WordPress Şifremi Unuttum: Yönetici Parolasını Sıfırlamanın Yolları

WordPress şifremi unuttum diyerek bu sayfaya geldiyseniz büyük ihtimalle iki şeyden birini yaşıyorsunuz: ya "Parolamı unuttum" bağlantısına tıkladınız ve gelen e-postayı bir türlü alamadınız, ya da o e-postanın gideceği adres artık size ait değil — eski çalışanın kurumsal maili, kapatılmış bir hosting maili veya kurulumda rastgele yazılmış [email protected] gibi hiç var olmayan bir adres. Panele yılda üç kez giren bir işletme sahibi için bu, sitenin tamamen erişilemez hale gelmesi demektir; oysa dosyalarınız ve veritabanınız yerli yerinde durmaktadır ve WordPress yönetici şifresi sıfırlama işlemi, doğru yöntemi seçtiğiniz sürece beş dakikalık bir iştir.

Bu yazıda hangi durumda hangi yöntemi kullanmanız gerektiğini bir karar tablosuyla ayırıyoruz, ardından beş ayrı yolu tek tek uyguluyoruz: e-posta ile standart sıfırlama, WP-CLI ile tek satırlık komut, phpMyAdmin üzerinden wp_users tablosunda parola değiştirme, functions.php içine geçici kod ekleme ve hiç yönetici kullanıcısı kalmadığında SQL ile sıfırdan yönetici oluşturma. Ayrıca Türkçe kaynakların en çok yanlış anlattığı konuyu — phpMyAdmin'deki MD5 seçeneğinin ne olduğunu, user_pass alanında gördüğünüz $P$B... veya $wp$2y$... yazısının ne anlama geldiğini — açıkça anlatıyoruz. Çünkü o alana düz metin parola yazıp kaydeden bir kullanıcı çoğu zaman giriş yapamayacak, üstelik nedenini de anlayamayacaktır.

Şifre Sıfırlamaya Başlamadan Önce Durumunuzu Belirleyin#

Doğru yöntem, elinizde hangi erişimin kaldığına göre değişir; önce onu netleştirin. Aşağıdaki tabloda sol sütundaki koşullardan size uyanı bulun ve doğrudan ilgili bölüme geçin. Yanlış yöntemle uğraşmak, özellikle veritabanına gereksiz müdahale etmek, çözülebilir bir sorunu kalıcı hale getirebilir.

Başlamadan önce, hangi yolu seçerseniz seçin, veritabanının bir yedeğini alın. cPanel'de bu, Yedekle ekranından tek tıkla indirilecek bir MySQL yedeğidir; SSH'ınız varsa mysqldump ile saniyeler sürer. Detaylı anlatım için mysqldump ile veritabanı yedekleme yazısına bakabilirsiniz. Bu adımı atlayan biri, yanlış tabloya yazdığı bir UPDATE sorgusuyla kullanıcı tablosunun tamamını bozabilir.

Yöntem 1: E-posta ile Standart Sıfırlama ve Neden Çalışmadığı#

En doğru yol hâlâ WordPress'in kendi sıfırlama akışıdır; sorun genellikle akışta değil, e-postanın gönderilememesindedir. site.com/wp-login.php?action=lostpassword adresine gidip kullanıcı adınızı veya e-posta adresinizi yazdığınızda WordPress, wp_users tablosundaki user_activation_key alanına bir anahtar yazar ve size bir bağlantı gönderir. Ekranda "Parola sıfırlama bağlantısı e-posta adresinize gönderildi" yazısını görüyor ama posta almıyorsanız, sorun büyük olasılıkla sunucunun mail() fonksiyonuyla gönderdiği mesajın alıcı tarafından reddedilmesi veya spam klasörüne düşmesidir.

