-

Nie pamiętasz hasła admina Drupal? Bezpieczne opcje dla Drupal 10 i 11

Drupal
Droptica Team
Droptica Team
04.12.2024

Utrata hasła admina Drupal blokuje zarządzanie użytkownikami, aktualizacje treści, instalację modułów i wdrażanie poprawek bezpieczeństwa. Ten przewodnik opisuje bezpieczne ścieżki odzyskiwania dostępu w Drupal 10 i Drupal 11, na legacy Drupal 7 oraz metody Drush i bazy danych, gdy reset e-mailowy nie działa. Każde odzyskiwanie hasła traktuj jako zadanie bezpieczeństwa, a nie tylko techniczny skrót.

Jeśli utrzymujesz stronę produkcyjną, po odzyskaniu dostępu zacznij od artykułu jak zrobić audyt bezpieczeństwa Drupala. W szerszym kontekście hardeningu zobacz też moduły Drupala poprawiające bezpieczeństwo strony oraz jak poprawnie zadbać o aktualizacje Drupala.

W tym artykule:

Co zrobić, zanim zresetujesz hasło admina Drupal?

Odzyskiwanie hasła admina dotyczy bezpieczeństwa witryny, nie tylko wygody. Zanim zmienisz dane logowania, potwierdź, kto prosi o dostęp, czy konto powinno nadal być aktywne i czy inny użytkownik może wygenerować jednorazowy link logowania z poziomu interfejsu.

W Drupal 10 i Drupal 11 preferowaną ścieżką jest zwykle Drush lub kontrolowany jednorazowy link logowania, a nie ręczna edycja bazy danych. Bezpośrednie zmiany w bazie powinny być ostatecznością w środowisku, w którym masz backup, a po resecie zmień hasło w panelu admina i zapisz działanie w changelogu, jeśli stroną opiekuje się zespół wsparcia.

Szybka checklista przed startem:

  • Potwierdź tożsamość: zweryfikuj prośbę z właścicielem projektu lub kontaktem po stronie klienta.
  • Najpierw reset w UI: użyj formularza resetu hasła, gdy wysyłka e-maili działa poprawnie.
  • Preferuj Drush na D10/D11: szybciej i z czytelniejszym śladem zmian niż surowe SQL.
  • Nie udostępniaj linków logowania: jednorazowe URL-e nie powinny trafiać na kanały publiczne ani tickety widoczne dla osób trzecich.
  • Sprawdź uprawnienia po logowaniu: przejrzyj role i ostatnie zmiany kont użytkowników.

Dlaczego utrata hasła admina Drupal jest ryzykowna?

Bez dostępu admina nie zarządzasz użytkownikami, nie edytujesz treści, nie instalujesz modułów ani nie wdrażasz aktualizacji bezpieczeństwa. Ta luka powoduje przestoje dla redakcji i zostawia znane luki niezałatane, dopóki ktoś nie przywróci dostępu.

Metody poniżej działają na legacy Drupal 7 oraz na wspieranych instalacjach od Drupal 8 do Drupal 11. Wybierz najlżejszą opcję dostępną na Twoim hostingu: reset e-mail, Drush, a dopiero na końcu baza danych, jeśli nic innego nie jest możliwe.

Jak zresetować hasło admina w Drupal 7?

Drupal 7 osiągnął koniec wsparcia, ale wiele archiwów i intranetów nadal na nim działa. Jeśli utrzymujesz stronę Drupal 7 po end of life, planuj migrację równolegle z odzyskiwaniem dostępu. Poniższe kroki nadal obowiązują w sytuacji awaryjnej.

Jak działa jednorazowy link logowania w Drupal 7?

Drupal 7 potrafi wygenerować jednorazowy link logowania (flow „Poproś o nowe hasło”):

  1. Wejdź na stronę logowania (/user/login).
  2. Kliknij „Poproś o nowe hasło”.
  3. Wpisz nazwę użytkownika lub adres e-mail.
  4. Sprawdź skrzynkę pocztową pod kątem linku logowania.
  5. Wejdź w link, zaloguj się i ustaw nowe hasło.

To najbezpieczniejsza metoda, gdy skrzynka admina jest dostępna. Całkowicie omija edycję bazy danych.

Jak zresetować hasło Drupal 7 przez bazę danych?

Gdy nie masz dostępu do e-maila admina, możesz zaktualizować hash hasła w bazie. To wyłącznie ścieżka awaryjna.

  1. Połącz się z bazą Drupal przez phpMyAdmin, Adminer lub CLI.
  2. Otwórz tabelę users.
  3. Znajdź rekord administratora (często uid 1).
  4. Wygeneruj hash MD5 dla nowego hasła.
  5. Zaktualizuj pole pass nowym hashem.

Przykładowe polecenie SQL:

UPDATE users SET pass = MD5('newpassword') WHERE uid = 1;

Zamień newpassword na docelowe hasło, zaloguj się i zmień je ponownie w interfejsie. Hashe MD5 w Drupal 7 są słabe według współczesnych standardów - to kolejny argument za migracją z D7.

