0498 70 98 60Site WordPress piraté que faire : le plan d’urgence en 8 étapes
Une publicité douteuse s’affiche sur votre page d’accueil, Google signale votre domaine ou votre hébergeur vient de suspendre le compte. Site WordPress piraté que faire en premier ? Ce plan d’urgence vous guide pas à pas durant les premières 24 heures, sans aggraver la situation.
L’agence Référenceur intervient à distance auprès des entreprises romandes dont le site a été compromis : nous posons le diagnostic avec vous, puis nous vous aidons à réparer un site WordPress piraté et à refermer la porte utilisée par l’attaquant.
Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse avec notre outil ci-dessous.
Cette page complète notre guide de la sécurité WordPress. Pour confier directement l’intervention, consultez la page réparation de site WordPress piraté.
Les erreurs qui compliquent la réparation
Avant de répondre à la question « site WordPress piraté que faire », voici ce qu’il faut éviter. Le premier réflexe est souvent de tout effacer ou de restaurer la dernière sauvegarde disponible : vous détruisez alors les traces qui permettraient de comprendre l’attaque, et cette sauvegarde contient peut-être déjà le code malveillant.
Autres pièges fréquents : réinstaller une extension « nulled » trouvée sur un site de téléchargement, supprimer le seul fichier visible en laissant la porte dérobée, ou demander à Google un réexamen avant que le site soit réellement propre. Selon la documentation de Google, une demande prématurée prolonge la période pendant laquelle le site reste signalé.
Enfin, ne répondez jamais à un éventuel message de l’attaquant et n’envoyez pas vos mots de passe par e-mail à un prestataire : créez-lui des accès dédiés et temporaires, que vous supprimerez ensuite.
Site WordPress piraté que faire : les 8 étapes des premières 24 heures
- Gardez votre calme et documentez. Notez l’heure de la découverte, les pages concernées et faites des captures d’écran, y compris depuis un mobile et depuis un résultat Google : certaines redirections ne visent que ces visiteurs.
- Passez en mode maintenance. Une page de maintenance protège vos visiteurs ; si l’administration n’est plus fiable, demandez à l’hébergeur de bloquer temporairement l’accès public.
- Prévenez votre hébergeur. Il peut consulter les journaux d’accès, vérifier si d’autres sites du même compte sont touchés et vous indiquer les sauvegardes qu’il conserve.
- Copiez l’état infecté. Récupérez les fichiers et exportez la base de données telles quelles, dans un dossier séparé et clairement nommé. Cette copie sert de preuve et d’objet d’analyse ; elle ne doit jamais être restaurée.
- Changez tous les accès. Hébergement, messagerie, SFTP, base de données, comptes WordPress : le détail figure dans le tableau ci-dessous.
- Identifiez la porte d’entrée. Extension vulnérable, mot de passe volé, compte oublié : sans réponse à cette question, la réinfection est probable.
- Nettoyez ou restaurez. Soit un nettoyage complet, soit une sauvegarde antérieure à l’intrusion, suivie immédiatement des mises à jour.
- Sécurisez et surveillez. Double authentification, extensions à jour, contrôle de la Search Console et nouvelle vérification des fichiers dans les jours qui suivent.
Toutes ces étapes ne tiennent pas forcément en une journée, mais les cinq premières doivent être faites au plus vite : elles limitent les dégâts pendant que vous cherchez la cause. C’est la réponse la plus sûre à la question « site WordPress piraté que faire ».
Changer tous les accès, dans le bon ordre
Commencez par les accès qui permettent de reprendre la main sur tous les autres : l’espace client de l’hébergeur et la boîte e-mail qui reçoit les liens de réinitialisation. Faites-le depuis un appareil que vous savez sain.
| Accès | Où le modifier | Point d’attention |
|---|---|---|
| Espace client de l’hébergeur | Interface de l’hébergeur | Activez la double authentification si elle est proposée |
| Messagerie de l’administrateur | Fournisseur de messagerie | Contrôlez les règles de transfert ajoutées à votre insu |
| SFTP et SSH | Panneau de l’hébergeur | Supprimez les comptes FTP que vous ne reconnaissez pas |
| Base de données | Panneau de l’hébergeur | Reportez le nouveau mot de passe dans DB_PASSWORD de wp-config.php |
| Comptes WordPress | Menu Utilisateurs de l’administration | Notez puis retirez les administrateurs inconnus, changez tous les mots de passe |
| Clés de sécurité (salts) | Fichier wp-config.php | De nouvelles clés déconnectent toutes les sessions ouvertes |
Les nouvelles clés peuvent être générées par le service officiel de WordPress.org. Choisissez des mots de passe uniques et longs, conservés dans un gestionnaire de mots de passe plutôt que dans un fichier ou un e-mail.
Identifier la porte d’entrée
Sans la cause, vous ne traitez qu’un symptôme. Avec WP-CLI, l’outil en ligne de commande officiel de WordPress, quelques commandes lancées par SSH donnent une première image de l’installation :
wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator
wp cron event list
find wp-content/uploads -name "*.php"La première compare les fichiers du cœur aux sommes de contrôle de WordPress.org ; la deuxième fait de même pour les extensions du répertoire officiel. La troisième liste les administrateurs, la quatrième les tâches planifiées, et la dernière cherche des fichiers PHP dans le dossier des médias, où ils n’ont normalement rien à faire.
Croisez ensuite ces résultats avec les journaux d’accès du serveur et la date de la dernière mise à jour de chaque extension. Un administrateur inconnu mérite une analyse spécifique, décrite dans notre guide compte admin WordPress piraté.