Denemeniz gereken üç şey var. Birincisi, spam ve "Tümü" klasörlerine bakın; Gmail kullanıyorsanız arama kutusuna in:anywhere wordpress yazın. İkincisi, sitenin gönderdiği maillerin gerçekten çıkıp çıkmadığını cPanel'deki Track Delivery (Teslimat İzleme) ekranından kontrol edin — burada "Rejected" veya "Deferred" satırı görüyorsanız sorun WordPress'te değil, e-posta altyapısındadır. Üçüncüsü, sitenin gönderici adresi [email protected] biçimindedir ve bu adres için SPF/DKIM kaydı yoksa Gmail ve Outlook mesajı sessizce siler. Bu konunun tamamı WordPress şifre sıfırlama maili gelmiyor yazısında ayrıca ele alınıyor; kalıcı çözüm ise siteyi bir SMTP hesabından mail gönderecek şekilde ayarlamaktır.

Eğer e-posta adresi artık size ait değilse bu yolu zorlamayın. Adresi değiştirmek için zaten panele girmeniz gerekiyor, panele girmek için de parolaya ihtiyacınız var — bu döngüyü kırmanın tek yolu aşağıdaki yöntemlerden biridir.

Yöntem 2: WP-CLI ile Tek Komutta Şifre Değiştirme#

SSH erişiminiz varsa bu yöntem tartışmasız en hızlı ve en güvenli olanıdır; tek komutla biter ve hash'i WordPress'in kendisi üretir. Türkçe kaynaklarda neredeyse hiç geçmemesinin nedeni, çoğu içeriğin paylaşımlı hosting kullanıcısını hedeflemesidir; oysa cPanel'de de Terminal özelliği açıksa WP-CLI çoğu sunucuda kuruludur.

Önce sitenin bulunduğu dizine geçin ve kullanıcıları listeleyin:

cd ~/public_html
wp user list --fields=ID,user_login,user_email,roles

Çıktı şuna benzer:

+----+------------+------------------------+---------------+
| ID | user_login | user_email             | roles         |
+----+------------+------------------------+---------------+
| 1  | admin      | [email protected]   | administrator |
| 4  | editor01   | [email protected]      | editor        |
+----+------------+------------------------+---------------+

Şimdi parolayı değiştirin. Kullanıcıyı ID ile ya da kullanıcı adıyla hedefleyebilirsiniz:

wp user update 1 --user_pass='YeniGucluParola.2026!'

Aynı anda e-posta adresini de kendinize çevirmek isterseniz:

wp user update 1 --user_pass='YeniGucluParola.2026!' --user_email='[email protected]'

Komut Success: Updated user 1. çıktısı verdiğinde iş bitmiştir. WP-CLI parolayı WordPress'in kendi wp_set_password() fonksiyonuyla yazar; yani hash algoritması hangi sürümde ne ise doğru olanı üretir ve kullanıcının tüm oturumları da kapanır. Bu, veritabanına elle müdahale eden yöntemlerin hiçbirinin veremediği bir garantidir.

İki küçük uyarı: parolanızda ! karakteri varsa bash geçmiş genişletmesi yüzünden sorun çıkabilir, bu yüzden komutu tek tırnak içinde yazın. Komutunuz geçmişe kaydedilmesin istiyorsanız satırın başına bir boşluk koyun. WP-CLI'nin diğer kullanımları için WP-CLI kullanımı yazısına göz atın; bu araç yalnızca şifre için değil, eklenti güncelleme ve veritabanı arama-değiştirme işlerinde de hayat kurtarır.

Yöntem 3: phpMyAdmin ile Veritabanından Şifre Değiştirme#

Veritabanı erişiminiz varsa parolayı doğrudan wp_users tablosunda değiştirebilirsiniz, ancak buradaki tek kritik nokta doğru hash biçimini yazmaktır. Adımlar şöyle:

1. cPanel'e girin ve Veritabanları bölümünden phpMyAdmin'i açın.
2. Sol taraftan sitenizin veritabanını seçin. Hangisi olduğundan emin değilseniz wp-config.php dosyasını açıp DB_NAME satırına bakın.
3. Tablo listesinde wp_users tablosunu bulun. Tablo öneki kurulumda değiştirilmiş olabilir; xyz_users gibi bir ad görebilirsiniz, önemli olan _users ile bitmesidir.
4. Tabloya tıklayın, yönetici satırını bulun ve solundaki Düzenle bağlantısına basın.
5. user_pass satırına gelin. Sol taraftaki Fonksiyon açılır kutusundan MD5'i seçin ve Değer alanına yeni parolanızı düz metin olarak yazın.
6. Alt taraftaki Git düğmesine basın.

