Site WordPress piraté : que faire dans la première heure, puis comment le nettoyer

Comment savoir si votre site WordPress est piraté ?

Un piratage se voit rarement depuis le bureau de celui qui possède le site. Le code malveillant est écrit pour durer, donc pour ne pas se montrer à vous. Les signes qui reviennent le plus souvent sont les suivants.

• Vos visiteurs sont redirigés vers une fausse boutique, un faux jeu concours ou une page d’hameçonnage. Souvent seulement sur mobile, ou seulement quand ils arrivent depuis Google. Vous qui tapez l’adresse directement ne voyez rien.
• Google affiche des pages que vous n’avez jamais écrites. Tapez site:votre-domaine.fr dans Google. Des centaines de pages en japonais, des produits de marque à prix cassés ou des médicaments trahissent des pages ajoutées par l’attaquant.
• Un avertissement apparaît dans les résultats de recherche, ou en plein écran dans le navigateur, et la Search Console vous a envoyé un message de sécurité.
• Votre hébergeur a suspendu le site, souvent parce que le serveur envoie du spam par milliers. Vos propres e-mails arrivent alors dans les courriers indésirables de vos clients.
• Un administrateur inconnu figure dans la liste des utilisateurs de WordPress, ou un propriétaire inconnu dans la Search Console.
• Le site affiche autre chose que votre page d’accueil : un message de revendication, une page blanche, ou plus moyen de vous connecter.

Le rapport 2026 de Patchstack, mis à jour le 25 février 2026, décrit ce tri des visiteurs. Les familles de logiciels malveillants les plus répandues servent du spam aux robots des moteurs de recherche et redirigent les humains vers des arnaques. Le même rapport note que les propriétaires l’apprennent souvent par des plaintes de clients, une chute dans Google ou une mise sur liste noire.

Pour vérifier, faites comme un visiteur : un téléphone en 4G, la navigation privée, et une recherche Google qui mène à votre site. Un seul de ces signes suffit pour traiter le site comme compromis.

Que faire dans la première heure ?

Le premier réflexe est de tout effacer et de tout réinstaller. C’est le pire : on détruit les traces qui montrent par où l’attaquant est entré, et il revient par le même chemin. Voici les gestes dans l’ordre où ils comptent.

1. Notez ce que vous voyez, avec l’heure. Captures d’écran, adresses des pages suspectes, dernier changement fait sur le site : une extension ajoutée, une mise à jour, un accès donné à quelqu’un. Ces notes serviront à l’hébergeur, à celui qui nettoiera, à la CNIL et à une éventuelle plainte.
2. Copiez le site dans son état actuel. Fichiers et base de données, même infectés, rangés hors du serveur. C’est la preuve, et c’est dans cette copie qu’on retrouvera la porte d’entrée. La documentation officielle de WordPress le recommande aussi.
3. Protégez vos visiteurs. Si le site les redirige vers une arnaque ou s’il encaisse des paiements, mettez-le hors ligne sans attendre. Faites-le depuis l’espace de l’hébergeur, pas depuis WordPress, qui n’est plus sûr.
4. Changez les mots de passe depuis un ordinateur sain. Dans cet ordre : le compte chez l’hébergeur, les accès FTP ou SFTP, la base de données, chaque compte administrateur WordPress, puis la boîte e-mail qui reçoit les réinitialisations. Le mot de passe de la base se reporte dans le fichier wp-config.php, sinon le site ne s’affiche plus. Si votre ordinateur est lui-même infecté, l’attaquant lit les nouveaux mots de passe à mesure que vous les tapez : passez-le d’abord à l’antivirus.
5. Prévenez votre hébergeur. Il détient les journaux du serveur, qui disent souvent par où l’attaque est passée. Il sait aussi si d’autres sites du même compte sont touchés : sur un hébergement mutualisé, un vieux site oublié dans le même espace suffit à réinfecter le site principal.
6. Vérifiez si des données personnelles sont en jeu. Comptes clients, commandes, messages du formulaire de contact, liste d’abonnés. Si elles ont pu être lues ou copiées, le compte à rebours de la CNIL a commencé : j’y reviens plus bas.
7. Ne restaurez pas encore. Une sauvegarde remise en place sans que la porte d’entrée soit refermée sera piratée de nouveau. Google indique que 20 % des sites piratés le sont à nouveau dans la journée.

Ce qu’il ne faut pas faire Supprimer le site. Réinstaller WordPress depuis le tableau de bord, qui écrase souvent les fichiers existants sans supprimer ceux que l’attaquant a ajoutés. Accepter un nettoyage express qui ne cherche pas la cause. Demander tout de suite un examen à Google, avant que le site soit propre.

