Site WordPress piraté : que faire dans les premières heures

Redirections vers des sites douteux, alerte rouge dans le navigateur, e-mail de l’hébergeur qui suspend le compte : quand un site WordPress est piraté, chaque heure compte. Mais agir vite ne veut pas dire agir dans la précipitation. Supprimer des fichiers au hasard ou restaurer une vieille sauvegarde sans comprendre l’origine de l’attaque, c’est souvent se faire réinfecter quelques jours plus tard. Voici, dans l’ordre, ce que je fais et ce que je conseille de faire dans les premières heures.

Les signes qu’un site WordPress est piraté

• Des visiteurs, souvent sur mobile ou en provenance de Google, redirigés vers des pages de casino, de pharmacie ou de faux gains.
• Des pages inconnues dans les résultats de recherche : tapez site:votredomaine.fr dans Google et cherchez des titres en japonais ou des produits que vous ne vendez pas.
• Un avertissement « Site trompeur » dans Chrome, ou un message dans la rubrique « Problèmes de sécurité » de la Google Search Console.
• Des comptes administrateurs que personne n’a créés, des extensions inconnues, des fichiers PHP dans wp-content/uploads/.
• Une suspension ou un avertissement de l’hébergeur pour envoi de spam ou consommation anormale de ressources.

Un seul de ces signes suffit pour traiter la situation comme un piratage avéré.

Étape 1 : isoler le site sans détruire les preuves

Le premier objectif est de protéger vos visiteurs. Placez le site en maintenance au niveau du serveur (une règle dans le fichier .htaccess qui n’autorise que votre adresse IP, ou l’option prévue par votre hébergeur) plutôt qu’avec une extension WordPress : si le site est compromis, l’extension l’est peut-être aussi. Ne supprimez rien pour l’instant. Les fichiers modifiés et les journaux du serveur sont les seuls indices qui permettent de comprendre par où l’attaquant est entré.

Étape 2 : sauvegarder l’état infecté

Cela paraît contre-intuitif, mais faites une copie complète du site tel qu’il est : fichiers, base de données et, si possible, journaux d’accès et d’erreurs du serveur. Stockez-la hors du serveur et marquez-la clairement comme infectée. Elle sert à l’analyse, et à revenir en arrière si le nettoyage supprime par erreur un fichier légitime. Faites aussi le point sur vos sauvegardes saines : une sauvegarde antérieure à l’infection est précieuse, à condition de savoir quand l’intrusion a eu lieu.

Étape 3 : nettoyer en profondeur

Un nettoyage sérieux ne consiste pas à lancer un scanner et à supprimer ce qu’il signale. La méthode fiable consiste à repartir de sources saines :

1. Réinstaller le cœur de WordPress à partir de l’archive officielle, en remplaçant entièrement wp-admin/ et wp-includes/.
2. Réinstaller chaque extension et chaque thème depuis leur source officielle, et supprimer ceux qui ne servent plus ou qui proviennent de sites proposant gratuitement des versions payantes (« nulled ») : c’est la première cause d’infection que je rencontre.
3. Examiner les fichiers restants : wp-config.php, le dossier uploads (qui ne devrait contenir aucun fichier PHP), les fichiers .htaccess et les tâches planifiées du serveur.
4. Contrôler la base de données : comptes utilisateurs, options siteurl et home, scripts injectés dans les contenus ou les widgets.
5. Identifier la porte d’entrée (extension vulnérable, mot de passe volé, accès FTP compromis) et la refermer, sinon la réinfection est presque certaine.

Étape 4 : changer tous les accès

Partez du principe que tous les mots de passe liés au site sont connus de l’attaquant. Changez-les tous, depuis un ordinateur que vous savez sain :

• les comptes administrateurs WordPress, en supprimant les comptes inutiles ;
• les accès FTP, SFTP et SSH ;
• l’espace client de l’hébergeur et celui du bureau d’enregistrement du nom de domaine ;
• le mot de passe de la base de données, à reporter dans wp-config.php ;
• les clés de sécurité (salts) de wp-config.php, à régénérer pour fermer toutes les sessions ouvertes ;
• les éventuelles clés d’API : paiement, e-mails transactionnels, services tiers.

Profitez-en pour activer la double authentification sur tous les comptes administrateurs.

Étape 5 : prévenir les bonnes personnes

Informez votre hébergeur, qui peut vous fournir des journaux et lever une éventuelle suspension. Une fois le site propre, demandez un réexamen dans la Google Search Console pour faire disparaître l’avertissement affiché aux internautes. Si des données personnelles ont pu être consultées ou dérobées (comptes clients, formulaires, commandes), la question devient aussi réglementaire : en France, le RGPD impose dans certains cas de notifier rapidement la CNIL, voire les personnes concernées ; en Algérie, renseignez-vous auprès de l’autorité nationale chargée de la protection des données personnelles. Dans le doute, rapprochez-vous de l’organisme compétent ou d’un conseil juridique.

Après l’urgence : éviter la récidive

Un site nettoyé mais toujours aussi exposé sera piraté de nouveau. Mettez à jour le cœur, les extensions et la version de PHP, supprimez tout ce qui est inutilisé, mettez en place des sauvegardes externalisées et surveillez le site de près pendant les semaines qui suivent : nouveaux fichiers, nouveaux comptes, pages indexées.

Votre site est piraté et vous préférez confier l’intervention ? Le nettoyage de site WordPress piraté est à 390 € HT (40 000 DA en Algérie) : suppression des codes malveillants et des portes dérobées, durcissement, remise en ligne et garantie de 30 jours contre la réinfection, avec une intervention sous 48 h, ou 24 h en urgence. Décrivez votre situation via la demande de devis.