Buradaki MD5 seçimi, Türkçe kaynakların en çok kafa karıştırdığı yerdir. MD5 seçtiğinizde phpMyAdmin, yazdığınız düz metni MD5'e çevirip alana öyle yazar — yani veritabanına parolanız açık şekilde yazılmaz. WordPress ise giriş sırasında alanda 32 karakterlik düz bir MD5 hash'i görürse bunu eski biçim olarak kabul eder, parolayı doğrular ve girişten hemen sonra kendi güncel hash biçimine çevirir. Bu geriye dönük uyumluluk, yıllardır bu yöntemin çalışmasının sebebidir.

Ancak bu bir tercih değil, bir kurtarma yoludur. MD5 tek başına parola saklamak için uygun bir algoritma değildir ve WordPress'in ileriki sürümlerinde eski biçim desteği kalkarsa bu yol sessizce çalışmayı bırakır. Bu yüzden kural nettir: MD5 ile giriş yapın, girer girmez Kullanıcılar → Profil ekranından parolayı bir kez daha normal yoldan değiştirin. İkinci değişiklik hash'i güncel biçime taşır.

Aynı işi SQL sekmesinden tek sorguyla da yapabilirsiniz:

UPDATE wp_users
SET user_pass = MD5('YeniGucluParola2026')
WHERE user_login = 'admin';

Sorguyu çalıştırmadan önce WHERE satırını iki kez okuyun. WHERE olmadan çalıştırılan bir UPDATE, sitedeki tüm kullanıcıların parolasını aynı değere çeker; müşteri hesabı olan bir e-ticaret sitesinde bu, günler sürecek bir sorun demektir.

user_pass Alanında Ne Yazıyor: $P$B, $wp$2y$ ve Düz Metin#

user_pass alanında gördüğünüz karakterler size WordPress'in hangi hash biçimini kullandığını söyler ve bu bilgi, işlemin neden çalıştığını ya da çalışmadığını anlamanın anahtarıdır.

Son satır, "phpMyAdmin'den şifremi değiştirdim ama yine giremiyorum" diyenlerin ezici çoğunluğunun sebebidir: fonksiyon kutusundan MD5 seçilmemiş, parola alana düz metin olarak yazılmıştır. WordPress bu değeri bir hash sanıp yazdığınız parolanın hash'iyle karşılaştırır, tutmaz ve "Girdiğiniz parola hatalı" der. Çözüm basittir: aynı satırı tekrar düzenleyin ve bu kez fonksiyon kutusundan MD5'i seçmeyi unutmayın.

Bir başka ayrıntı: wp_users tablosunda user_activation_key alanı doluysa ve sıfırlama denemeleriniz sonuçsuz kalıyorsa bu alanı boşaltmak ('') bazen takılı kalmış sıfırlama akışını temizler. Veritabanı tablolarının genel yapısı ve sorgu çalıştırma ekranı hakkında daha fazlası için phpMyAdmin kullanımı yazısı iyi bir başlangıçtır.

Yöntem 4: functions.php'ye Geçici Kod Ekleyerek Sıfırlama#

Ne SSH ne de veritabanı erişiminiz varsa ama FTP ile dosyalara ulaşabiliyorsanız, temanın functions.php dosyasına birkaç satır ekleyerek parolayı WordPress'in kendi fonksiyonuyla değiştirebilirsiniz. Bu yöntemin avantajı, hash'i doğru biçimde üretmesidir; dezavantajı ise kodu geride bırakırsanız ciddi bir güvenlik açığı oluşturmasıdır.

FTP ile /wp-content/themes/aktif-temaniz/functions.php dosyasını indirin ve dosyanın en altına şunu ekleyin:

add_action( 'init', function () {
    $kullanici = get_user_by( 'login', 'admin' );
    if ( $kullanici ) {
        wp_set_password( 'GeciciParola.2026!', $kullanici->ID );
    }
} );

Dosyayı yükleyin, ardından tarayıcıdan sitenizin ana sayfasını bir kez açın. Kod bu anda çalışır ve parolayı değiştirir. Şimdi çok önemli bir adım geliyor: eklediğiniz bloğu hemen silin ve dosyayı tekrar yükleyin. Kod dosyada kaldığı sürece her sayfa açılışında parola aynı değere geri döner; yani panelden yeni bir parola belirleseniz bile bir sonraki ziyarette eski değere dönmüş olursunuz. Daha kötüsü, parolayı kaynak kodunda açıkça bırakmış olursunuz.

