Site WordPress piraté : sécurisez-le en 7 étapes

Un site WordPress piraté peut rapidement nuire à votre activité : pages redirigées vers des sites frauduleux, messages d’alerte dans les résultats Google, envoi de spam, comptes administrateurs inconnus ou baisse soudaine du trafic. Pour un utilisateur WordPress débutant, la situation peut sembler complexe, mais une méthode structurée permet de reprendre le contrôle sans aggraver l’infection. L’objectif est de contenir le problème, conserver les preuves utiles, supprimer les fichiers malveillants et réduire durablement les risques de récidive.

Ce guide explique comment reconnaître un piratage WordPress, nettoyer un site infecté et mettre en place les protections essentielles. Il s’adresse aux dirigeants, indépendants et équipes qui administrent un site vitrine ou une boutique en ligne. Suivez les étapes dans l’ordre : certaines actions, comme le changement des accès ou la sauvegarde d’analyse, doivent intervenir avant toute suppression de fichier. En cas de doute, évitez les manipulations irréversibles et privilégiez une intervention technique encadrée, comme le dépannage et la maintenance WordPress proposés par Digitalworks.

Avant de nettoyer un site WordPress piraté : comprendre les risques

Un piratage WordPress ne se limite pas toujours à une page d’accueil défigurée. Les attaques les plus fréquentes sont discrètes : ajout de liens SEO indésirables, création de pages cachées, scripts qui redirigent seulement les visiteurs venant de Google, vol de données de formulaires ou insertion de code permettant au pirate de revenir plus tard. Un site peut aussi rester visuellement normal tout en hébergeant des logiciels malveillants. C’est pourquoi il faut considérer toute alerte de sécurité comme un incident sérieux, même si le fonctionnement quotidien semble intact.

Avant de commencer, prévenez les personnes qui disposent d’un accès au site, à l’hébergement ou aux comptes e-mail associés. Évitez que plusieurs personnes interviennent simultanément, car cela complique l’identification des modifications et peut effacer des indices. Préparez également les accès à votre hébergeur, à l’administration WordPress, au FTP ou SFTP, à la base de données et à votre outil d’analyse d’audience. Si votre site accepte des paiements ou collecte des données personnelles, évaluez rapidement le risque de compromission et demandez un avis professionnel si nécessaire.

Étape 1 : identifier les signes d’un piratage WordPress

Commencez par recenser les symptômes observés. Les signaux les plus courants sont un avertissement affiché par le navigateur, des redirections vers des sites inconnus, des publicités intrusives, une lenteur anormale, des pages ou articles non publiés par votre équipe, ainsi que des e-mails envoyés depuis votre nom sans votre accord. Consultez aussi les résultats de recherche en tapant « site:votredomaine.fr » dans Google. Vous pourrez repérer des titres suspects, des pages étrangères à votre activité ou du contenu en langue inconnue indexé sur votre nom de domaine.

Connectez-vous ensuite à WordPress si cela reste possible et vérifiez les comptes utilisateurs. La présence d’un administrateur inconnu est un signal d’alerte majeur. Examinez également les extensions récemment installées, les thèmes activés et les publications programmées. Dans les journaux d’activité disponibles chez votre hébergeur, recherchez des connexions inhabituelles, des changements de fichiers massifs ou des requêtes répétées vers des scripts inconnus. Notez les dates, les URL concernées et les messages d’erreur : ces informations aident à estimer l’origine de l’infection et à contrôler la qualité du nettoyage.

• Redirections aléatoires, notamment depuis un moteur de recherche.
• Alerte de navigateur ou signalement de logiciel malveillant.
• Comptes administrateurs, extensions ou fichiers inconnus.
• Chute brutale de trafic organique ou pages spam dans Google.
• E-mails, formulaires ou commandes suspectes sur votre site.

Étape 2 : sauvegarder les éléments avant toute suppression

Lorsqu’un site WordPress est piraté, la première réaction consiste souvent à supprimer immédiatement les fichiers douteux. Cette approche peut être contre-productive. Réalisez d’abord une copie complète du site tel qu’il est : fichiers WordPress, dossier des médias, configuration et base de données. Cette sauvegarde doit être conservée hors du serveur principal, sur un espace sécurisé. Elle servira à comparer les fichiers, à comprendre l’infection et à restaurer certains contenus légitimes si une suppression excessive endommage le site.