Par où l’attaquant est-il entré ?

C’est la question qui décide de tout. Tant qu’elle n’a pas de réponse, le nettoyage reste provisoire. Les portes d’entrée se rangent par ordre de fréquence.

• Une extension ou un thème avec une faille connue. Patchstack a recensé 11 334 nouvelles failles dans l’écosystème WordPress en 2025, 42 % de plus qu’en 2024. 91 % touchaient des extensions et 9 % des thèmes. Le cœur de WordPress n’en a compté que six, toutes de faible priorité.
• Une extension payante. Le même rapport compte trois fois plus de failles activement exploitées dans les extensions et thèmes payants que dans les gratuits. Une extension payante récupérée gratuitement sur un site de téléchargement est une porte d’entrée classique : personne ne sait ce qu’on y a ajouté.
• Un mot de passe faible ou réutilisé, ou le compte administrateur d’un ancien prestataire, d’un stagiaire ou d’un salarié parti, que personne n’a supprimé.
• Un poste de travail ou un accès FTP compromis. Un virus sur l’ordinateur qui garde les mots de passe FTP en mémoire ouvre le serveur sans passer par WordPress.
• Un autre site sur le même hébergement, comme vu plus haut.

La vitesse compte autant que la faille. Pour les failles les plus attaquées, Patchstack mesure cinq heures en médiane entre leur publication et les premières attaques de masse. Et 46 % des failles n’avaient pas encore de correctif au moment d’être rendues publiques. Les robots qui balaient le web ne vous ont pas choisi : ils essaient la faille sur tous les sites qui utilisent l’extension.

Pour trouver la bonne porte, on croise quatre sources.

• La liste des extensions et de leurs versions, comparée aux bases publiques de failles comme celles de Patchstack, Wordfence ou WPScan.
• Les journaux du serveur autour des premiers signes : des requêtes inhabituelles vers le fichier d’une extension, ou une connexion réussie à wp-login.php depuis un pays où vous n’avez personne.
• Les fichiers récemment modifiés, et surtout les fichiers PHP dans le dossier wp-content/uploads, où il ne devrait y avoir que des images et des documents.
• La liste des utilisateurs, avec leur date de création.

Comment nettoyer un site WordPress piraté ?

Deux chemins existent. Le premier est rapide et sûr, à condition d’avoir la bonne sauvegarde.

Restaurer une sauvegarde : choisir la bonne date

L’intrusion précède souvent de plusieurs jours les premiers symptômes. La dernière sauvegarde n’est donc pas forcément la bonne : il faut celle d’avant le premier fichier suspect ou la première requête anormale dans les journaux. C’est pourquoi une sauvegarde conservée trois jours chez l’hébergeur sauve rarement un site piraté, et pourquoi les miennes sont conservées trente jours.

Avant de remettre en ligne, on referme la porte : l’extension vulnérable est mise à jour ou supprimée, les mots de passe et les clés de sécurité sont changés une seconde fois. On ressaisit ensuite les contenus et les commandes arrivés depuis la date de la sauvegarde.

Nettoyer sans sauvegarde : les fichiers, puis la base

1. Réinstaller le cœur de WordPress en remplaçant les dossiers wp-admin et wp-includes par ceux d’une archive officielle, par FTP ou SFTP. Avec WP-CLI, la commande wp core verify-checksums compare les fichiers du cœur aux empreintes publiées par WordPress.org, et l’option --include-root signale aussi les fichiers inconnus à la racine.
2. Réinstaller chaque extension et le thème depuis leur source officielle, dans leur dernière version. La commande wp plugin verify-checksums --all contrôle les extensions publiées sur WordPress.org. Une extension achetée se retélécharge depuis le compte client de son éditeur, et un thème sur mesure se compare à la copie du développeur.
3. Chercher ce qui n’a rien à faire là. Les fichiers PHP du dossier des médias, le dossier mu-plugins, chaque fichier .htaccess, y compris dans les sous-dossiers, et les fichiers PHP récents ou anormalement lourds. Les fonctions qui servent à masquer du code, comme eval, base64_decode ou gzinflate, sont de bons indices.
4. Nettoyer la base de données : utilisateurs inconnus, scripts injectés dans les contenus et les widgets, adresse du site modifiée dans les réglages, tâches planifiées que vous n’avez pas créées.
5. Changer les clés de sécurité du fichier wp-config.php, avec le générateur de WordPress.org. Toutes les sessions ouvertes sont fermées, celle de l’attaquant comprise, et chacun doit se reconnecter. On change alors les mots de passe une dernière fois.

