имя обычно указано в wp-config.php; иначе используйте show databases):

select database1_wp123

Если у вас нет SSH, но есть phpMyAdmin на хостинге, можно выполнить те же запросы через веб‑интерфейс.

Выполните следующий SQL, заменив ‘new_password’ на желаемый пароль и ‘admin’ на имя пользователя, чей пароль меняете:

UPDATE `wp_users` SET `user_pass` = MD5( 'new_password' ) WHERE `wp_users`.`user_login` = "admin";

Если префиксы таблиц или имя таблицы отличаются, сначала посмотрите список таблиц командой show tables.

Выйдите из MySQL сочетанием Control+D и попробуйте войти с новым паролем. При успешном входе WordPress перехеширует пароль и обновит запись.

Важно: MD5 уязвим. После восстановления доступа немедленно смените пароль в профиле на более сложный и проверьте настройки безопасности.

Если нет доступа к MySQL

Если у вас есть FTP/SFTP или доступ к файловой системе сайта, можно временно добавить строку в файл functions.php активной темы (папка wp-content/themes/имя-темы/). Скачайте файл и после добавьте:

wp_set_password( 'password', 1 );

Это установит пароль пользователя с ID 1 (обычно это первый администратор). Скрипт будет срабатывать при каждой загрузке страницы — удалите эту строку сразу после входа.

Примечание: будьте осторожны — если тема обновится, ваши изменения могут быть перезаписаны; лучше делать это через дочернюю тему или временно через плагин Must Use.

Сброс через ссылку по электронной почте

Для этого WordPress должен иметь возможность отсылать почту (например, через Postfix, Exim или сторонний SMTP). На странице входа WordPress есть ссылка для запроса сброса пароля. Нажмите её, введите e‑mail и следуйте ссылке в письме для изменения пароля.

Вы также можете запросить сброс для другого пользователя, указав его e‑mail — тогда письмо придёт им.

Альтернативные подходы

• WP‑CLI: если есть SSH и установлен WP‑CLI, проще всего выполнить: wp user update admin --user_pass=newpassword.
• phpMyAdmin: если нет SSH, но есть phpMyAdmin, тот же UPDATE можно выполнить через SQL‑интерфейс.
• Временный административный плагин: создать простой плагин, который вызовет wp_set_password() — затем удалить.

Когда методы не работают

• Нет доступа ни к базе, ни к файлам, и хостинг не поддерживает почту — свяжитесь со службой поддержки хостинга.
• Письма в спаме/не доставляются — проверьте логи почтового сервера или настройте SMTP через плагин (например, SMTP Mailer).
• Если сайт взломан и доступы скомпрометированы — планируйте полную проверку безопасности и восстановление из надёжной резервной копии.

План действий (SOP)

1. Проверить доступы: SSH, phpMyAdmin, FTP, хостинг‑панель.
2. Если есть SSH + WP‑CLI: использовать wp user update (безопаснее чем MD5). Остановиться.
3. Если есть доступ к базе: выполнить SQL‑запрос с MD5 и сразу войти, затем сменить пароль на безопасный.
4. Если есть FTP: временно добавить wp_set_password() в functions.php, войти и удалить код.
5. Если работает почта: инициировать сброс через ссылку на странице входа.
6. После восстановления: сменить пароль, проверить роли пользователей, пересмотреть логи и обновления.

Контроль безопасности и рекомендации

• Сразу смените пароль на уникальный и длинный (рекомендуется не меньше 12 символов с разными классами символов).
• Включите двухфакторную аутентификацию (2FA) для администраторов.
• Ограничьте входы по IP или добавьте капчу на страницу входа.
• Регулярно обновляйте ядро, темы и плагины.
• Сделайте резервную копию перед изменением базы.

Роль‑ориентированные чеклисты

• Администратор:
  • Есть доступ к SSH/DB/FTP? Да — применить безопасный метод; Нет — свяжитесь с хостингом.
  • Включить 2FA после восстановления.
• Разработчик:
  • Проверить логи ошибок и доступов.
  • Удалить временные изменения в коде.
  • Настроить централизованный журнал и оповещения.
• Оператор хостинга:
  • Проверить почтовые очереди.
  • При необходимости сбросить пароль по запросу клиента при подтверждении прав.

Критерии приёмки

• Учетная запись входит в систему с новым паролем.
• Пароль в базе перехеширован современным алгоритмом WordPress после первого входа.
• Временные правки файлов удалены.
• 2FA и резервные механизмы проверены и включены при необходимости.

Модель принятия решения (коротко)

Если доступ к DB есть → MySQL (или WP‑CLI). Если только файловый доступ есть → FTP + wp_set_password. Если почта работает → сброс по e‑mail. Нет доступа ни туда ни туда → обратиться к хостингу.

Краткий глоссарий

• MD5: устаревший алгоритм хеширования, не рекомендуется для паролей.
• WP‑CLI: интерфейс командной строки для управления WordPress.
• wp_set_password(): встроенная функция WordPress для установки пароля пользователя.

Риски и смягчение

• Риск: использование MD5 оставляет пароль уязвимым до перехеша. Смягчение: после входа сменить пароль и включить 2FA.
• Риск: временные изменения в темах могут быть замечены злоумышленником. Смягчение: минимизировать время и удалить изменения сразу.

Тесты и приёмка

• Попробовать вход с новым паролем в разных браузерах.
• Проверить, что в базе поле user_pass обновилось, а после входа перехешировалось.
• Убедиться, что электронные письма для сброса доходят и ссылки валидны один раз.

Резюме

• Есть несколько путей восстановления доступа: MySQL, файловый доступ, e‑mail и WP‑CLI.
• Выбирайте метод в зависимости от вашего уровня доступа и минимизируйте время, когда сайт остаётся в состоянии с пониженной безопасностью.

Важно: всегда делайте резервную копию перед изменением базы данных и удаляйте временные исправления в коде сразу после восстановления доступа.