Site WordPress piraté : que faire ?
Votre site WordPress a-t-il été piraté ? Restez calme et travaillez méthodiquement. La voie la plus rapide vers la restauration est : mettre le site hors ligne ou en mode maintenance, changer tous les mots de passe, faire une sauvegarde sûre de l'état actuel (infecté), scanner les malwares et supprimer le code malveillant, restaurer depuis une sauvegarde saine si nécessaire, puis colmater la faille utilisée par l'attaquant. Vous trouverez ci-dessous exactement comment — étape par étape, dans le bon ordre.
Comment savoir si WordPress a été piraté ?
Un piratage n'est pas toujours visible. Surveillez ces signes : des redirections indésirables vers des sites douteux, l'apparition soudaine de contenu spam ou de pages inconnues, un avertissement dans le navigateur ou via la Google Search Console (« Ce site risque d'endommager votre ordinateur »), des e-mails marqués comme spam, des comptes administrateur inconnus, un site fortement ralenti ou des pics de charge serveur, et des dates de modification de fichiers inexplicables. Si vous constatez un ou plusieurs de ces signes, considérez le site comme compromis et agissez immédiatement.
Étapes immédiates — dans cet ordre
L'ordre est important ; nettoyer dans le mauvais ordre aggrave souvent la situation.
- 1. Mettez le site hors ligne ou en mode maintenance. Cela évite que les visiteurs soient infectés et limite de nouvelles pénalités de Google.
- 2. Changez tous les mots de passe. Admins WordPress, hébergement/cPanel, FTP/SFTP, base de données et comptes e-mail liés. Forcez aussi la déconnexion de toutes les sessions.
- 3. Faites maintenant une sauvegarde complète des fichiers et de la base de données dans leur état actuel. Vous en avez besoin comme preuve et pour nettoyer en sécurité.
- 4. Scannez en profondeur. Utilisez un scanner de malwares fiable (scan côté serveur plus une extension comme deuxième avis) et vérifiez l'intégrité du cœur WordPress.
- 5. Vérifiez les utilisateurs et les clés. Supprimez les admins inconnus, renouvelez les clés de sécurité (salts) dans wp-config.php et changez les mots de passe de la base de données.
Nettoyer et restaurer
Il existe deux voies. Restaurer depuis une sauvegarde saine antérieure au piratage est de loin la plus sûre, à condition d'être certain que cette sauvegarde n'était pas déjà infectée. Si vous n'en avez pas, vous devez nettoyer manuellement : remplacez le cœur WordPress ainsi que tous les fichiers de thèmes et d'extensions par des téléchargements officiels récents ; supprimez les fichiers inconnus ou suspects (attention au code base64 et aux fichiers .php étranges dans les dossiers d'upload) ; et vérifiez wp-config.php, .htaccess et les tâches planifiées (cron) à la recherche d'injections. Supprimez les extensions et thèmes que vous n'utilisez pas ou qui ne sont plus maintenus — ils sont souvent le point d'entrée. Mettez ensuite tout à jour vers la dernière version et testez que le site est de nouveau propre et fonctionnel.
Durcissement : éviter que cela se reproduise
Nettoyer sans colmater la faille mène presque toujours à un nouveau piratage. Faites au minimum ceci : gardez le cœur, les thèmes et les extensions toujours à jour ; utilisez des mots de passe forts et uniques avec une authentification à deux facteurs sur tous les admins ; limitez les tentatives de connexion et masquez ou protégez la page de connexion ; installez un pare-feu applicatif web ; mettez en place des sauvegardes automatiques externes et testez leur restauration ; supprimez les extensions/thèmes inutilisés ; et utilisez une plateforme PHP et serveur à jour. Une grande partie relève d'une maintenance WordPress continue et d'un hébergement sécurisé avec supervision.
Quand faire appel à de l'aide ?
Faites appel à un spécialiste si le piratage revient sans cesse, si vous traitez des données personnelles (pensez aux clients WooCommerce ou aux données de formulaire et à une éventuelle notification de violation RGPD), si le site est essentiel à votre chiffre d'affaires, ou tout simplement si vous n'êtes pas certain que le site est vraiment propre. Un professionnel ne se contente pas de nettoyer : il prouve que le site est de nouveau sûr et colmate la faille d'origine. Si vous êtes bloqué dans le nettoyage ou face à des pannes récurrentes, voyez aussi résoudre les problèmes de site et d'hébergement.
Questions fréquentes
Des réponses courtes et directes aux questions les plus fréquentes.
Mettez immédiatement le site hors ligne ou en mode maintenance, puis changez tous les mots de passe : admin WordPress, hébergement, FTP/SFTP, base de données et e-mail lié. Faites ensuite une sauvegarde complète de l'état actuel avant de modifier quoi que ce soit. Ce n'est qu'après que vous commencez à scanner et nettoyer. Cet ordre évite d'infecter les visiteurs et d'effacer par mégarde des preuves ou un point de restauration.
Les signes courants sont des redirections indésirables, des pages inconnues ou du contenu spam, un avertissement dans la Google Search Console ou le navigateur, des comptes administrateur inconnus, une lenteur soudaine et des dates de modification de fichiers inexpliquées. Un seul signe justifie une enquête ; plusieurs à la fois indiquent fortement une compromission. Un scan de malwares approfondi côté serveur lève le doute.
Pour une infection légère, parfois oui : restaurez depuis une sauvegarde saine, ou remplacez le cœur, les thèmes et les extensions par des téléchargements officiels et supprimez les fichiers suspects. Mais nettoyer sans colmater la faille d'origine mène souvent à un nouveau piratage. En cas de doute, si vous traitez des données personnelles ou si l'infection revient, faites appel à un spécialiste capable de prouver que le site est de nouveau propre.
Possiblement. Si des données personnelles sont concernées — par exemple des données clients ou de formulaire — et qu'il existe un risque réel pour les personnes concernées, le RGPD impose généralement de le notifier à l'autorité de contrôle dans les 72 heures, et parfois aussi aux personnes concernées. Documentez ce qui s'est passé et quelles données ont pu être touchées, et en cas de doute faites examiner la situation par un spécialiste de la confidentialité ou de la sécurité.
Gardez le cœur, les thèmes et les extensions à jour en permanence, utilisez des mots de passe forts avec authentification à deux facteurs, limitez les tentatives de connexion et placez un pare-feu applicatif web devant le site. Supprimez les extensions et thèmes inutilisés, faites des sauvegardes automatiques externes (et testez leur restauration) et utilisez une plateforme serveur récente et sécurisée. Une maintenance continue et un hébergement géré et sécurisé réduisent fortement le risque.
Pas nécessairement. Avec une sauvegarde récente et saine, vous récupérez généralement la quasi-totalité du contenu. Vous pouvez perdre temporairement des visiteurs et des positions Google tant que le site est hors ligne ou signalé comme dangereux ; les positions se rétablissent généralement une fois le site propre et après une demande de réexamen via la Search Console. Agir vite et correctement limite le plus les dégâts.