Si vous disposez d’une sauvegarde antérieure au piratage, ne la restaurez pas tout de suite sans vérifier sa date et son intégrité. Une sauvegarde trop récente peut déjà contenir le code malveillant, tandis qu’une sauvegarde ancienne peut provoquer la perte de commandes, de contenus ou de formulaires récents. Téléchargez les journaux d’accès et d’erreurs de l’hébergement lorsqu’ils sont accessibles. Ils peuvent révéler un fichier vulnérable, une adresse IP ou une extension exploitée. Étiquetez clairement vos archives avec la date afin d’éviter toute confusion pendant l’intervention.

Étape 3 : sécuriser tous les accès compromis

Une suppression des logiciels malveillants ne suffit pas si le pirate possède encore vos identifiants. Changez immédiatement les mots de passe de tous les comptes liés au site : administrateurs WordPress, hébergement, SFTP ou FTP, base de données, messagerie professionnelle, compte de sauvegarde et accès au registrar du nom de domaine. Utilisez des mots de passe longs, uniques et générés par un gestionnaire de mots de passe. Ne réutilisez jamais un ancien mot de passe, même légèrement modifié, car les identifiants peuvent avoir été copiés avant votre intervention.

Activez ensuite l’authentification à deux facteurs sur les comptes qui la proposent, en priorité sur WordPress, l’hébergement et l’adresse e-mail administratrice. Cette mesure bloque de nombreuses tentatives de connexion même lorsqu’un mot de passe est divulgué. Dans WordPress, supprimez les comptes inutiles et attribuez le niveau de droit minimal à chaque utilisateur. Un rédacteur n’a pas besoin d’être administrateur. Vérifiez aussi que le compte « admin », fréquemment visé par les attaques automatisées, n’est pas utilisé comme identifiant principal. La sécurité WordPress repose autant sur les accès que sur le code.

Étape 4 : analyser les fichiers infectés avec Wordfence ou Sucuri

Pour analyser un site WordPress piraté, utilisez un outil reconnu comme Wordfence ou Sucuri. Wordfence permet notamment de scanner les fichiers, de comparer le cœur de WordPress avec les versions officielles et de repérer des signatures de logiciels malveillants connues. Sucuri propose également des fonctions de contrôle, de surveillance et, selon l’offre choisie, de protection au niveau applicatif. Lancez une analyse complète après avoir sécurisé les accès. Prenez le temps de lire les résultats : un fichier modifié n’est pas automatiquement malveillant, surtout sur un site personnalisé.

Besoin d’un regard expert sur votre site ?

Je conçois et optimise des sites web performants pour qu’ils attirent plus de visiteurs et génèrent plus de clients.

Échanger avec moi Réserver un créneau

Examinez en priorité les fichiers PHP récemment modifiés, les dossiers temporaires, le répertoire des extensions, le thème actif et les emplacements inhabituels dans le dossier des médias. Des chaînes de code obscurcies, des fonctions encodées ou des fichiers aux noms aléatoires peuvent indiquer une infection. Recherchez également les portes dérobées, souvent appelées backdoors : elles permettent à un pirate de récupérer l’accès après un nettoyage superficiel. Si vous n’êtes pas certain de la légitimité d’un fichier, isolez-le dans une copie de travail plutôt que de le supprimer définitivement sans vérification.

Ce qu’il faut contrôler dans la base de données

Le code malveillant peut aussi être présent dans la base de données, notamment dans les options du site, les widgets, les contenus de pages, les comptes utilisateurs ou les tâches planifiées. Recherchez des scripts inconnus, des liens cachés et des adresses externes suspectes. Les pirates injectent parfois du JavaScript dans les champs de contenu ou dans les réglages de thème. Cette étape demande de la prudence : une mauvaise modification de base de données peut rendre le site inaccessible. Travaillez donc sur une sauvegarde ou faites intervenir un spécialiste si vous ne maîtrisez pas cet environnement.

Étape 5 : supprimer le code malveillant et réinstaller les composants fiables

Après l’analyse, supprimez les fichiers clairement identifiés comme infectés, les comptes inconnus, les extensions non utilisées et les thèmes abandonnés. Pour le cœur de WordPress, la méthode la plus fiable consiste à remplacer les fichiers système par une version officielle correspondant à votre version, sans écraser le fichier de configuration ni le dossier contenant vos médias. Téléchargez toujours WordPress, les thèmes et les extensions depuis leurs sources officielles ou depuis un fournisseur de confiance. N’installez jamais une extension premium obtenue gratuitement sur un site non autorisé : c’est un vecteur d’infection fréquent.

