Face à un site WordPress piraté, commencez par protéger les visiteurs, prévenir l’hébergeur et conserver les informations utiles. Ne supprimez pas des fichiers et ne restaurez pas une archive au hasard : vous pourriez effacer les traces ou réintroduire l’infection.
Les étapes ci-dessous permettent de qualifier la situation d’un site WordPress piraté. Si le site redirige vers une fraude, diffuse des fichiers suspects ou expose des données, faites organiser rapidement une mise en sécurité et un dépannage du site.
Piratage : protéger sans effacer les traces
- ProtégerVisiteurs et accès
- ConserverFichiers et journaux
- AssainirSite et point d’entrée
- ContrôlerFonctions et récidive
Que faire si votre site WordPress est compromis ?
Sur un site WordPress piraté, la priorité est de protéger les visiteurs et conserver les traces, pas de nettoyer à l’aveugle.
Documenter ce qui se passe
- Pages et captures : URL concernées et destination si une page redirige.
- Messages : alertes, texte affiché et heure du constat.
- Confidentialité : ne publiez ni données sensibles ni liens d’administration.
Prévenir l’hébergeur
- Signaler le risque : spam, fichiers suspects ou redirections des visiteurs.
- Demander les éléments disponibles : mesures déjà prises, journaux conservables et copies antérieures à l’incident.
- Clarifier la mise en sécurité : une suspension peut être nécessaire ; faites préciser son périmètre et sa durée.
Pour reprendre les accès d’un site WordPress piraté, commencez depuis un appareil de confiance et une messagerie sécurisée. Changer les mots de passe depuis un appareil ou une boîte compromis peut laisser l’attaquant récupérer les nouveaux accès.
Ne supprimez pas des fichiers, comptes ou extensions au hasard. N’écrasez pas le site avec une archive sans vérifier sa date et son contenu : elle peut déjà être infectée ou remplacer des commandes et demandes récentes.
Comment reconnaître un site WordPress piraté ?
Un site WordPress piraté peut présenter des signes visibles ou discrets. L’apparence normale de votre site ne suffit donc pas à confirmer qu’il est sain. Certains scripts malveillants ne se déclenchent que pour les visiteurs venant d’un moteur de recherche, un appareil mobile ou un pays particulier.
Les signes les plus fréquents sont :
- une redirection inattendue, parfois uniquement depuis Google ou sur mobile ;
- des pages, comptes administrateurs ou extensions que vous n’avez pas créés ;
- des alertes de l’hébergeur, de votre navigateur ou du rapport « Problèmes de sécurité » de Google Search Console ;
- des fichiers récemment modifiés sans intervention de votre part ;
- des courriels envoyés depuis le site que vous ne reconnaissez pas ;
- une baisse inhabituelle de disponibilité, des erreurs serveur ou une consommation anormale de ressources ;
- des résultats de recherche affichant des titres ou des descriptions sans rapport avec votre activité.
Un seul de ces signes ne prouve pas toujours une intrusion. Une extension légitime, un cache mal purgé ou une modification récente peuvent produire un symptôme ressemblant à un piratage. Il faut rapprocher le signal de sa date d’apparition, des changements effectués et des journaux disponibles.
À ne pas conclure trop vite
Une alerte antivirus ou un résultat étrange dans Google mérite une vérification, mais ne permet pas à lui seul d’identifier la cause ni l’étendue du problème. Notez l’URL concernée, le message exact, l’appareil utilisé et l’heure du constat.
Site WordPress piraté : faut-il le mettre hors ligne ?
La réponse dépend du risque réel. Si les visiteurs sont redirigés vers une page frauduleuse, exposés à un téléchargement malveillant ou si des données sont potentiellement en jeu, une mesure de protection rapide peut s’imposer. Si le problème est seulement un compte suspect sans signe d’activité publique, une coupure totale n’est pas toujours la première action utile.
