Nettoyer malware WordPress : la méthode complète, des fichiers à la base

Nettoyer malware WordPress ne se résume pas à lancer un scanner puis à effacer les fichiers signalés. Un code malveillant laisse presque toujours plusieurs portes de retour : un fichier PHP caché dans les médias, une règle ajoutée au .htaccess, un compte administrateur inconnu ou une tâche planifiée qui réinstalle tout pendant la nuit.

L’agence Référenceur aide les dirigeants de PME de toute la Suisse romande à mener ce nettoyage méthodique à distance, de l’inventaire des fichiers jusqu’à la remise en service sécurisée. Ce guide décrit la méthode, ce que vous pouvez vérifier vous-même et ce qu’il vaut mieux confier à votre hébergeur ou à un prestataire.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse avec notre outil ci-dessous.

Si vous découvrez le piratage à l’instant, lisez d’abord nos premiers gestes quand un site WordPress est piraté. Pour la vue d’ensemble des risques et des protections, notre guide de la sécurité WordPress sert de point de départ.

Avant de supprimer virus WordPress : figer la situation

L’erreur la plus fréquente consiste à supprimer virus WordPress et preuves en même temps. Commencez par une copie complète des fichiers et de la base de données, stockée hors du serveur et clairement marquée « infectée ». Elle servira à comprendre l’attaque, jamais à restaurer le site.

Demandez ensuite à votre hébergeur les journaux d’accès et les journaux FTP ou SSH des dernières semaines. Ils permettent souvent de dater l’intrusion et d’identifier la faille : extension vulnérable, mot de passe réutilisé, accès d’un ancien prestataire.

Changez tous les mots de passe (hébergement, FTP/SFTP, base de données, comptes WordPress, messagerie liée) depuis un ordinateur sain. Si le site traite des données de clients, gardez en tête l’obligation d’annonce au PFPDT prévue par la nLPD en cas de risque élevé, et faites-vous conseiller sur ce point.

Contrôler le cœur et les extensions avec WP-CLI

Si votre hébergement propose un accès SSH, WP-CLI, l’outil officiel en ligne de commande de WordPress, permet un premier diagnostic fiable. La commande de vérification du cœur télécharge les sommes de contrôle MD5 de votre version depuis WordPress.org et les compare aux fichiers installés, comme l’explique la documentation officielle de WP-CLI.

wp core verify-checksums --include-root
wp plugin verify-checksums --all
wp user list --role=administrator
wp cron event list

L’option --include-root signale en plus les éléments étrangers à WordPress placés à la racine. La vérification des extensions s’appuie sur les sommes publiées par WordPress.org : une extension premium achetée ailleurs ne peut pas être contrôlée ainsi et doit être retéléchargée chez son éditeur.

Les deux dernières commandes listent les comptes administrateurs et les tâches planifiées. Un administrateur que personne ne connaît ou un « hook » au nom aléatoire sont des signaux à traiter avant toute réinstallation.

Les cachettes classiques : uploads, .htaccess, wp-config.php et mu-plugins

Les vérifications de sommes ne couvrent ni les médias, ni la configuration, ni les extensions « must-use ». C’est précisément là que se logent les portes dérobées les plus tenaces.

Emplacement	Ce qu’on y trouve souvent	Comment vérifier
wp-content/uploads	Fichiers PHP déguisés en images ou en caches	Rechercher tout fichier .php : il n’a rien à faire là
Fichiers .htaccess (tous)	Règles de réécriture vers un script ou un autre domaine	Comparer au bloc WordPress par défaut, dossier par dossier
wp-config.php	Inclusion d’un fichier externe, code ajouté en tête	Relire ligne par ligne, garder uniquement les réglages connus
wp-content/mu-plugins	Extension invisible dans la liste habituelle	Ouvrir le dossier et identifier chaque fichier
Thème et thème enfant	Code ajouté dans functions.php, header.php ou 404.php	Comparer à la version d’origine de l’éditeur
Tâches cron	Événement qui recrée le malware	Lister les événements et supprimer les inconnus

find wp-content/uploads -name "*.php"

Les extensions placées dans wp-content/mu-plugins s’activent automatiquement, ne peuvent pas être désactivées depuis l’administration et n’affichent aucune notification de mise à jour, selon la documentation WordPress. Elles sont donc idéales pour un attaquant qui veut rester discret.