Réinstallez également les extensions et thèmes actifs depuis une source saine au lieu de tenter de corriger manuellement chaque fichier. Si vous utilisez un thème enfant ou des développements spécifiques, conservez une copie contrôlée de vos personnalisations avant de remplacer les composants. Supprimez les plugins dont vous n’avez plus l’usage : chaque extension inactive constitue une surface d’attaque potentielle si elle reste obsolète. Enfin, vérifiez le fichier de configuration WordPress, les règles de réécriture et les tâches planifiées afin de détecter une redirection persistante ou une exécution automatisée suspecte.

Étape 6 : mettre à jour WordPress et renforcer la protection du site

Une fois le nettoyage terminé, mettez à jour WordPress, toutes les extensions et le thème actif. Les mises à jour corrigent des vulnérabilités connues, ce qui limite le risque de réinfection par la même faille. Vérifiez avant chaque mise à jour que vous disposez d’une sauvegarde récente et testée. Activez les mises à jour automatiques lorsque cela est compatible avec votre site, au minimum pour les correctifs de sécurité. Sur une boutique ou un site complexe, prévoyez une procédure de test afin de préserver les fonctionnalités métier et l’expérience des visiteurs.

Installez un pare-feu applicatif et activez la surveillance des fichiers, notamment avec Wordfence ou Sucuri selon vos besoins. Configurez des alertes en cas de modification de fichiers, de connexion administrateur inhabituelle ou de tentative de force brute répétée. Demandez à votre hébergeur quelles protections sont incluses : isolation des comptes, sauvegardes, pare-feu, analyse antivirus et version de PHP maintenue. Une stratégie de sauvegardes régulières, conservées sur un emplacement distinct, reste indispensable. Idéalement, planifiez des sauvegardes quotidiennes pour une boutique et au moins hebdomadaires pour un site vitrine fréquemment mis à jour.

Étape 7 : vérifier le site, surveiller l’indexation et éviter une nouvelle infection

Après le nettoyage, testez méthodiquement le site sur ordinateur et mobile. Parcourez les pages importantes, envoyez un formulaire, réalisez un test de commande si vous exploitez un e-commerce, vérifiez les liens et contrôlez la connexion à l’espace d’administration. Consultez les outils de sécurité et les rapports de scan pour confirmer l’absence de fichiers suspects. Vérifiez aussi les résultats affichés par Google et les éventuelles alertes de sécurité. Si le moteur de recherche a signalé votre site, vous devrez parfois demander un réexamen une fois la désinfection terminée. Pour restaurer durablement votre visibilité après l’incident, un accompagnement SEO sur mesure peut également aider à surveiller l’indexation et les performances organiques.

La prévention est une action continue, pas une intervention ponctuelle. Mettez en place un calendrier mensuel : contrôle des mises à jour, vérification des sauvegardes, revue des comptes utilisateurs et lecture des alertes de sécurité. Limitez le nombre d’extensions, choisissez des solutions maintenues et désinstallez les composants inutiles. Pour les entreprises qui dépendent de leur visibilité locale ou de leurs demandes de devis en ligne, un site sécurisé protège aussi le référencement naturel, la réputation et la confiance des prospects. Une maintenance régulière coûte généralement bien moins cher qu’une indisponibilité ou une perte de données.

FAQ : les erreurs à éviter après un piratage WordPress

La première erreur consiste à restaurer une sauvegarde au hasard sans vérifier si elle précède réellement l’infection. Vous risquez de remettre en ligne le logiciel malveillant et de croire, à tort, que le problème est résolu. Une autre erreur fréquente est de changer seulement le mot de passe WordPress, alors que l’accès à l’hébergement, à la messagerie ou au compte de domaine reste compromis. Enfin, ne désactivez pas vos outils de sécurité juste parce qu’ils ralentissent une opération : leurs alertes peuvent précisément vous aider à repérer une persistance malveillante.

Évitez aussi de masquer le problème en installant uniquement une extension de sécurité sur un site encore infecté. Un pare-feu ne remplace pas un nettoyage complet des fichiers, de la base de données et des accès. Si vous manquez de temps, si votre boutique en ligne est bloquée ou si les alertes reviennent après vos actions, sollicitez une intervention spécialisée. Un service de dépannage et maintenance WordPress permet d’analyser l’origine de l’infection, de restaurer un environnement fiable et d’instaurer un suivi préventif adapté à votre activité. Agir rapidement limite les pertes de trafic, de chiffre d’affaires et de confiance.