Avant de désactiver un site WordPress piraté, vérifiez avec l’hébergeur ou la personne chargée de l’intervention :
- si une page de maintenance peut être affichée sans supprimer les éléments nécessaires au diagnostic ;
- si les formulaires, paiements ou espaces clients doivent être temporairement interrompus ;
- si une sauvegarde exploitable existe et si elle comprend les fichiers et la base de données ;
- comment les visiteurs seront informés si l’interruption dure.
Ne remplacez pas une compromission par une page blanche durable sans explication. Si vous devez bloquer l’accès, conservez les journaux et assurez-vous que la mesure choisie empêche réellement le comportement dangereux.
Comment nettoyer un site WordPress piraté ?
Nettoyer la page ne ferme pas forcément le point d’entrée
Pour nettoyer un site WordPress piraté, commencez par un état des lieux, puis traite à la fois les fichiers infectés et la cause d’entrée. Remplacer uniquement la page visible ne suffit pas si une porte dérobée, un compte détourné ou une extension vulnérable reste en place.
Établir le périmètre et conserver une copie
Avant toute suppression, conservez une copie isolée de l’état compromis et les journaux disponibles. Étiquetez cette copie comme infectée ou suspecte, réservée à l’analyse : elle ne doit pas servir de sauvegarde saine ni rester téléchargeable publiquement.
L’examen d’un site WordPress piraté ne s’arrête pas à la page d’accueil. Faites préciser les zones contrôlées :
- WordPress : fichiers, base de données, comptes et rôles, extensions ajoutées, configuration et tâches planifiées ;
- le compte d’hébergement : anciennes installations, préproductions et autres sites partageant des accès ou des droits ; un site voisin n’est pas automatiquement infecté, mais son périmètre doit être vérifié ;
- les accès externes : messagerie, SFTP, DNS et règles de redirection, selon les indices recueillis ;
- les fonctions commerciales : destinataires des formulaires, liens de paiement et scripts externes modifiés sans autorisation.
Exemple pédagogique : une redirection frauduleuse réapparaît après remplacement des fichiers WordPress. Il faut alors vérifier les autres points de persistance possibles, comme une tâche planifiée ou une règle serveur, plutôt que de répéter le même nettoyage. Le rapport distingue les zones examinées de celles qui restent à vérifier.
Site WordPress piraté : identifier la porte d’entrée
Les causes possibles sont variées : identifiants réutilisés ou volés, extension ou thème vulnérable, logiciel non maintenu, accès d’hébergement exposé, installation abandonnée ou mauvaise configuration. L’analyse doit comparer les fichiers aux versions légitimes, examiner les comptes et leurs rôles, repérer les modifications anormales et croiser ces observations avec les journaux.
Nettoyer et rétablir une base saine
Pour récupérer un site WordPress piraté, la méthode dépend du diagnostic. Il peut être préférable de restaurer une sauvegarde antérieure vérifiée. D’autres situations demandent de remplacer les fichiers du cœur et des extensions par des versions officielles, ou de nettoyer certains éléments manuellement. Dans tous les cas, supprimez aussi les accès non autorisés et corrigez la cause identifiée. Mettez à jour les composants réellement concernés et vérifiez les fichiers de configuration.
Révoquer les accès et renforcer la reprise
Après sécurisation de la boîte mail et des appareils concernés, changez les mots de passe WordPress, hébergement, base de données, FTP/SFTP et comptes liés. Révoquez les sessions et clés d’application qui ne sont plus nécessaires, contrôlez les comptes utilisateurs, puis réactivez une authentification renforcée lorsqu’elle est disponible. Un changement de mot de passe seul ne remplace pas le nettoyage du site.
La documentation officielle WordPress présente une démarche de départ dans son guide sur la récupération d’un site piraté. Elle complète le diagnostic, mais ne remplace pas l’analyse des fichiers et des accès propres à votre installation.
Faites prendre en charge le site compromis
J’examine les signes de piratage et le périmètre du nettoyage pour organiser une intervention adaptée.