Dans tous ces fichiers, Google recommande de repérer les longs blocs de texte illisible précédés de fonctions comme base64_decode, eval ou gzinflate. Ces fonctions ont aussi des usages légitimes : en cas de doute, on isole le fichier plutôt que de le supprimer à l’aveugle.

La base de données : options, contenus injectés et comptes fantômes

Une base infectée peut réinjecter le code même après une réinstallation parfaite des fichiers. Commencez par la table wp_options : les valeurs siteurl et home doivent pointer vers votre domaine, et aucune option ne doit contenir de balise script vers un domaine inconnu.

Recherchez ensuite dans wp_posts les balises script, iframe ou les liens vers des sites de pharmacie, de casino ou en caractères japonais. Si des centaines de pages de ce type sont apparues, il faudra aussi les faire sortir de l’index de Google une fois le nettoyage terminé.

Côté utilisateurs, supprimez les comptes inconnus après avoir noté leur date de création, utile pour reconstituer la chronologie. La marche à suivre complète figure dans notre page sur un compte administrateur WordPress piraté.

Réinstallation propre et rotation des clés de sécurité

Une fois l’inventaire terminé, la réinstallation propre remplace les fichiers plutôt que de les réparer un à un. L’ordre compte, car chaque étape s’appuie sur la précédente.

1. Cœur WordPress : remplacez wp-admin et wp-includes par une copie téléchargée sur WordPress.org, dans la même version.
2. Extensions : supprimez chaque dossier puis réinstallez depuis WordPress.org ou l’éditeur. Jamais de version « nulled » ou piratée.
3. Thème : réinstallez le thème parent d’origine et relisez le thème enfant fichier par fichier.
4. Inutile : retirez extensions et thèmes désactivés, anciennes copies du site et fichiers d’installation oubliés.
5. Clés de sécurité : régénérez les salts de wp-config.php, par exemple avec wp config shuffle-salts, ce qui invalide les sessions ouvertes, y compris celle de l’intrus.
6. Contrôle final : relancez les vérifications WP-CLI, puis testez le site en navigation privée et sur mobile.

Prévenez vos collaborateurs : après la rotation des clés, tout le monde doit se reconnecter. Certaines extensions reliées à des services externes peuvent aussi demander une nouvelle connexion.

Si le site est trop ancien ou trop modifié pour être réinstallé proprement, une refonte peut coûter moins d’efforts qu’un nettoyage répété. C’est une décision à prendre avec votre prestataire, après le diagnostic.

Après le nettoyage : mises à jour, sauvegardes et surveillance

Un site nettoyé mais toujours exposé à la même faille sera à nouveau compromis. La mise à jour du cœur, des extensions, du thème et de la version de PHP vient en premier ; notre article sur la version PHP d’un site WordPress explique pourquoi cette dernière compte autant.

Ajoutez ensuite les mesures de sécurisation de base : authentification à deux facteurs pour les administrateurs, désactivation de l’éditeur de fichiers avec define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php, blocage de l’exécution PHP dans les médias à demander à l’hébergeur. Les autres réglages sont réunis dans notre guide de durcissement de WordPress.

Enfin, mettez en place des sauvegardes régulières, conservées hors du serveur et testées par une restauration, comme le décrit notre page sur la sauvegarde WordPress. Si Google affichait un avertissement, vérifiez le rapport « Problèmes de sécurité » de la Search Console et demandez un examen seulement quand tout est propre.

Un nettoyage piloté en visioconférence

Référenceur n’a pas besoin d’être dans vos locaux pour intervenir : tout se fait par visioconférence et accès délégués. Un premier appel permet de cadrer la situation, de lister les accès nécessaires et de décider ensemble de ce qui doit être conservé comme preuve.

