Không vào được wp-admin và cách lấy lại quyền

Không vào được trang quản trị WordPress là chuyện rất hay gặp và có nhiều dạng: quên mật khẩu, bấm “Quên mật khẩu” mà không nhận được email, trang đăng nhập cứ tải lại chính nó, bị báo khoá vì đăng nhập sai nhiều lần, hoặc vào /wp-admin thì ra trang lỗi. Bài này đi qua từng trường hợp. Phần lớn chỉ cần quyền vào trang quản lý hosting là tự lấy lại được.

Trước khi làm, hãy chắc rằng bạn có quyền vào hosting (cPanel, DirectAdmin, aaPanel…) hoặc FTP. Nếu web do bên khác làm và bạn chưa từng có thông tin này, việc đầu tiên là đòi lại thông tin hosting và tên miền. Đây là tài sản của bạn.

Năm trường hợp không vào được wp-admin hay gặp và cách xử lý nhanh.

1. Quên mật khẩu mà không nhận được email

Bấm “Quên mật khẩu?” ở trang đăng nhập là cách nhanh nhất. Nếu không có email về (kể cả trong thư rác), nhiều khả năng web không gửi được mail. Đây là lỗi phổ biến, cách sửa có trong bài gửi mail từ website không vào spam. Trong lúc chờ, đặt lại mật khẩu bằng phpMyAdmin:

Vào hosting, mở phpMyAdmin, chọn cơ sở dữ liệu của web (tên có trong file wp-config.php, dòng DB_NAME).
Mở bảng wp_users (tiền tố wp_ có thể khác, xem dòng $table_prefix trong wp-config.php).
Bấm Sửa ở dòng tài khoản của bạn. Tại cột user_pass, chọn hàm MD5 và gõ mật khẩu mới.
Lưu lại và đăng nhập bằng mật khẩu mới. Lần đăng nhập đầu tiên, WordPress tự đổi mật khẩu này sang cách mã hoá an toàn hơn.

Nếu hosting có SSH và WP-CLI, có thể đổi nhanh hơn bằng lệnh wp user update tendangnhap --user_pass=matkhaumoi.

2. Trang đăng nhập cứ tải lại hoặc chuyển hướng vòng lặp

Bạn nhập đúng mật khẩu nhưng bị đưa ngược về trang đăng nhập, hoặc trình duyệt báo “chuyển hướng quá nhiều lần”. Các nguyên nhân thường gặp:

Sai địa chỉ web trong cài đặt: hai giá trị siteurl và home trong bảng wp_options không khớp với địa chỉ thật, ví dụ một bên có www, một bên không, hoặc một bên http, một bên https. Sửa hai giá trị này trong phpMyAdmin, hoặc thêm vào wp-config.php:
```
define( 'WP_HOME', 'https://tenmien.com' );
define( 'WP_SITEURL', 'https://tenmien.com' );
```
Vừa bật HTTPS hoặc Cloudflare mà cấu hình SSL bị lệch (Cloudflare để chế độ Flexible trong khi máy chủ lại chuyển hướng sang HTTPS). Chuyển Cloudflare sang chế độ Full. Xem thêm bài cài SSL và chuyển sang HTTPS.
Cookie cũ trong trình duyệt: thử cửa sổ ẩn danh.
Plugin bảo mật hoặc plugin đổi đường dẫn đăng nhập bị lỗi: đổi tên thư mục plugin đó trong wp-content/plugins để tắt.

Cài đặt → Tổng quan: hai ô Địa chỉ WordPress và Địa chỉ trang web phải giống nhau và đúng địa chỉ thật (web thử nghiệm chạy http nội bộ).

Muốn xem web đang chuyển hướng qua những bước nào, dán địa chỉ vào công cụ kiểm tra chuyển hướng. Công cụ cho thấy từng bước 301/302 và chỗ vòng lặp bắt đầu.

3. Bị khoá vì đăng nhập sai nhiều lần

Các plugin như Limit Login Attempts, Wordfence, iThemes/Solid Security sẽ khoá địa chỉ IP sau vài lần nhập sai. Bạn có thể chờ hết thời gian khoá, đổi mạng (dùng 4G thay vì wifi), hoặc tạm tắt plugin bằng cách đổi tên thư mục của nó. Vào lại được rồi thì bật plugin lên và thêm IP của bạn vào danh sách cho phép.

4. Vào /wp-admin thì ra trang trắng hoặc báo lỗi

Trang trắng hoặc “lỗi nghiêm trọng”: thường do plugin hoặc theme lỗi. Xem bài lỗi trắng trang WordPress.
Báo 404: có thể do plugin đổi đường dẫn đăng nhập. Thử các đường dẫn bạn từng đặt, hoặc tắt plugin đó.
Báo 403 Forbidden: tường lửa của hosting hoặc file .htaccess chặn. Kiểm tra .htaccess trong thư mục gốc và thư mục wp-admin xem có dòng chặn theo IP không.

5. Đăng nhập được nhưng mất quyền quản trị

Bạn vào được nhưng không thấy menu Plugin, Giao diện, hoặc báo “Bạn không có quyền”. Có thể tài khoản bị hạ quyền, hoặc web đã bị kẻ xấu chiếm và đổi quyền. Trong phpMyAdmin, bảng wp_usermeta, dòng wp_capabilities của tài khoản bạn phải có giá trị a:1:{s:13:"administrator";b:1;}. Nếu thấy tài khoản quản trị lạ trong wp_users, hãy coi như web đã bị xâm nhập và làm theo bài WordPress bị hack.

Tài khoản → Tất cả người dùng: cột Vai trò cho biết ai là Quản trị viên. Tài khoản quản trị lạ là dấu hiệu web bị xâm nhập.

6. Vào lại được rồi thì làm gì

Đổi mật khẩu mạnh, khác mọi mật khẩu khác bạn đang dùng.
Bật xác thực hai lớp cho tài khoản quản trị.
Xoá các tài khoản quản trị không còn dùng.
Sửa cho web gửi được email để lần sau tự đặt lại mật khẩu được.

Danh sách đầy đủ có trong bài 12 việc bảo mật WordPress nên làm ngay.

7. Khi nào nên nhờ người làm

Nếu bạn không có quyền vào hosting, hoặc nghi web đã bị chiếm, nên nhờ người có kinh nghiệm. Sửa sai trong cơ sở dữ liệu có thể làm hỏng web. Dịch vụ sửa lỗi website WordPress giá 390.000đ đến 890.000đ, sao lưu trước khi động vào và bảo hành 30 ngày.

Câu hỏi thường gặp

Đổi mật khẩu bằng phpMyAdmin có an toàn không?

Có, nếu chỉ sửa đúng cột user_pass của tài khoản mình với hàm MD5. WordPress sẽ tự mã hoá lại mật khẩu theo cách an toàn hơn ở lần đăng nhập đầu tiên.

Vì sao bấm Quên mật khẩu mà không nhận được email?

Phần lớn do web không gửi được mail: máy chủ hosting bị chặn gửi hoặc tên miền thiếu SPF, DKIM. Cấu hình gửi mail qua SMTP sẽ xử lý được.

Thấy tài khoản quản trị lạ thì làm gì?

Coi như web đã bị xâm nhập: xoá tài khoản lạ, đổi mọi mật khẩu, kiểm tra plugin và file lạ, rồi làm theo các bước xử lý web bị hack.

Không vào được trang quản trị wp-admin: các trường hợp và cách lấy lại quyền