Kodu yazarken tema klasörünü doğru seçtiğinizden emin olun. Bir alt tema (child theme) kullanıyorsanız aktif olan odur. Yanlış temanın dosyasına yazdığınız kod hiç çalışmaz ve "işe yaramadı" sanırsınız. Eğer dosyayı düzenlerken bir sözdizimi hatası yaparsanız site tamamen beyaz ekrana düşebilir. Bu yüzden dosyayı düzenlemeden önce mutlaka functions.php.yedek adıyla bir kopyasını aynı klasöre bırakın; hata durumunda tek yapmanız gereken bozuk dosyayı silip yedeği eski adına döndürmektir.

Yöntem 5: Hiç Yönetici Kalmadıysa SQL ile Yeni Yönetici Oluşturma#

Yönetici kullanıcısı silinmişse ya da rolü düşürülmüşse parola değiştirmek yetmez; sıfırdan bir yönetici hesabı yaratmanız gerekir. Bu, WordPress'te iki tabloya birden yazmayı gerektirir: kullanıcının kendisi wp_users'a, yetkileri ise wp_usermeta'ya yazılır. Tek tabloya yazan bir kullanıcı giriş yapabilir ama panelde hiçbir menü göremez.

phpMyAdmin'de SQL sekmesine geçip aşağıdaki üç sorguyu sırayla çalıştırın. Tablo önekiniz wp_ değilse üç sorguda da düzeltmeyi unutmayın:

INSERT INTO wp_users
  (user_login, user_pass, user_nicename, user_email, user_registered, user_status, display_name)
VALUES
  ('kurtarma', MD5('KurtarmaParolam.2026'), 'kurtarma', '[email protected]', NOW(), 0, 'Kurtarma');

Bu sorgu çalıştıktan sonra phpMyAdmin ekranın üstünde eklenen satırın ID'sini gösterir; diyelim ki 7 oldu. Sonraki iki sorguda bu numarayı kullanın:

INSERT INTO wp_usermeta (user_id, meta_key, meta_value)
VALUES (7, 'wp_capabilities', 'a:1:{s:13:"administrator";b:1;}');

INSERT INTO wp_usermeta (user_id, meta_key, meta_value)
VALUES (7, 'wp_user_level', '10');

wp_capabilities değerindeki uzun ifade PHP'nin serileştirilmiş dizi biçimidir ve karakteri karakterine aynı yazılmalıdır; içindeki s:13 ifadesi "administrator" kelimesinin 13 harfli olduğunu söyler, dolayısıyla kelimeyi değiştirirseniz sayı da değişmelidir. Ayrıca meta_key alanındaki wp_ öneki de tablo önekinizle aynı olmalıdır — tablonuz xyz_usermeta ise anahtarlar xyz_capabilities ve xyz_user_level olmalıdır. Bu ayrıntı atlandığında kullanıcı oluşur, giriş yapar ama yönetici olmaz.

Aynı işi WP-CLI ile yapıyorsanız tek satır yeter:

wp user create kurtarma [email protected] --role=administrator --user_pass='KurtarmaParolam.2026'

Parolayı Değiştirdim Ama Hâlâ Giriş Yapamıyorum#

Parola doğru yazıldığı halde giriş ekranından geçemiyorsanız sorun artık parolada değildir; aşağıdaki dört sebepten biriyle karşı karşıyasınızdır.

Çerez ve oturum sorunu. "Bu site çerezleri kullanıyor, çerezleri açın" uyarısı alıyorsanız veya giriş sayfası kendine geri dönüyorsa, önce tarayıcının o alan adına ait çerezlerini temizleyin ve gizli pencerede deneyin. Sorun devam ediyorsa wp-config.php içindeki AUTH_KEY, SECURE_AUTH_KEY ve LOGGED_IN_SALT gibi güvenlik anahtarlarının bozulmuş olma ihtimali vardır; bu satırları yenilemek tüm oturumları kapatır ve giriş çerezlerini sıfırdan üretir, bu normaldir.

