Låst ude af wp-admin? Sådan får du adgang til WordPress igen

At være låst ude af sit eget WordPress er stressende — især hvis det er en kundes site, der skal være oppe. Men før du gør noget drastisk, er det værd at finde ud af hvorfor du er låst ude. Årsagen afgør løsningen, og i nogle tilfælde er en udelukkelse det første tegn på et hack.

Denne guide gennemgår de hyppigste årsager og en konkret vej tilbage for hver — fra den simple glemte adgangskode til det alvorlige scenarie, hvor en angriber har overtaget din konto.

Er du låst ude, fordi nogen har overtaget kontoen? Det haster. Få akut hjælp — svar inden for 4 timer.

Først: er det en fejl — eller et hack?

Stil dig selv tre spørgsmål, før du går videre:

• Virkede mit kodeord i går, og har jeg ikke selv ændret det? Hvis ja, og det pludselig afvises, kan en angriber have skiftet det.
• Er der kommet en ny administrator-bruger, jeg ikke kender? Et klassisk tegn på indbrud.
• Sender sitet besøgende videre til spam, eller viser Google en advarsel? Så er udelukkelsen sandsynligvis en del af et hack.

Svarer du ja til et af disse, så behandl det som et hack og spring til afsnittet Hvis du er blevet hacket længere nede — gendan ikke bare adgangen og fortsæt, som om intet var sket.

Årsag 1: Glemt adgangskode (og mailen kommer ikke)

Det normale er at klikke "Mistet din adgangskode?" — men hvis sitet ikke kan sende mail, kommer nulstillingslinket aldrig frem. Så har du to pålidelige veje uden om mailen.

Med WP-CLI (hvis du har SSH-adgang):

# List brugere og find dit bruger-ID
wp user list --fields=ID,user_login,user_email

# Sæt en ny adgangskode på din bruger
wp user update DIT_ID --user_pass='en-ny-staerk-adgangskode'

Via databasen (phpMyAdmin): find din bruger i tabellen wp_users, redigér feltet user_pass, indsæt din nye adgangskode og vælg MD5 som funktion i rullemenuen. WordPress opgraderer automatisk hashen ved næste login.

Årsag 2: Den hvide skærm (white screen of death)

Får du bare en tom, hvid side i stedet for login, er det typisk en PHP-fejl fra et plugin eller tema. Slå fejlvisning til midlertidigt ved at sætte følgende i wp-config.php:

define('WP_DEBUG', true);
define('WP_DEBUG_LOG', true);

Fejlen peger næsten altid på en synder. Den hurtigste test er at deaktivere alle plugins ved at omdøbe mappen wp-content/plugins til plugins-old via FTP. Kan du så logge ind, var det et plugin — omdøb tilbage og aktivér ét ad gangen for at finde det skyldige.

Årsag 3: For mange login-forsøg (du er blevet blokeret)

Har du et sikkerhedsplugin, der begrænser login-forsøg, kan det have blokeret din egen IP efter nogle fejlslagne forsøg. Det er faktisk plugin'et, der gør sit arbejde. Vent til blokeringen udløber, eller fjern den manuelt: deaktivér sikkerhedsplugin'et midlertidigt ved at omdøbe dets mappe under wp-content/plugins via FTP, log ind, og fjern din IP fra spærrelisten. Læs mere om, hvordan denne beskyttelse virker, i Beskyt wp-admin mod brute force.

Årsag 4: "Cookies er blokeret" eller endeløse redirects

Får du beskeden om blokerede cookies, eller bliver login-siden ved med at genindlæse, er det ofte forkerte siteurl/home-værdier eller en cache-konflikt. Tjek værdierne:

wp option get siteurl
wp option get home

Peger de på en forkert adresse (fx http i stedet for https, eller et helt fremmed domæne), så ret dem. Et fremmed domæne her er i øvrigt et stærkt tegn på et hack.

Ingen af metoderne virker, eller du tør ikke rette i databasen? Jeg får dig sikkert ind igen — uden at gøre skaden værre.

Hvis du er blevet hacket

Er du låst ude, fordi en angriber har overtaget kontoen, er det ikke nok at nulstille adgangskoden — så lukker du bare op for et hus, der stadig har indbrudstyven indenfor. Når du har genskabt adgangen, skal du:

1. Skifte alle adgangskoder — admins, FTP/SFTP, database og hosting-panel.
2. Skifte de hemmelige nøgler (salts) i wp-config.php, så alle aktive sessioner ugyldiggøres: wp config shuffle-salts.
3. Slette ukendte admin-brugere og notere, hvornår de blev oprettet.
4. Scanne for malware og bagdøre, så angriberen ikke bare kommer ind igen.

Hele forløbet er beskrevet trin for trin i WordPress hacket? Sådan rydder du op. Når sitet er sikret, så slå tofaktor-godkendelse til på alle administratorer — det stopper langt de fleste kontoovertagelser fremover.

Ofte stillede spørgsmål

Hvordan nulstiller jeg min adgangskode, når jeg ikke modtager nulstillingsmailen?

Du kan sætte en ny adgangskode direkte uden om mailen — enten med WP-CLI-kommandoen wp user update hvis du har SSH-adgang, eller ved at redigere feltet user_pass i tabellen wp_users via phpMyAdmin og vælge MD5 som hash-funktion. Begge metoder virker, selv når sitet slet ikke kan sende mail.

Hvorfor virker mit kodeord pludselig ikke længere?

Hvis du er sikker på, at du indtaster det rigtige, og du ikke selv har ændret det, kan en angriber have overtaget kontoen og skiftet adgangskoden. Tjek for ukendte admin-brugere og for redirects eller Google-advarsler. Passer det, skal du behandle det som et hack og rense sitet, ikke bare nulstille kodeordet.

Kan jeg komme ind i WordPress uden adgang til admin-siden overhovedet?

Ja. Så længe du har adgang til enten databasen (via phpMyAdmin) eller filerne (via FTP/SSH), kan du nulstille adgangskoder, deaktivere plugins og rette indstillinger uden om login-siden. De fleste udelukkelser kan løses fuldstændigt fra disse to indgange.

Hvordan undgår jeg at blive låst ude igen?

Brug en adgangskodemanager, så du aldrig taber kodeordet, og slå tofaktor-godkendelse til, så et glemt eller stjålet kodeord ikke alene låser dig ude eller ind. Sørg desuden for, at sitet kan sende mail korrekt (gerne via SMTP), så nulstillingslinks faktisk når frem, når du får brug for dem.