Site WordPress piraté : nettoyer, restaurer ou reconstruire ?
La solution dépend de la confiance que l’on peut accorder aux fichiers, aux données et aux copies disponibles. Ces trois options ne dispensent jamais de traiter le point d’entrée.
| Option | Quand l’envisager | Condition de reprise |
|---|---|---|
| Nettoyage ciblé | Les altérations sont identifiées et les éléments légitimes peuvent être contrôlés. | Vérifier aussi les accès, la configuration et les mécanismes de persistance, pas seulement le fichier visible. |
| Restauration | Une copie antérieure à l’intrusion a été vérifiée et les données récentes peuvent être préservées. | Tester la copie isolément et corriger la faille avant la remise en ligne. |
| Reconstruction sur une base propre | Aucune copie fiable n’est disponible ou l’intégrité de l’installation ne peut pas être établie suffisamment. | Réinstaller des composants légitimes et contrôler les contenus importés pour ne pas déplacer l’infection. |
Par exemple, restaurer la semaine précédente sur une boutique peut supprimer des commandes légitimes. Le choix doit donc inclure un inventaire des données à conserver et un plan de reprise validé, pas seulement la recherche de la méthode la plus rapide.
Site WordPress piraté : pourquoi une sauvegarde ne suffit-elle pas ?
Restaurer une sauvegarde antérieure peut être une bonne manière de remettre rapidement un site en état, à condition qu’elle soit saine et suffisamment récente. Mais si l’attaquant peut encore se connecter, exploiter la même faille ou modifier les accès, le problème risque de réapparaître.
Avant la restauration, vérifiez :
- la date et l’origine de la sauvegarde ;
- qu’elle couvre bien les fichiers et la base de données nécessaires ;
- qu’elle ne contient pas déjà les fichiers ou comptes suspects ;
- ce qui a été ajouté depuis cette date : commandes, demandes de contact, contenus ou modifications ;
- la manière dont la faille d’entrée sera corrigée avant de remettre le site en ligne.
Quand c’est possible, testez la restauration sur un environnement isolé. Notre guide explique comment vérifier une sauvegarde et sa restauration WordPress sans confondre la présence d’une archive avec la preuve qu’elle fonctionne.
Quelles vérifications après le nettoyage d’un site WordPress piraté ?
Un affichage normal ne prouve pas que la reprise est terminée. Contrôlez le site public, les accès et les alertes.
- Comme un visiteur : pages importantes, formulaires, courriels, affichage mobile et éventuels parcours de commande.
- Côté administration : comptes, droits et fonctions qui avaient été modifiés.
- Dans les traces : nouvelles erreurs, fichiers ou comportements suspects.
Relire les alertes de Google
- Consultez Problèmes de sécurité dans Search Console et les URL fournies.
- Après correction complète et traitement de la porte d’entrée, suivez la procédure de demande d’examen si elle est disponible.
- Contrôlez aussi les actions manuelles et appliquez la procédure correspondant au problème affiché.
L’examen dépend du traitement par Google. Il ne remplace ni le nettoyage du serveur ni la vérification des comptes et des fichiers.
Surveillez ensuite les récidives. Si une redirection ou un fichier revient, recherchez ce qui le recrée au lieu de supprimer seulement le symptôme.
Site WordPress piraté : que faire des pages de spam dans Google ?
Après assainissement, distinguez les pages légitimes altérées des URL créées uniquement par l’attaquant. Rétablissez les premières avec leur contenu normal. Pour les secondes, supprimez le contenu indésirable et vérifiez que les URL réellement supprimées répondent en 404 ou 410, plutôt qu’en page vide avec un statut 200.
Ne redirigez pas toutes les URL de spam vers l’accueil : cette destination n’est pas un équivalent de leurs contenus. Contrôlez également le sitemap, les liens injectés, les canoniques et les redirections pour qu’ils ne continuent pas à exposer ces adresses.
