Come recuperare la password di WordPress

Per recuperare la password di WordPress apri la pagina di accesso del sito, seleziona “Password dimenticata?”, inserisci il nome utente o l’indirizzo email associato all’account e usa il collegamento ricevuto via email. È il metodo più semplice e sicuro perché non richiede modifiche al database né l’invio della password a terzi.

Risposta rapida: prova prima https://tuodominio.it/wp-login.php?action=lostpassword. Se il messaggio non arriva, controlla Spam e Posta indesiderata, verifica di usare l’email corretta e attendi alcuni minuti prima di ripetere la richiesta. Se hai ancora una sessione aperta puoi cambiare la password dal profilo; se amministri il server puoi usare WP-CLI. phpMyAdmin è un metodo di emergenza e va utilizzato soltanto dopo un backup.

Prima di recuperare la password di WordPress

Individua quale accesso non funziona. Molti tentativi falliscono perché vengono usate le credenziali di un servizio diverso. La schermata WordPress amministra utenti del CMS; cPanel gestisce l’account hosting; l’Area Clienti gestisce servizi e fatture; ogni casella email possiede una password propria.

Controlla inoltre il dominio mostrato nella barra del browser e usa HTTPS. Non inserire credenziali se l’indirizzo è inatteso, il certificato genera un avviso o il collegamento proviene da un messaggio sospetto. La documentazione ufficiale spiega che la pagina standard si trova in wp-login.php e che /wp-admin/, quando non sei autenticato, normalmente reindirizza al login.

Come recuperare la password di WordPress via email

La guida ufficiale WordPress all’accesso e al ripristino indica il recupero standard via email come prima scelta quando puoi accedere alla casella associata all’utente e il sito riesce a inviare messaggi.

1. apri https://tuodominio.it/wp-login.php sostituendo il dominio di esempio con quello corretto;
2. seleziona Password dimenticata? o la dicitura equivalente mostrata dal sito;
3. inserisci il nome utente WordPress oppure l’indirizzo email registrato nel profilo;
4. invia la richiesta una sola volta e attendi il messaggio;
5. apri il collegamento di ripristino più recente ricevuto;
6. genera una password lunga e univoca, salvala in un password manager e conferma;
7. torna alla pagina di login e verifica il nuovo accesso tramite HTTPS.

Il sito potrebbe usare un URL di login personalizzato tramite un plugin di sicurezza. In quel caso /wp-login.php può essere nascosto o reindirizzato: usa l’indirizzo configurato dal proprietario del sito. Non disattivare plugin o rinominare cartelle soltanto per ritrovare il modulo, perché potresti causare altri problemi.

Quale link di ripristino usare

Se hai effettuato più richieste, apri il messaggio più recente. Un collegamento vecchio può essere scaduto o invalidato da una richiesta successiva. Verifica che il dominio di destinazione sia quello del sito e non inoltrare il messaggio: chi può usare il link può tentare di assumere il controllo dell’account.

Cosa fare se l’email di recupero non arriva

L’assenza del messaggio non dimostra che la password sia errata. Può dipendere dalla casella associata al profilo, dal recapito email del sito, da filtri antispam o da una richiesta effettuata per un account diverso.

1. controlla Spam, Indesiderata, Promozioni e gli eventuali filtri della casella;
2. cerca messaggi che contengono il nome del sito o riferimenti al ripristino della password;
3. verifica che la casella non sia piena, sospesa o configurata per inoltrare altrove;
4. prova il nome utente WordPress, se lo conosci, invece di un indirizzo email incerto;
5. attendi alcuni minuti ed evita molte richieste ravvicinate;
6. controlla con un amministratore quale email è realmente associata al profilo;
7. se gestisci il sito, verifica i log di invio senza esporre il contenuto del link.

Non comunicare pubblicamente se una determinata email possiede un account amministratore. I moduli di recupero possono usare messaggi generici proprio per limitare l’enumerazione degli utenti. Se il sito non invia alcuna email, risolvi il problema di recapito oppure utilizza un metodo amministrativo verificato.

Il link è scaduto o non valido

Torna al modulo e genera un nuovo collegamento, quindi usa soltanto l’ultimo messaggio. Aprilo nello stesso browser o in una finestra privata se estensioni, filtri di sicurezza o cache interferiscono. Non rimuovere parametri dall’URL e non copiarlo in strumenti online.

