Site WordPress piraté : que faire dans les premières heures ?

Votre site redirige vers un casino, Google affiche des pages que vous n’avez jamais écrites, ou votre hébergeur vient de suspendre votre compte ? Votre site WordPress a probablement été piraté. Ce qui compte maintenant, c’est l’ordre des opérations : nettoyer trop vite sans trouver la faille, c’est la garantie d’être réinfecté quelques jours plus tard. Voici la marche à suivre que j’applique en dépannage.

Comment savoir si votre site est vraiment piraté ?

Les signes les plus courants :

• Redirections vers des sites de jeux, de pharmacie ou d’arnaque, parfois uniquement sur mobile ou uniquement quand on arrive depuis Google, ce qui fait que vous ne le voyez pas en tapant directement votre adresse ;
• pages inconnues dans Google : tapez site:votre-site.fr dans Google et cherchez des titres en japonais, des produits que vous ne vendez pas, des pages de contrefaçon ;
• avertissement dans le navigateur (« Site trompeur ») ou sous votre site dans les résultats Google (« Il est possible que ce site ait été piraté ») ;
• alerte dans Google Search Console, rubrique Sécurité et actions manuelles → Problèmes de sécurité ;
• email de l’hébergeur signalant des fichiers malveillants ou un envoi massif d’emails ;
• administrateurs inconnus dans Utilisateurs, ou vous ne pouvez plus vous connecter.

Si vous constatez l’un de ces signes, ne supprimez rien dans la précipitation : les fichiers infectés sont aussi les indices qui permettent de trouver par où l’attaquant est entré.

Étape 1 : limiter les dégâts

1. Mettez le site en maintenance si les visiteurs sont redirigés vers des sites dangereux : mieux vaut un site fermé quelques heures qu’un site qui envoie vos clients vers une arnaque.
2. Faites une sauvegarde de l’état infecté (fichiers + base de données), à part. Elle sert à l’analyse, pas à la restauration.
3. Changez tous les mots de passe, depuis un ordinateur sain : espace hébergeur, FTP/SFTP, base de données (puis reportez le nouveau mot de passe dans wp-config.php), et tous les comptes administrateurs WordPress.

Étape 2 : trouver la porte d’entrée

C’est l’étape que la plupart des nettoyages oublient. Les entrées les plus fréquentes :

• une extension ou un thème pas à jour avec une faille connue, c’est de loin la cause numéro un ;
• une extension ou un thème « nulled », version payante téléchargée gratuitement sur un site tiers : elle est souvent livrée avec la porte dérobée déjà installée ;
• un mot de passe administrateur faible ou réutilisé ailleurs ;
• un autre site sur le même hébergement, infecté de son côté, qui a contaminé ses voisins.

Les journaux d’accès de l’hébergeur et les dates de modification des fichiers permettent en général de dater l’infection et de remonter à l’élément vulnérable.

Étape 3 : nettoyer le site

1. Remplacez le cœur de WordPress par une copie saine : Tableau de bord → Mises à jour → Réinstaller la version, ou en réenvoyant les dossiers wp-admin et wp-includes téléchargés sur wordpress.org.
2. Réinstallez les extensions et le thème depuis leur source officielle plutôt que de les « nettoyer ». Supprimez tout ce qui n’est pas utilisé, et toute extension nulled.
3. Inspectez ce qui ne se réinstalle pas :
   • wp-config.php et .htaccess, où se cachent souvent les redirections ;
   • wp-content/uploads/ : ce dossier ne doit contenir que des médias, un fichier .php à l’intérieur est presque toujours malveillant ;
   • le thème enfant, s’il a été modifié à la main.
4. Nettoyez la base de données : comptes administrateurs inconnus, scripts injectés dans les articles ou les widgets, adresses du site modifiées dans Réglages → Général.
5. Régénérez les clés de sécurité (AUTH_KEY, SECURE_AUTH_KEY…) dans wp-config.php avec le générateur officiel de wordpress.org : toutes les sessions ouvertes, y compris celles de l’attaquant, sont déconnectées.
6. Passez un scanner (Wordfence, Sucuri) pour contrôler qu’il ne reste rien, sans le considérer comme suffisant à lui seul.

Étape 4 : remettre Google de votre côté

Si Google a signalé le site, l’avertissement ne disparaît pas tout seul. Une fois le site propre, demandez un réexamen depuis Search Console, rubrique Problèmes de sécurité, en expliquant ce qui a été corrigé. Supprimez aussi les pages de spam indexées (elles doivent renvoyer une erreur 404 ou 410), et soumettez à nouveau votre sitemap.

Et si des données clients ont fuité ?

Pour une boutique WooCommerce ou un site qui stocke des comptes clients, un piratage peut constituer une violation de données personnelles au sens du RGPD. Lorsqu’elle présente un risque pour les personnes, elle doit être notifiée à la CNIL dans les 72 heures après sa découverte. Faites le point sur ce qui a pu être consulté avant de relancer le site.

Retour d’expérience

Cette année, j’ai remis en ligne un site d’entreprise dont les pages avaient été vidées et des fichiers modifiés par un pirate. La méthode a été celle décrite plus haut : identifier par où l’intrusion était passée, restaurer un thème sain plutôt que de tenter de nettoyer l’ancien, réparer les pages, puis sécuriser le site avant toute autre modification.

Éviter que ça recommence

• mises à jour régulières de WordPress, des extensions et du thème, idéalement testées avant d’être appliquées ;
• aucune extension nulled, aucune extension inutilisée laissée installée ;
• mots de passe uniques et double authentification pour les administrateurs ;
• sauvegardes automatiques stockées hors du serveur ;
• une version de PHP encore maintenue.

Un piratage ne se limite pas toujours à ce que l’on voit, et un nettoyage incomplet laisse souvent une porte dérobée. Si votre site est touché, je propose un dépannage WordPress sous 48 h, à distance, partout en France. Pour prévenir plutôt que réparer, le contrat de maintenance WordPress couvre les mises à jour, les sauvegardes et la surveillance du site.

Votre site ne montre aucun signe de piratage mais plante ou affiche une erreur ? Consultez plutôt mon guide pour réparer un site WordPress : 7 pannes courantes.

Questions fréquentes

Restaurer une sauvegarde suffit-il ?

Seulement si la sauvegarde date d’avant l’infection, et à condition de corriger ensuite la faille. Sinon, le site restauré est vulnérable de la même façon et sera réinfecté.

Pourquoi mon site redirige-t-il seulement depuis Google ou sur mobile ?

Les codes malveillants ciblent volontairement les visiteurs venus des moteurs de recherche ou sur mobile, et épargnent les administrateurs connectés. Le propriétaire du site ne voit rien, ce qui retarde la découverte du piratage.

Combien de temps faut-il pour nettoyer un site piraté ?

Cela dépend de l’ampleur de l’infection et de l’état des sauvegardes. Le nettoyage lui-même est souvent rapide ; c’est la recherche de la faille et la vérification complète qui prennent du temps.

Benjamin Lepage, webdesigner WordPress freelance depuis 2016. Je crée, répare et maintiens des sites WordPress et WooCommerce pour des entreprises partout en France. En savoir plus

• 3 views
• 0 Comment