Nie mogę zalogować się do WordPressa — co zrobić

Wpisujesz login i hasło. Strona przez chwilę się ładuje i… znowu widzisz formularz logowania. Bez komunikatu o złym haśle. Bez żadnej informacji. Po prostu wracasz na start.

Albo wchodzisz do panelu, klikasz cokolwiek i lecisz z powrotem na ekran logowania.

To nie to samo co zapomniane hasło i nie naprawisz tego kliknięciem „Nie pamiętasz hasła”. Powód jest inny i zwykle prostszy, niż się wydaje.

Najpierw ustal, z którym problemem masz do czynienia

Trzy różne objawy, trzy różne przyczyny. Warto je rozdzielić, zanim zaczniesz cokolwiek robić.

Formularz wraca bez komunikatu — problem z ciasteczkami albo z adresem strony w ustawieniach.

„Nieprawidłowa nazwa użytkownika” albo „Hasło, które podałeś… jest nieprawidłowe” — dane logowania faktycznie się nie zgadzają, albo ktoś je zmienił.

Wchodzisz i po chwili wypada — sesja się nie utrzymuje. Zwykle wtyczka bezpieczeństwa, cache albo niezgodność adresów http/https.

Zacznij od rzeczy, która działa w połowie przypadków

Wyczyść ciasteczka dla swojej domeny i spróbuj w oknie prywatnym.

WordPress przy logowaniu zapisuje ciasteczko sesji. Jeśli poprzednie jest uszkodzone albo wystawione dla innego adresu (na przykład www versus bez www), przeglądarka wysyła je z powrotem, WordPress go nie rozpoznaje i odsyła Cię do formularza. Bez komunikatu, bo z jego perspektywy nic złego się nie stało.

Tryb prywatny to najszybszy test: jeśli w nim logowanie działa, wiesz, że winne były ciasteczka, a nie strona.

Sprawdź adres strony w ustawieniach

To druga najczęstsza przyczyna pętli. Jeśli w bazie danych adres strony jest zapisany inaczej niż ten, którego faktycznie używasz, ciasteczko sesji nigdy nie będzie pasować.

Klasyczne rozbieżności: http zamiast https po instalacji certyfikatu, obecność albo brak www, adres z poprzedniej domeny po migracji.

Nie zalogujesz się, żeby to poprawić w panelu, więc zrób to w wp-config.php. Dopisz nad linią z require_once:

define( 'WP_HOME', 'https://twojadomena.pl' );
define( 'WP_SITEURL', 'https://twojadomena.pl' );

Wpisz dokładnie taki adres, jakiego używasz w przeglądarce — z https, z www albo bez, bez ukośnika na końcu.

Te dwie linie nadpisują to, co jest w bazie. Po zalogowaniu i uporządkowaniu ustawień możesz je usunąć, ale możesz też zostawić — na stronie produkcyjnej to nawet bezpieczniejsze, bo nikt nie zmieni adresu przez panel.

Wyłącz wtyczki bez dostępu do panelu

Wtyczki bezpieczeństwa to częsty sprawca. Wystarczy, że wykryły serię nieudanych prób logowania i zablokowały Twój adres IP. Albo że masz włączone dwa uwierzytelnianie, a aplikacja z kodami przestała się zgadzać.

Przez FTP lub menedżer plików w panelu hostingu wejdź do wp-content/plugins i zmień nazwę katalogu podejrzanej wtyczki — dodaj na końcu -off. WordPress ją dezaktywuje.

Nie wiesz której? Zmień nazwę całego katalogu plugins na plugins-off, żeby wyłączyć wszystkie naraz. Po udanym logowaniu przywróć nazwę — wtyczki będą nieaktywne i włączysz je pojedynczo.

Sprawdź też, czy przypadkiem nie blokuje Cię wtyczka cache. Zbuforowana strona logowania to klasyczna pułapka: przeglądarka dostaje zapisaną wcześniej wersję formularza z nieaktualnym tokenem bezpieczeństwa.

Zmień hasło bezpośrednio w bazie danych

Jeśli hasło faktycznie nie działa, a mail resetujący nie przychodzi (bo serwer nie wysyła poczty), ustaw je w phpMyAdmin.

Wejdź w tabelę wp_users — prefiks może być inny, sprawdź go w wp-config.php. Znajdź swojego użytkownika i edytuj pole user_pass. W kolumnie funkcji wybierz MD5, a w wartości wpisz nowe hasło otwartym tekstem. Zapisz.

WordPress rozpoznaje starsze skróty MD5 i przy pierwszym logowaniu przepisze hasło na nowszy, bezpieczniejszy format. To działa, ale traktuj to jako drogę awaryjną — od razu po zalogowaniu zmień hasło jeszcze raz w panelu.

Jeśli masz dostęp do konsoli i WP-CLI, jest szybciej:

wp user update twoj-login --user_pass="NoweHaslo123"

Utwórz nowego administratora, gdy nic nie działa

Bywa, że Twoje konto zostało usunięte albo zmieniono mu rolę. Wtedy trzeba dodać nowe.

Najprostsza droga to WP-CLI:

wp user create serwis [email protected] --role=administrator

Bez konsoli zostaje phpMyAdmin i ręczne dopisanie wpisu do wp_users oraz wp_usermeta. To operacja, przy której łatwo się pomylić, więc zrób najpierw kopię bazy.

Zwróć uwagę na jedną rzecz

Jeśli nie zmieniałeś hasła, a przestało działać — potraktuj to poważnie. To jeden z sygnałów, że ktoś przejął stronę: atakujący zmienia hasło administratora, żeby zablokować właścicielowi dostęp.

Sprawdź wtedy listę użytkowników. Konto, którego nie rozpoznajesz, z rolą administratora i świeżą datą rejestracji, praktycznie potwierdza włamanie. Opisaliśmy, jak wygląda przejęta strona i co robić dalej — bo samo odzyskanie dostępu nie usuwa problemu.

Podobnie, jeśli po zalogowaniu panel wygląda inaczej niż pamiętasz albo w treściach pojawiły się obce linki.

Ile to zajmuje

Ciasteczka i tryb prywatny — minuta. Adresy w wp-config.php — pięć minut. Wyłączanie wtyczek metodą pojedynczą — do pół godziny. Reset hasła w bazie — kilka minut, jeśli masz dostęp do phpMyAdmin.

Warto zlecić, gdy nie masz dostępu do FTP ani do panelu hostingu (a bez nich naprawa jest praktycznie niemożliwa), gdy podejrzewasz włamanie albo gdy to sklep i nie chcesz eksperymentować na bazie z zamówieniami.

Przy okazji: jeżeli oprócz problemu z logowaniem strona publiczna też się nie ładuje, sprawdź najpierw błąd 500. Wtedy logowanie jest skutkiem, nie przyczyną.

---

Zablokowany na własnej stronie? Odzyskamy Ci dostęp — diagnoza bezpłatna, odpowiedź w ciągu dwóch godzin, rozliczenie godzinowe od 120 zł netto po wykonaniu. Przy podejrzeniu włamania sprawdzamy też, czy nie zostały ślady.