Exemple pédagogique : des centaines de fausses fiches produits apparaissent dans les résultats d’un site vitrine. Nettoyer la page d’accueil ne les supprime pas de l’installation. Il faut identifier comment elles sont générées, arrêter ce mécanisme, puis vérifier un échantillon de ces URL sur le site publié et suivre leur traitement dans Search Console.
L’outil de suppression de Search Console peut masquer temporairement des résultats urgents ; il ne nettoie pas le serveur et ne remplace pas leur suppression durable. Google explique la différence dans sa documentation sur la suppression temporaire des URL. Le réexamen de sécurité, lorsqu’il est nécessaire, reste une démarche distincte.
Et si des données personnelles ou des paiements sont concernés ?
Prévenez les responsables concernés dans l’entreprise et le service de paiement par ses canaux officiels. Conservez les éléments permettant d’évaluer les données touchées, sans diffuser publiquement des archives, journaux ou informations clients.
Une remise en ligne ne clôt pas automatiquement l’analyse de l’incident. Faites examiner les obligations applicables et consultez les indications de la CNIL sur les violations de données personnelles.
Site WordPress piraté : comment réduire le risque de récidive ?
Après nettoyage, planifiez les mises à jour, revoyez les comptes et droits, contrôlez les alertes et testez la restauration des copies. Documentez les points d’entrée identifiés, les corrections et les zones qui n’ont pas pu être vérifiées.
Une revue de sécurité WordPress peut préciser les faiblesses restantes. La maintenance WordPress organise ensuite le suivi convenu. Aucun de ces dispositifs ne garantit une absence définitive d’attaque.
Le nettoyage doit aussi traiter l’origine du problème
Présentez-moi les symptômes et les actions déjà effectuées pour préparer la prise en charge et ses contrôles.
Questions fréquentes sur un site WordPress piraté
Comment savoir si mon site WordPress est vraiment piraté ?
Recherchez plusieurs indices concordants : redirections inconnues, fichiers ou comptes administrateurs non autorisés, alertes de l’hébergeur ou de Google, pages indésirables indexées et journaux montrant une activité suspecte. Une analyse des fichiers, des comptes et des événements récents permet de confirmer le diagnostic.
Site WordPress piraté : faut-il changer le mot de passe tout de suite ?
Oui, si vous pouvez le faire depuis un appareil et une boîte mail de confiance. Sécurisez d’abord la messagerie et l’accès à l’hébergement, puis changez les identifiants WordPress et révoquez les sessions suspectes. Si l’appareil ou le courriel sont compromis, le nouvel accès peut être récupéré par l’attaquant.
La restauration d’une sauvegarde supprime-t-elle le piratage ?
Pas automatiquement. Elle peut contenir déjà le code malveillant, et la faille d’entrée ou les identifiants compromis peuvent rester actifs. Vérifiez la date et le contenu de la sauvegarde, corrigez la cause et testez la restauration avant de remettre le site en ligne.
Que faire si Google affiche un avertissement de sécurité ?
Consultez le rapport « Problèmes de sécurité » de Search Console, relevez les URL exemples et faites nettoyer le site. Demandez ensuite un examen à Google depuis le rapport, une fois les corrections vérifiées. Ne demandez pas un réexamen avant d’avoir traité le problème.
Combien de temps faut-il pour nettoyer un site WordPress piraté ?
Cela dépend de l’étendue de l’intrusion, du nombre de sites et d’accès concernés, de la disponibilité des journaux et de l’état des sauvegardes. Un site seulement altéré n’exige pas le même travail qu’une compromission avec comptes détournés, fichiers modifiés et données à préserver.
Faire prendre en charge l’incident
Vous ne pouvez pas identifier le périmètre d’un site WordPress piraté ni préparer une reprise sûre ? Transmettez les constats et alertes pour un diagnostic de dépannage WordPress. Le délai et les opérations doivent être définis selon l’incident réel, pas promis avant l’examen.