Le nettoyage se déroule ensuite en partage d’écran quand vous souhaitez suivre les étapes, ou de manière autonome avec des accès temporaires que vous révoquez à la fin. Vous recevez un compte rendu clair des fichiers retirés, des comptes supprimés et de la faille probable.

Une courte formation enregistrée montre à votre équipe les bons réflexes, puis un point mensuel peut suivre les mises à jour et les sauvegardes. Que votre entreprise soit à Lausanne, à Sion, à Fribourg, à Neuchâtel ou à Carouge, la démarche est identique. Les détails de l’intervention figurent sur notre page site WordPress piraté.

Nettoyer malware WordPress : vos questions

Puis-je simplement restaurer ma dernière sauvegarde ?

Seulement si vous êtes certain qu’elle date d’avant l’intrusion, ce qui est rarement le cas : un malware peut rester discret pendant des semaines. Restaurer une copie déjà infectée remet la porte dérobée en place. Même avec une sauvegarde saine, il faut corriger la faille et changer les accès, sinon le même attaquant reviendra par le même chemin ; gardez la copie infectée à part, pour l’analyse.

Mon hébergeur suisse peut-il nettoyer le site à ma place ?

Certains hébergeurs proposent une analyse ou suspendent le site pour protéger leurs autres clients, mais le contenu de WordPress reste généralement sous votre responsabilité. Demandez-leur au minimum les journaux d’accès, une sauvegarde au niveau du serveur et la liste des fichiers modifiés récemment. Pour nettoyer malware WordPress en profondeur, ces éléments font gagner beaucoup de précision.

Un scanner de sécurité suffit-il à supprimer virus WordPress ?

Un scanner de fichiers est utile pour repérer des signatures connues, mais il ne voit pas tout : code nouveau, contenu injecté dans la base, compte administrateur légitime en apparence. Pour supprimer virus WordPress durablement, combinez scanner, vérification des sommes de contrôle, relecture des emplacements sensibles et réinstallation propre. Le scanner devient ensuite un outil de surveillance.

Faut-il annoncer le piratage au PFPDT ?

La nLPD impose au responsable du traitement d’annoncer au PFPDT, dans les meilleurs délais, une violation de la sécurité des données qui entraîne vraisemblablement un risque élevé pour les personnes concernées. Tout dépend donc des données exposées : formulaires, comptes clients, commandes. Ce n’est pas un conseil juridique ; référez-vous aux indications publiées par le PFPDT.

Où signaler une cyberattaque en Suisse ?

L’Office fédéral de la cybersécurité (OFCS) met à disposition un formulaire de signalement en ligne pour les incidents. Le signalement aide les autorités à suivre les campagnes en cours et vous oriente vers des premières mesures. En cas d’escroquerie ou de dommage financier, une plainte auprès de la police cantonale reste une démarche distincte, à envisager selon la situation.

Pourquoi le malware revient-il après chaque nettoyage ?

Dans la plupart des cas, une porte dérobée a survécu : fichier PHP dans les médias, extension must-use, tâche cron, compte administrateur ou mot de passe FTP inchangé. Il arrive aussi que la faille d’origine, souvent une extension non mise à jour, n’ait pas été corrigée. Pour nettoyer malware WordPress sans récidive, l’inventaire doit être complet avant la réinstallation.

Que faire si plusieurs sites partagent le même hébergement ?

Traitez-les comme un seul incident. Un malware se propage facilement d’un site à l’autre quand ils partagent le même compte d’hébergement, et nettoyer un seul site ne sert à rien si le voisin reste infecté. Supprimez les installations oubliées, nettoyez les autres en parallèle et changez les mots de passe de chaque base de données.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité de votre site WordPress :

Votre site WordPress est infecté ou vous avez un doute ? Réservez un appel visio de 20 minutes : nous examinons ensemble les symptômes, les accès disponibles et la méthode de nettoyage adaptée à votre site.