L’email dell’account non è più accessibile

Un altro amministratore autorizzato può verificare l’identità del proprietario, aggiornare l’email del profilo e generare una nuova password dalla Bacheca. Se non esistono altri amministratori, serve l’accesso tecnico all’installazione o al database. Prima di intervenire, accerta la titolarità del sito e conserva un backup.

Cambiare la password da una sessione WordPress ancora aperta

Se sei ancora autenticato in un browser, non disconnetterti prima di avere aggiornato i dati. Vai in Utenti → Profilo, oppure apri il profilo dell’utente corretto da Utenti → Tutti gli utenti se possiedi le capacità necessarie. Nella sezione relativa alla nuova password:

1. seleziona il comando per impostare o generare una nuova password;
2. usa la proposta forte di WordPress oppure una password univoca generata dal tuo gestore;
3. aggiorna il profilo;
4. controlla che l’indirizzo email dell’account sia corretto e protetto;
5. disconnetti le altre sessioni, se l’opzione è disponibile e non le riconosci;
6. verifica il nuovo accesso in una finestra privata prima di chiudere la sessione funzionante.

Un amministratore può reimpostare la password di un altro utente, ma deve prima identificare con certezza la persona e il profilo. Non assegnare il ruolo Amministratore soltanto per risolvere un problema di accesso e non modificare utenti dal nome simile senza verificare ID, email e ruolo.

Recuperare la password con WP-CLI

Per chi amministra il server, WP-CLI è il metodo tecnico preferibile perché usa le funzioni di WordPress senza modificare direttamente le tabelle. Devi eseguire i comandi nella directory dell’installazione corretta oppure specificare il percorso con --path. In un WordPress Multisite devi anche identificare il sito e l’utente interessati.

Elenca prima gli utenti senza mostrare password:

wp user list --fields=ID,user_login,user_email,roles

Dopo avere verificato l’identità, imposta la nuova password tramite prompt interattivo:

wp user update NOMEUTENTE --prompt=user_pass

Il parametro --prompt=user_pass evita di scrivere la password direttamente nella riga di comando e riduce il rischio che resti nella cronologia della shell. La sintassi è documentata nel comando ufficiale wp user update.

WP-CLI può anche generare una password casuale:

wp user reset-password NOMEUTENTE

Per impostazione documentata, il comando invia all’utente una notifica di modifica ma non include la nuova password. L’opzione --show-password la stampa nel terminale e può esporla in log, screenshot o sessioni di assistenza: usala soltanto in un ambiente controllato. Consulta il riferimento ufficiale a wp user reset-password.

Recuperare la password con phpMyAdmin

phpMyAdmin è un metodo di emergenza per chi dispone dell’accesso al database ma non può usare il recupero email o WP-CLI. Un errore può modificare l’utente sbagliato o danneggiare dati: crea prima un backup del database e verifica installazione, prefisso delle tabelle, ID, nome utente ed email.

1. accedi a cPanel tramite un indirizzo verificato; se necessario consulta la guida Xlogic su come accedere a cPanel;
2. apri phpMyAdmin e seleziona il database usato dall’installazione WordPress corretta;
3. individua la tabella che termina con _users: il prefisso non è necessariamente wp_;
4. apri la tabella e identifica la riga tramite ID, user_login e user_email;
5. modifica esclusivamente il campo user_pass dell’utente verificato;
6. seleziona MD5 come funzione e inserisci una password temporanea forte nel valore;
7. salva, accedi subito a WordPress tramite HTTPS e cambia nuovamente la password dal profilo.

La guida WordPress spiega che l’hash MD5 temporaneo consente il primo accesso e viene poi sostituito automaticamente con un hash più forte. Questo non rende MD5 una scelta moderna per conservare password: è soltanto una procedura di compatibilità per il recupero manuale. Non usare generatori MD5 online e non incollare password reali in query condivise.

Non presumere che l’amministratore abbia ID 1. Non modificare user_login, user_email, ruoli o altre tabelle durante il reset. Se non sei sicuro del database o del prefisso, fermati e chiedi assistenza prima di salvare.

Metodi di emergenza da evitare quando esiste un’alternativa

In rete si trovano procedure che aggiungono codice a functions.php, caricano script PHP pubblici o eseguono query SQL manuali. Anche la documentazione storica descrive alcuni di questi metodi, ma richiedono particolare attenzione: una riga lasciata nel tema può continuare a reimpostare la password e uno script pubblico dimenticato sul server può diventare un accesso per terzi.

