Un site WordPress piraté se récupère presque toujours. Ce qui fait la différence, c’est l’ordre dans lequel on s’y prend : copier le site tel qu’il est, trouver par où le pirate est entré, nettoyer, fermer la faille, puis demander à Google de retirer son avertissement. Pour un site vitrine, comptez de quelques heures à une journée de travail.
Voici la marche à suivre pour le faire vous-même. Si vous préférez me le confier, mon dépannage de site WordPress piraté coûte 290 € HT pour un site vitrine, avec une réponse sous 24 h ouvrées.
Comment savoir si votre site a été piraté
Les signes les plus fréquents se voient sans aucun outil. Le site renvoie vers une page de casino, de pharmacie ou de faux concours. Des publicités que vous n’avez jamais posées apparaissent. Google affiche « Ce site a peut-être été piraté » sous votre résultat, ou Chrome montre un écran rouge avant d’entrer.
D’autres ne se voient qu’en coulisses : un administrateur inconnu dans la liste des comptes, des fichiers aux noms étranges sur le serveur, un e-mail de l’hébergeur qui parle d’activité malveillante, ou plus d’accès du tout à l’administration.
Attention à un piège : beaucoup d’infections ne se déclenchent que pour les visiteurs qui arrivent de Google ou depuis un téléphone. Connecté à votre administration, vous voyez un site normal. Testez depuis votre téléphone, en navigation privée, en passant par une recherche Google.
Vérifier en deux minutes
- Tapez site:votredomaine.fr dans Google. Des pages en japonais ou des produits que vous ne vendez pas trahissent du spam installé chez vous.
- Collez votre adresse dans l’outil État du site de Google (Safe Browsing).
- Dans la Search Console, ouvrez Sécurité et actions manuelles, puis Problèmes de sécurité.
- Passez l’adresse dans Sucuri SiteCheck, qui repère les infections connues visibles depuis l’extérieur.
Par où les pirates entrent
Dans la grande majorité des cas, personne ne vous a visé. Des robots parcourent le web à la recherche de versions vulnérables d’extensions connues et entrent partout où la porte est ouverte. Un site d’artisan avec cinquante visites par jour les intéresse autant qu’une grosse boutique : ils veulent surtout son serveur et sa réputation auprès de Google.
Les portes d’entrée qu’on retrouve le plus souvent sont une extension ou un thème pas mis à jour, une extension payante téléchargée gratuitement sur un site douteux (elle arrive souvent avec un accès caché déjà installé) et un mot de passe deviné par une attaque par force brute.
Les premières heures : les bons réflexes
- Faites une copie complète du site tel qu’il est, fichiers et base de données, infection comprise. Elle servira à comprendre ce qui s’est passé et à récupérer un fichier supprimé par erreur.
- Changez tous les mots de passe : compte administrateur WordPress, FTP, base de données (dans wp-config.php) et compte de l’hébergeur. Supprimez les administrateurs que vous ne connaissez pas.
- Si le site envoie vos visiteurs ailleurs, mettez-le en maintenance le temps du nettoyage.
- Écrivez à votre hébergeur. Il peut vous dire quels fichiers son antivirus a repérés et vous transmettre les journaux d’accès, qui montrent souvent la porte d’entrée.
Ce qu’il vaut mieux éviter
Deux réflexes compréhensibles font souvent plus de mal que de bien. Le premier : tout supprimer et réinstaller en vitesse, ce qui efface les traces dont vous aurez besoin. Le second : restaurer une sauvegarde sans chercher la faille. Le site redevient propre, puis retombe quelques jours plus tard par la même porte.
Nettoyer le site
Avec une sauvegarde saine
C’est le chemin le plus court, à une condition : la sauvegarde doit dater d’avant l’infection, pas seulement d’avant les premiers symptômes. Un pirate peut s’installer plusieurs semaines avant de se manifester. Si vous ne savez pas quand il est entré, regardez les dates de modification des fichiers suspects.
Après la restauration, mettez tout à jour et cherchez quand même par où le pirate est passé : la sauvegarde contient la même faille que le site.
Sans sauvegarde : le nettoyage à la main
Il faut alors vérifier fichier par fichier. La méthode qui marche :
- Réinstallez le cœur de WordPress depuis wordpress.org, sans toucher au dossier wp-content ni au fichier wp-config.php.
- Réinstallez chaque extension et le thème depuis leur source officielle. Supprimez celles qui ne servent plus et toutes celles dont vous ne connaissez pas l’origine.