Jak odzyskać hasło Drupal 7 przez Drush?

Drush to narzędzie wiersza poleceń do zarządzania Drupal. W Drupal 7 użyj:

  1. Otwórz terminal na serwerze.
  2. Przejdź do katalogu głównego Drupala.
  3. Uruchom:
drush upwd admin --password="newpassword"

Zamień admin na właściwą nazwę użytkownika. Aby ustalić login lub pominąć wpisywanie hasła, wygeneruj jednorazowy link:

drush uli

Wklej URL w prywatnym oknie przeglądarki, zaloguj się jednorazowo i ustaw nowe hasło. Zobacz też: własna komenda Drush w Drupal 8 dla dalszych workflow CLI.

Jak odzyskać hasło admina w Drupal 10 i 11?

Drupal 8 i nowsze wersje przechowują użytkowników w users_field_data i stosują mocniejsze hashowanie haseł. Te same wzorce odzyskiwania działają w Drupal 9, Drupal 10 i Drupal 11; poniższe polecenia sprawdzono na aktualnych wersjach Drush dla wspieranych release'ów.

Jak działa jednorazowy link logowania w Drupal 10 i 11?

Flow w interfejsie odpowiada Drupal 7:

  1. Wejdź na /user/login.
  2. Wybierz „Poproś o nowe hasło”.
  3. Wpisz nazwę użytkownika lub e-mail.
  4. Otwórz jednorazowy link z wiadomości.
  5. Ustaw nowe hasło po wejściu w link.

Sprawdź folder spam i logi serwera pocztowego, jeśli wiadomość nie dochodzi. Zła konfiguracja SMTP to częsty powód eskalacji do Drush lub odzyskiwania przez bazę.

Jak zresetować hasło Drupal przez bazę danych?

Ręczny reset w bazie w Drupal 10 lub 11 wymaga poprawnego hasha, nie tekstu jawnego. Używaj tej metody tylko wtedy, gdy Drush i reset e-mailowy są niedostępne.

  1. Połącz się z bazą witryny.
  2. Otwórz tabelę users_field_data.
  3. Znajdź użytkownika admin (uid 1).
  4. Wygeneruj hash na serwerze:
php core/scripts/password-hash.sh 'newPassword'
  1. Zaktualizuj pole pass wygenerowanym hashem.
  2. Wyczyść wpis cache dla uid 1.

Przykład SQL (zamień hash na wygenerowaną wartość):

UPDATE users_field_data SET pass='$S$...generated_hash...' WHERE uid = 1;
DELETE FROM cache_entity WHERE cid = 'values:user:1';

Zaloguj się, zmień hasło ponownie w UI i przejrzyj ostatnie zmiany kont. To samo możesz zrobić przez phpMyAdmin, jeśli nie masz dostępu CLI.

Jak zresetować hasło Drupal przez Drush?

W Drupal 10 i 11 Drush to zwykle najszybsza wspierana opcja odzyskiwania:

  1. Otwórz terminal na serwerze.
  2. Przejdź do katalogu głównego Drupala.
  3. Uruchom jedno z poleceń (składnia zależy od wersji Drush):
drush user:password admin "newpassword"

Starsze wersje Drush akceptują też:

drush user-password admin --password="newpassword"
  1. Zaloguj się nowym hasłem i zmień je ponownie w panelu.

Aby wygenerować jednorazowy link logowania:

drush uli

Własne automatyzacje Drush opisujemy w artykule jak stworzyć własną komendę Drush 9 w Drupalu 8.

Jakie dodatkowe materiały pomagają zabezpieczyć hasła w Drupalu?

Odzyskanie hasła to tylko część bezpieczeństwa witryny. Po powrocie do panelu przejrzyj moduły, aktualizacje i utwardzenie logowania.

Zobacz też: audyt bezpieczeństwa Drupala oraz wydajny development na Drupalu, aby przetestować kroki odzyskiwania na lokalnej kopii przed dotknięciem produkcji.

Potrzebujesz pomocy przy odzyskaniu lub zabezpieczeniu dostępu do Drupala?

Pomagamy zespołom odzyskać dostęp admina, utwardzić logowanie i utrzymywać strony Drupal 10 i 11 na aktualnym hostingu produkcyjnym. Obejmuje to awaryjne odzyskiwanie dostępu, przegląd po incydencie, audyt ról i stałe wsparcie, gdy nie macie wewnętrznych kompetencji Drupal ops.

Potrzebujesz bezpieczniejszej ścieżki odzyskania dostępu lub przeglądu bezpieczeństwa po lockoucie? Zobacz usługi wsparcia Drupala lub usługi Drupal development dla długoterminowej opieki nad witryną. Po ponownym logowaniu zacznij od audytu bezpieczeństwa Drupala.

-
Sprawdź powiązane artykuły