Usa nell’ordine: recupero email, sessione già autenticata, altro amministratore verificato, WP-CLI e infine phpMyAdmin. Non scaricare script di recupero da siti sconosciuti, non disattivare alla cieca plugin di sicurezza e non caricare file nella root pubblica se non sai esattamente come rimuoverli e verificarli.

La password è corretta ma WordPress non accede

Un errore di login non dipende sempre dalla password. Se il modulo accetta le credenziali ma torna alla stessa pagina, mostra un loop o segnala cookie bloccati, controlla:

• cookie e dati del sito nel browser;
• coerenza tra HTTP e HTTPS;
• valori WordPress Address e Site Address;
• cache che non deve includere wp-login.php né sessioni autenticate;
• plugin di sicurezza, CAPTCHA o limitazione dei tentativi;
• eventuali blocchi dell’indirizzo IP;
• data e ora del dispositivo quando viene usata l’autenticazione a due fattori.

Prova una finestra privata e una rete affidabile, ma non ripetere decine di accessi: potresti attivare una protezione automatica. Se il sito è ospitato da Xlogic, apri un ticket indicando dominio, URL di login, data e ora, IP pubblico, messaggio completo e controlli già eseguiti. Non allegare credenziali o link di reset.

Dopo il recupero: proteggi l’account WordPress

La guida WordPress alle password raccomanda credenziali forti e non riutilizzate. Un password manager permette di usare password lunghe senza creare varianti prevedibili. Dopo avere ripreso l’accesso:

• usa una password univoca, diversa da email, cPanel, FTP e Area Clienti;
• proteggi anche la casella email usata per il recupero;
• attiva l’autenticazione a due fattori con un plugin affidabile e conserva i codici di recupero;
• controlla utenti amministratori, email, ruoli e sessioni attive;
• revoca password applicative, token o accessi che non riconosci;
• aggiorna core, temi e plugin dopo un backup verificato;
• conserva backup recuperabili e monitora tentativi anomali.

L’autenticazione a due fattori aggiunge un secondo elemento oltre alla password. Non sostituisce aggiornamenti, backup e controllo degli account, ma riduce il rischio che una password sottratta sia sufficiente per entrare.

Se sospetti che il sito sia stato compromesso

Reimpostare una password non bonifica un sito. Un attaccante potrebbe avere creato altri amministratori, modificato file, aggiunto attività pianificate o sottratto chiavi. Se trovi utenti sconosciuti, redirect, file alterati o notifiche inattese, conserva le evidenze e segui la guida Xlogic su cosa fare se il sito è stato hackerato.

Dopo la bonifica cambia nuovamente tutte le credenziali interessate, revoca sessioni e token, sostituisci le chiavi compromesse e controlla anche l’email dell’amministratore. Non limitarti a cancellare l’elemento visibile: individua il vettore di ingresso e verifica l’integrità dell’intera installazione.

Che cosa può fare l’assistenza Xlogic

WordPress è un’applicazione amministrata dal proprietario del sito. Le password degli utenti non sono disponibili in chiaro e non possono essere “lette” dal supporto. Xlogic può aiutare a verificare il servizio hosting, l’accesso a cPanel, eventuali blocchi IP e problemi tecnici di recapito, nel perimetro del servizio acquistato.

Per ricevere assistenza in sicurezza indica:

• dominio e servizio associato;
• URL esatto del login;
• data e ora del tentativo;
• indirizzo IP pubblico;
• messaggio di errore completo;
• metodo di recupero già provato;
• se le altre email del sito vengono inviate e ricevute.

Non inviare password attuali o nuove, codici 2FA, cookie, backup non richiesti, chiavi private o collegamenti di ripristino. L’identità e la titolarità dell’account devono essere verificate prima di ogni intervento sensibile.

Checklist per recuperare la password di WordPress

• ho verificato di trovarmi sul login WordPress corretto e in HTTPS;
• non sto usando per errore la password di cPanel o dell’Area Clienti;
• ho provato una sola richiesta standard con username o email corretti;
• ho controllato Spam, filtri, inoltri e spazio della casella;
• ho usato il collegamento più recente senza condividerlo;
• se ho una sessione aperta, ho aggiornato password ed email dal profilo;
• prima di phpMyAdmin ho creato un backup e identificato l’utente corretto;
• con WP-CLI ho usato il prompt senza esporre la password nella cronologia;
• dopo il recupero ho impostato una password univoca e attivato il 2FA;
• in caso di sospetta compromissione ho avviato una verifica completa.

Domande frequenti sul recupero della password WordPress