Réparer un site WordPress piraté : nettoyer ou restaurer ?
Deux voies existent. La restauration est rapide si vous disposez d’une sauvegarde antérieure à l’intrusion et si vous connaissez la faille ; sinon, vous remettez en ligne un site qui sera compromis par le même chemin. Notre guide sauvegarde WordPress explique comment choisir le bon point de restauration.
Le nettoyage s’impose lorsque la date de l’intrusion est inconnue ou que les sauvegardes manquent. Il consiste à réinstaller le cœur et les extensions depuis leurs sources officielles, à inspecter le thème, les fichiers de configuration et la base de données, puis à supprimer chaque élément injecté. La méthode complète figure dans l’article nettoyer un malware WordPress.
Lorsque le site repose sur un thème abandonné et des extensions qui ne sont plus maintenues, réparer un site WordPress piraté revient parfois à repousser le problème. Une refonte sur une base saine mérite alors d’être étudiée.
Une fois le site propre : mises à jour, signalements, surveillance
Mettez à jour le cœur, les thèmes et les extensions, et vérifiez que la version de PHP est encore supportée. Supprimez tout ce qui ne sert pas, puis appliquez les mesures de base de la documentation officielle Hardening WordPress, comme la désactivation de l’éditeur de fichiers.
Si Google a signalé le site, ouvrez le rapport « Problèmes de sécurité » de la Search Console, corrigez toutes les URL mentionnées, puis demandez un réexamen en expliquant précisément ce qui a été fait. Selon l’aide de Google, l’examen peut prendre de quelques jours à quelques semaines.
Vous pouvez aussi signaler l’incident à l’Office fédéral de la cybersécurité (OFCS) via son formulaire en ligne ; une plainte pénale relève, elle, de la police cantonale. Si des données personnelles ont pu être consultées, lisez notre guide fuite de données et nLPD.
Un diagnostic en visioconférence, où que vous soyez
Un site compromis se répare sur le serveur, pas dans vos locaux. Nous travaillons donc entièrement en visioconférence : un premier appel avec partage d’écran pour constater les symptômes, la mise en place d’accès temporaires, l’intervention, puis une restitution enregistrée.
Cette organisation vous permet de suivre chaque étape et de garder une trace de ce qui a été fait. Nous accompagnons ainsi des sites à Carouge, Yverdon-les-Bains, Martigny et Delémont, entre autres.
Site WordPress piraté que faire : vos questions
Dois-je supprimer le site pour stopper l’attaque ?
Non, la suppression efface les preuves et complique l’analyse. Mettez plutôt le site en mode maintenance ou demandez à votre hébergeur d’en bloquer l’accès public. Conservez une copie complète de l’état infecté, puis travaillez sur la cause : un site supprimé sans comprendre l’intrusion risque d’être compromis de la même façon une fois remis en ligne.
Puis-je simplement restaurer la sauvegarde d’hier ?
Seulement si vous êtes certain qu’elle précède l’intrusion et si la faille est corrigée. Beaucoup d’attaques restent discrètes pendant des semaines : la sauvegarde d’hier peut déjà contenir la porte dérobée. Comparez plusieurs sauvegardes, vérifiez les dates de modification des fichiers et mettez tout à jour juste après la restauration.
Mon hébergeur a suspendu le site : comment réagir ?
Contactez-le pour connaître la raison exacte, les fichiers signalés et les conditions de réactivation du compte. Demandez-lui aussi les journaux d’accès et la liste des sauvegardes disponibles : ces éléments sont précieux pour dater l’intrusion et identifier la porte d’entrée. Ne recréez pas le site chez un autre hébergeur avant d’avoir trouvé la cause.
Faut-il prévenir mes clients ?
Si des données personnelles ont pu être consultées, la nLPD peut imposer d’informer les personnes concernées, notamment lorsqu’elles doivent agir elles-mêmes, par exemple en changeant un mot de passe. L’annonce au PFPDT est requise lorsque la violation est susceptible d’entraîner un risque élevé. Pour votre situation précise, référez-vous aux indications du PFPDT ou à un juriste.
Combien de temps faut-il pour réparer un site WordPress piraté ?
Cela dépend de l’étendue de l’infection, de l’existence de sauvegardes saines et de la complexité du site. Un site vitrine simple avec une bonne sauvegarde se traite plus facilement qu’une boutique infectée depuis des mois. Pour réparer un site WordPress piraté durablement, le temps passé à trouver la cause compte autant que le nettoyage.
Google affiche un avertissement : quand disparaîtra-t-il ?
Après le nettoyage, demandez un réexamen depuis le rapport « Problèmes de sécurité » de la Search Console. Google indique qu’un examen peut prendre de quelques jours à quelques semaines. N’envoyez pas de nouvelle demande tant que la précédente est en cours : selon Google, cela peut rallonger l’examen suivant.
Que dois-je exiger de mon prestataire après l’intervention ?
Un rapport écrit qui précise la porte d’entrée identifiée, les fichiers et comptes supprimés, les mises à jour effectuées et les mesures ajoutées. Demandez aussi qui surveille le site ensuite et comment. Sans ce document, vous ne savez pas si la cause a été traitée ou seulement le symptôme visible.
Un doute sur l’état de votre site ? Lancez une analyse de sécurité de votre site WordPress :
Votre site WordPress vient d’être piraté ? Réservez un appel visio de diagnostic : nous examinons les symptômes avec vous et définissons ensemble les premières actions à mener.