Site adresi yanlış. Veritabanındaki siteurl ve home değerleri gerçek adresle uyuşmuyorsa giriş sonrası sürekli yönlendirme döngüsüne girersiniz. Bu durumun tam çözümü WordPress site adresi yanlış değiştirildi yazısında.

Giriş denemesi limiti. Güvenlik eklentileri belirli sayıda hatalı denemeden sonra IP adresinizi kilitler. Bu durumda ekranda parolanın yanlış olduğu değil, "çok fazla deneme yaptınız" mesajı çıkar. Eklentiyi geçici olarak devre dışı bırakmak için FTP'den /wp-content/plugins/eklenti-adi klasörünün adını eklenti-adi-kapali yapmanız yeterlidir; WordPress klasörü bulamayınca eklentiyi otomatik olarak pasife alır.

Yönetici paneline hiç ulaşılamıyor. /wp-admin adresine gittiğinizde giriş formu değil, hata veya bomboş bir sayfa görüyorsanız sorun kimlik doğrulamanın ötesindedir. Bu durumda parolayla uğraşmayı bırakın, önce tüm eklentileri klasör adını değiştirerek devre dışı bırakın ve temayı varsayılan temaya çevirin; giriş formu geri geldiğinde parola sıfırlamaya kaldığınız yerden devam edebilirsiniz.

Sıkça Sorulan Sorular#

phpMyAdmin'de MD5 seçmezsem ne olur#

Parolanız veritabanına düz metin olarak yazılır ve giriş yapamazsınız. WordPress user_pass alanındaki değeri bir hash olarak yorumlar; yazdığınız parolanın hash'ini hesaplayıp alandaki düz metinle karşılaştırır ve doğal olarak eşleşme bulamaz. Sonuç, doğru parolayı yazdığınız halde "hatalı parola" uyarısı almanızdır. Çözüm, aynı satırı yeniden düzenleyip fonksiyon kutusundan MD5 seçmektir.

MD5 güvenli mi, parolam risk altında mı kalır#

MD5 ile yazılan parola yalnızca ilk girişinize kadar öyle kalır, ardından WordPress hash'i kendi güncel biçimine yükseltir. Yine de bu yükseltmenin gerçekleşmesi için bir kez başarılı giriş yapmanız gerekir. Bu nedenle önerilen akış, MD5 ile girip hemen ardından Kullanıcılar → Profil ekranından parolayı normal yoldan bir kez daha değiştirmektir. İkinci değişiklikten sonra veritabanında MD5'ten eser kalmaz.

Kullanıcı adımı da hatırlamıyorum, ne yapmalıyım#

Kullanıcı adlarını phpMyAdmin'de wp_users tablosunun user_login sütunundan görebilirsiniz. Tabloya tıkladığınızda tüm kullanıcılar listelenir; yönetici olanı bulmak için wp_usermeta tablosunda wp_capabilities anahtarının değeri administrator içeren satıra bakın. SSH erişiminiz varsa wp user list --role=administrator komutu bu bilgiyi tek satırda verir. Kullanıcı adı bulunduktan sonra parola sıfırlama yöntemlerinden herhangi biri uygulanabilir.

functions.php'ye eklediğim kodu silmeyi unutursam ne olur#

Parolanız her sayfa açılışında kodda yazan değere geri döner ve o parola sitenizin dosyalarında açıkça durur. Yani panelden yeni bir parola belirleseniz bile bir sonraki ziyaretçi sitenize girdiğinde parola eski değerine dönmüş olur ve siz "değişiklik kaydedilmiyor" sanırsınız. Ayrıca temanızın dosyalarına erişebilen herkes parolayı okuyabilir hale gelir. Bu yüzden kodu çalıştırdıktan sonra silmek bir tercih değil, zorunlu adımdır.

wp_users yerine farklı bir tablo adı görüyorum, doğru mu#

Evet, bu tamamen normaldir. WordPress kurulumu sırasında tablo öneki değiştirilebilir ve birçok güvenlik odaklı kurulum wp_ yerine rastgele bir önek kullanır. Aradığınız tablo, adı _users ile biten tablodur; örneğin xk3_users veya site1_users olabilir. Önekten emin olmak için wp-config.php dosyasındaki $table_prefix satırına bakın. SQL sorgularında ve wp_usermeta anahtarlarında bu öneki tutarlı biçimde kullanmanız gerekir.