- Cherchez les fichiers PHP dans le dossier wp-content/uploads : il ne devrait contenir que des images et des documents.
- Relisez wp-config.php, le fichier .htaccess, le dossier wp-content/mu-plugins (les extensions chargées d’office) et le fichier functions.php du thème. Un code illisible, encodé en base64 ou lancé par eval, n’a rien à y faire.
- Dans la base de données, vérifiez la table des comptes, l’adresse du site dans la table des options et les contenus qui contiennent des balises script.
Un scanner comme Wordfence aide à repérer ce qui a changé. Il ne remplace pas cette vérification : les infections récentes lui échappent souvent.
Quand le confier
Si le FTP et la base de données ne vous sont pas familiers, une fausse manœuvre peut casser le site ou laisser un accès caché derrière vous. C’est le travail que je fais en dépannage : copie du site, recherche de la faille, nettoyage, remise en ligne et compte rendu écrit.
Combien coûte la réparation d’un site piraté
Le prix dépend surtout de deux choses : l’existence d’une sauvegarde saine et la taille du site. Une boutique avec quarante extensions demande bien plus de vérifications qu’un site vitrine de dix pages.
Méfiez-vous des offres à quelques dizaines d’euros. Elles se limitent souvent à passer un scanner et à supprimer ce qu’il trouve, sans chercher la faille.
Chez moi, le dépannage d’un site vitrine piraté coûte 290 € HT. Pour une boutique ou un site sans sauvegarde, le prix est annoncé après le diagnostic, avant que je touche au site. Voir ce qu’il comprend.
Prévenir Google et, si besoin, la CNIL
Retirer l’avertissement de Google
Une fois le site propre, ouvrez la rubrique Problèmes de sécurité de la Search Console, puis cliquez sur Demander un examen. Décrivez en quelques lignes ce que vous avez trouvé et corrigé. Google répond en général en quelques jours. Les pages parasites qu’il avait indexées sortent des résultats plus lentement, souvent en plusieurs semaines.
Déclarer une fuite de données
Si le site garde des données personnelles (comptes clients, commandes, messages de formulaire) et qu’elles ont pu être lues, le RGPD vous demande de déclarer la violation à la CNIL dans les 72 heures après l’avoir découverte, sauf si elle ne présente pas de risque pour les personnes. Si le risque est élevé, il faut aussi prévenir les personnes concernées. La déclaration se fait en ligne, sur le site de la CNIL.
Éviter que ça recommence
Un site nettoyé puis laissé tel quel retombe. Ce qui protège vraiment est assez peu spectaculaire :
- des mises à jour régulières, extensions et thèmes inactifs compris ;
- moins d’extensions, toutes encore suivies par leur auteur ;
- la double authentification sur les comptes administrateurs et une adresse de connexion qui n’est plus /wp-admin ;
- des sauvegardes automatiques stockées ailleurs que sur le serveur ;
- des droits de fichiers stricts : 644 pour les fichiers, 755 pour les dossiers, jamais 777.
C’est le travail d’une maintenance WordPress : chez moi, 4 maintenances par an pour 540 €, soit 45 € par mois.
Questions fréquentes sur le piratage WordPress
Mon site WordPress a été piraté, est-ce récupérable ?
Presque toujours. Tant que vous avez accès à l’hébergement, les fichiers et la base de données se nettoient. Refaire le site ne se justifie que s’il est trop ancien pour être remis à jour.
Combien de temps prend le nettoyage d’un site WordPress piraté ?
De quelques heures à une journée pour un site vitrine avec une sauvegarde saine. Sans sauvegarde, ou pour une boutique, comptez davantage : chaque fichier modifié doit être vérifié.
Mon site est piraté et je n’ai pas de sauvegarde, que faire ?
Faites d’abord une copie du site dans son état actuel, puis nettoyez à la main : réinstallation de WordPress, des extensions et du thème depuis leurs sources officielles, recherche des fichiers ajoutés et vérification de la base de données. C’est long, pas impossible.
Pourquoi mon site a-t-il été piraté malgré une extension de sécurité ?
Une extension de sécurité bloque des attaques connues, elle ne corrige pas une faille. Si une extension ou le thème n’étaient pas à jour, le pirate est passé par là. La mise à jour reste la protection qui compte le plus.
Mon hébergeur peut-il nettoyer mon site ?
Il peut restaurer une sauvegarde et vous dire quels fichiers son antivirus a repérés. La recherche de la faille et le nettoyage de WordPress restent en général à votre charge ou à celle de votre prestataire.
