Un compte administrateur inconnu est apparu sur mon WordPress : que faire ?
Dernière vérification : 30 octobre 2026
Un compte administrateur que vous n'avez pas créé est un indicateur de compromission explicitement cité par la documentation officielle WordPress.org (« notice behavior that was not authorized, i.e., creation of new users »). La procédure : vérifier la liste réelle des comptes, supprimer celui qui est inconnu sans perdre votre propre accès, puis couper tout accès encore actif de l'attaquant.
Vérifiez si votre version de WordPress est exposée à une faille connue, en 30 secondes.
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Comment vérifier la liste de vos administrateurs
- Dans le tableau de bord, allez dans Utilisateurs > Tous les utilisateurs et filtrez par rôle Administrateur.
- Comparez cette liste aux personnes qui doivent réellement avoir cet accès — toute entrée que vous ne reconnaissez pas est suspecte par défaut.
- Notez la date de création du compte si elle est visible : un compte créé à une date où vous n'avez rien fait sur le site est un signal fort.
Supprimer un compte inconnu sans perdre l'accès
- Changez immédiatement votre propre mot de passe avant toute autre action.
- Supprimez le compte inconnu (WordPress propose de réattribuer son contenu à un compte existant si nécessaire).
- Régénérez les clés secrètes de wp-config.php via le générateur officiel WordPress, pour déconnecter toute session encore active de l'attaquant.
- Forcez une réinitialisation des mots de passe pour tous les comptes restants.
Vérifiez votre version de WordPress
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Si vous ne pouvez plus vous connecter du tout
Il est possible que l'attaquant ait changé votre mot de passe ou votre adresse email. Si l'email associé à votre compte n'a pas été modifié, utilisez la procédure standard « mot de passe oublié ». Sinon, votre hébergeur met généralement à disposition un outil comme phpMyAdmin ou Adminer pour éditer directement la table wp_users de la base de données et reprendre le contrôle du compte (source : WordPress.org).
Avant de remettre le site en confiance
Un compte inconnu n'est presque jamais un incident isolé : vérifiez aussi l'absence de fichiers suspects et suivez la méthode complète décrite dans notre page « Site piraté : que faire en premier ? ».
Sources
Questions fréquentes
Comment un attaquant crée-t-il un compte administrateur ?
Le plus souvent via une faille du cœur WordPress, d'un plugin, ou un mot de passe faible ou deviné. La chaîne « wp2shell » du cœur WordPress, par exemple, peut permettre l'exécution de code à distance sur une installation non corrigée (voir notre article dédié ci-dessous).
Supprimer le compte inconnu suffit-il ?
Non. Un compte inconnu signale souvent un accès plus large. Suivez la méthode complète : changement de tous les mots de passe, régénération des clés secrètes, vérification des fichiers.
Dois-je activer la double authentification ?
C'est recommandé pour tous les comptes administrateur, via une extension dédiée : WordPress ne propose pas cette fonction nativement dans son cœur.
Puis-je savoir qui s'est connecté avec ce compte ?
Consultez les journaux d'accès de votre hébergeur si disponibles : ils peuvent montrer les adresses IP et horaires de connexion liés au compte inconnu.
Combien de comptes administrateur dois-je avoir ?
Le minimum nécessaire à l'activité réelle du site — chaque compte administrateur supplémentaire est une porte d'entrée potentielle de plus à surveiller.
Pour aller plus loin
Vérifiez si votre site WordPress est à jour
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Votre site est déjà touché ? Demandez un devis de réparation.