Şifreyi değiştirdim ama diğer cihazlardaki oturumlar açık kalır mı#

Parola WordPress'in kendi fonksiyonlarıyla değiştirildiğinde tüm oturumlar kapanır; veritabanından elle değiştirildiğinde ise kapanmayabilir. WP-CLI, functions.php yöntemi ve panel içi profil ekranı wp_set_password() çağırdığı için oturum belirteçlerini de temizler. phpMyAdmin'den doğrudan user_pass alanına yazdığınızda ise wp_usermeta içindeki session_tokens kayıtları yerinde kalır. Hesabın ele geçirildiğinden şüpheleniyorsanız o satırı da silin veya parolayı bir kez de panelden değiştirin.

Yönetici e-posta adresini nasıl değiştiririm#

Panele girdikten sonra Kullanıcılar → Profil ekranından e-posta alanını güncelleyebilirsiniz, ancak WordPress değişikliği onaylamak için yeni adrese doğrulama maili gönderir. Doğrulama mailini alamıyorsanız adresi veritabanından wp_users tablosunun user_email sütunundan doğrudan değiştirebilir ya da wp user update 1 --user_email='[email protected]' komutunu kullanabilirsiniz. Ayrıca Ayarlar → Genel ekranındaki "Yönetim E-posta Adresi" ayrı bir alandır ve site bildirimlerini o adres alır; ikisini birden güncellemeyi unutmayın.

Aynı sorunu bir daha yaşamamak için ne yapmalıyım#

Üç önlem bu sorunu pratikte ortadan kaldırır. Birincisi, yönetim e-posta adresini gerçekten okuduğunuz, kurumsal ve kalıcı bir adrese çekin; kurulumda yazılmış hayali adresleri temizleyin. İkincisi, sitenin e-postalarını sunucunun mail() fonksiyonuyla değil bir SMTP hesabı üzerinden gönderin — bu, sıfırlama maillerinin size ulaşmasını sağlar. Üçüncüsü, kendinize ait ikinci bir yönetici hesabı oluşturun ve parolasını bir parola yöneticisinde saklayın; ilk hesabın parolası kaybolduğunda ikincisi ile girip sorunu iki dakikada çözersiniz.

Kapanış#

WordPress yönetici parolasını sıfırlamanın tek bir "doğru" yolu yok; doğru yol, elinizde hangi erişimin kaldığına göre değişiyor. SSH'ınız varsa WP-CLI tek komutla ve hiçbir yan etki bırakmadan işi bitirir. Yalnızca cPanel'iniz varsa phpMyAdmin üzerinden MD5 fonksiyonuyla parolayı değiştirip, giriş yapar yapmaz panelden bir kez daha değiştirmek en temiz akıştır. Sadece FTP'niz varsa functions.php yöntemi çalışır, yeter ki kodu geride bırakmayın. Yönetici hesabı tamamen kaybolmuşsa iki tabloya birden yazmayı unutmayın; tek tabloya yazılan kullanıcı giriş yapar ama hiçbir şey yapamaz.

Bu tür acil durumlarda en çok zaman kaybettiren şey, panele girmeye çalışırken sitenin başka bir yerini bozmaktır. Veritabanına dokunmadan önce yedek almak ve değişiklikleri tek tek uygulamak, kurtarma işini beş dakikada bitirir. Bu işleri kendiniz üstlenmek istemiyorsanız WordPress hosting paketlerinde otomatik günlük yedek ve panel üzerinden geri dönüş bulunur; sitenizin bakımını, güncellemelerini ve giriş sorunlarını devretmek isterseniz WordPress bakım hizmeti bu işi üstlenir. Sunucu tarafındaki e-posta teslimi, dosya izinleri ve güvenlik gibi konuları kendiniz yönetmek istemiyorsanız sunucu yönetimi hizmeti, bu tür kurtarma senaryolarını da kapsayan bir çözümdür.