Un site WordPress piraté peut afficher des pages inconnues, rediriger les visiteurs, envoyer du spam ou devenir inaccessible. La priorité est de limiter les dégâts, protéger les comptes et restaurer une version saine sans effacer les preuves utiles au diagnostic. Si votre site traite des commandes ou des données clients, agissez rapidement et documentez chaque étape.
Ce guide explique les premières mesures à prendre. Si vous n’avez pas l’habitude d’administrer un serveur, évitez les manipulations risquées : une suppression précipitée de fichiers peut masquer la porte dérobée sans éliminer l’intrusion.
Les signes possibles comprennent des redirections vers des sites inconnus, des comptes administrateurs que vous n’avez pas créés, des fichiers récemment modifiés, des avertissements de navigateur, des résultats Google qui affichent du spam, des emails envoyés à votre insu ou une consommation inhabituelle de ressources. Un site lent ou une erreur 500 ne signifie toutefois pas forcément qu’il a été piraté : une mise à jour défectueuse ou une panne serveur peut produire des symptômes similaires.
Notez l’heure à laquelle le problème a commencé, les messages d’erreur et les changements récents. Prenez des captures d’écran et conservez les alertes reçues de l’hébergeur ou de Google. Ces éléments aideront à distinguer une infection d’un incident technique.
Si le piratage est confirmé ou fortement suspecté, demandez à votre hébergeur s’il peut isoler temporairement le site ou activer une page de maintenance. Pour une boutique, réfléchissez à la manière de prévenir les clients sans exposer davantage les visiteurs. Ne supprimez pas simplement tout le site et ne restaurez pas une sauvegarde au hasard avant d’avoir évalué la situation.
Depuis un appareil fiable, changez les mots de passe des comptes administrateurs WordPress, de l’hébergement, du panneau de contrôle, du FTP/SFTP, de la base de données et des emails associés. Utilisez des mots de passe uniques et activez l’authentification à deux facteurs lorsqu’elle est disponible. Révoquez les sessions actives et retirez les comptes inconnus après avoir conservé les informations nécessaires au diagnostic.
Signalez l’incident au support de l’hébergement. Il peut disposer de journaux, de sauvegardes, de mécanismes de détection et d’informations sur l’origine de l’activité suspecte. Demandez si une copie des fichiers et de la base de données peut être conservée pour analyse avant nettoyage.
Une sauvegarde créée après l’intrusion peut déjà contenir du code malveillant. Il est donc important de conserver une copie de l’état actuel pour investigation et de chercher une sauvegarde antérieure dont la date et l’intégrité sont plausibles. Les sauvegardes doivent être restaurées dans un environnement maîtrisé et contrôlées avant de remettre le site en production.
Les causes fréquentes comprennent un plugin ou un thème vulnérable, un compte compromis, un mot de passe réutilisé, une version obsolète de WordPress, un ordinateur infecté ou des permissions de fichiers trop permissives. L’analyse doit examiner les journaux disponibles, les fichiers récemment modifiés, les nouveaux comptes, les tâches planifiées, les extensions et les accès au serveur.
Ne vous contentez pas de supprimer la page visible ou de changer le mot de passe WordPress. Une porte dérobée peut se trouver dans un fichier différent, un plugin abandonné, un thème modifié ou un compte système. Sans recherche de la cause, l’attaquant peut revenir.
La méthode dépend de l’étendue de l’incident. Si une sauvegarde saine et récente existe, une restauration contrôlée peut être plus fiable qu’un nettoyage improvisé. Il faut néanmoins corriger la faille initiale avant de réouvrir le site. Sinon, la même vulnérabilité risque d’être exploitée à nouveau.
Lorsque le nettoyage manuel est nécessaire, remplacez les fichiers du cœur WordPress par une copie officielle de la version appropriée, réinstallez les extensions et thèmes depuis des sources fiables et examinez les personnalisations. Les fichiers inconnus, le code obfusqué et les modifications inexpliquées doivent être étudiés avant suppression. Ne téléchargez pas des plugins « premium gratuits » depuis des sites non officiels.
Vérifiez aussi la base de données : comptes, options, contenus injectés, scripts ajoutés et tâches planifiées. Les fichiers de configuration doivent contenir uniquement les paramètres nécessaires. Les clés de sécurité WordPress doivent être renouvelées après la sécurisation des accès.
Examinez tous les comptes ayant un rôle administrateur ou éditeur, ainsi que les clés API, les comptes SMTP, les connexions à des services externes et les accès partagés. Désactivez les intégrations qui ne sont plus utilisées et remplacez les secrets potentiellement exposés. Le principe est de donner à chaque intervenant uniquement les permissions dont il a besoin.
Si Google affiche un avertissement de sécurité, consultez la section dédiée aux problèmes de sécurité dans Search Console. Une fois le nettoyage terminé, vérifiez les pages signalées et demandez un réexamen en décrivant les corrections effectuées. Ne faites pas cette demande tant que l’infection n’est pas réellement traitée : une nouvelle détection peut prolonger l’incident.
Inspectez également les URL indexées qui semblent contenir du spam. Les pages injectées doivent être supprimées ou corrigées, et les erreurs 404 anormales surveillées. Les mises à jour des résultats Google ne sont pas instantanées.
Faites intervenir un spécialiste si l’administrateur est inaccessible, si les fichiers sont réinfectés, si le site redirige encore après restauration, si des données personnelles ont pu être exposées ou si le serveur lui-même semble compromis. Une boutique, un site institutionnel ou un site qui collecte des informations mérite une analyse approfondie plutôt qu’une réparation à l’aveugle.
Elvis Web peut vous aider à examiner le problème, remettre en état une installation WordPress et renforcer les mesures de prévention selon le périmètre du site. La disponibilité et le délai dépendent de la gravité, des accès et de l’état des sauvegardes. Pour une urgence, préparez l’URL, le message d’erreur, l’heure de début et les changements récents.
Découvrez notre service de dépannage WordPress ou contactez Elvis Web pour une évaluation. Ne transmettez jamais un mot de passe par email en clair : utilisez un moyen sécurisé et révoquez les accès temporaires après intervention.
Pas automatiquement. Une réinstallation des fichiers du cœur peut faire partie du nettoyage, mais elle ne suffit pas si la base de données, les comptes ou les extensions contiennent encore du code malveillant.
Seulement si elle est saine et si la faille initiale est corrigée. Une sauvegarde infectée ou restaurée sur une installation vulnérable peut reproduire le problème.
Le coût dépend de l’accès au site, du niveau d’infection, de l’état des sauvegardes et du besoin d’analyse serveur. Un diagnostic est nécessaire pour estimer le travail.
Pas nécessairement. Google peut afficher des avertissements ou retirer temporairement certaines pages si un risque est détecté. Nettoyez le site puis suivez les instructions de Search Console.
Maintenez le logiciel à jour, supprimez les extensions inutiles, sécurisez les comptes et testez régulièrement les sauvegardes.
Contactez-nous dès maintenant pour discuter de votre projet. Devis gratuit et sans engagement en 24h.