Quand l’infection revient toute seule Certains logiciels malveillants tournent dans la mémoire du serveur et réécrivent les fichiers index.php ou .htaccess dès qu’ils sont restaurés. Patchstack en décrit un exemple dans son rapport. Si un fichier nettoyé revient infecté dans les minutes qui suivent, demandez à l’hébergeur de redémarrer les processus PHP de votre compte.

Comment faire lever l’alerte de Google ?

Google signale les sites piratés dans ses résultats et dans les navigateurs. L’alerte ne part pas d’elle-même : il faut la faire lever depuis la Search Console, une fois le site propre sur toutes ses pages.

1. Ouvrez le rapport sur les problèmes de sécurité. Il classe le problème en contenu piraté, logiciel malveillant ou ingénierie sociale, et donne des exemples d’adresses touchées.
2. Retirez les propriétaires inconnus de la Search Console. Un attaquant s’ajoute parfois comme propriétaire pour modifier les sitemaps du site.
3. Faites disparaître les pages de spam. Les adresses créées par l’attaquant doivent répondre par une erreur 404 ou 410. Vérifiez qu’aucun sitemap inconnu n’est déclaré.
4. Contrôlez ce que voit Google avec l’outil d’inspection d’URL, puisque le code malveillant peut servir une page différente à ses robots.
5. Cliquez sur « Demander un examen » et décrivez les corrections effectuées.

Google annonce de quelques jours à quelques semaines selon le problème : environ une journée pour l’hameçonnage, quelques jours pour un logiciel malveillant, plusieurs semaines pour du spam, qui peut demander une vérification manuelle. Une fois le site jugé propre, les avertissements disparaissent sous 72 heures. N’envoyez pas de seconde demande avant la réponse à la première. Google prévient aussi qu’une demande envoyée avant que le problème soit réglé ralentit la suivante, et peut faire marquer le site comme récidiviste.

Faut-il prévenir la CNIL et porter plainte ?

Je ne suis pas juriste. Voici ce que disent les sources officielles, à vérifier pour votre cas.

La CNIL. Si des données personnelles ont pu être consultées, copiées, modifiées ou rendues indisponibles, et que cela présente un risque pour les personnes, le piratage est une violation de données. Elle se notifie à la CNIL en ligne, dans les meilleurs délais et si possible sous 72 heures, en vertu de l’article 33 du RGPD. La notification peut se faire en deux temps : une notification initiale dans le délai, complétée quand les informations arrivent. Un dépassement des 72 heures doit être justifié.

• En cas de risque élevé, les personnes concernées doivent aussi être prévenues, selon l’article 34 du RGPD.
• Dans tous les cas, même sans notification, l’incident se documente en interne : sa nature, les personnes et les données touchées, les conséquences probables et les mesures prises.
• Une boutique en ligne ou un site avec des comptes clients est presque toujours concerné. Un site vitrine dont le formulaire de contact garde les messages en base peut l’être aussi.

La plainte. Cybermalveillance.gouv.fr conseille de porter plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, avec les preuves conservées. Les notes et la copie de la première heure servent ici. Le service 17Cyber, proposé par la police, la gendarmerie et Cybermalveillance.gouv.fr, aide à qualifier l’attaque et guide les démarches.

Combien coûte la remise en état ?

Le prix dépend presque entièrement d’une chose : l’existence d’une sauvegarde saine.

• Avec un forfait de maintenance et une sauvegarde saine, la restauration est généralement comprise et tient en moins d’une heure. C’est le cas de mes forfaits.
• Sans sauvegarde exploitable, le nettoyage se chiffre en journées : de l’ordre de 800 à 3 000 € HT. L’écart tient à la taille du site, au nombre de sites sur l’hébergement et à l’ancienneté de l’infection. Ce sont des ordres de grandeur, pas un devis.
• Ce qui ne se facture pas pèse parfois plus lourd : les demandes de contact perdues, le recul dans Google pendant l’alerte, et un nom de domaine dont les e-mails partent en courrier indésirable.

Je facture ce travail au temps passé, sur la base de 450 € HT la journée, avec ou sans forfait. Méfiez-vous d’un prix forfaitaire annoncé avant que quiconque ait ouvert le site. Posez une seule question : la porte d’entrée sera-t-elle cherchée et refermée ? Si la réponse est floue, vous payez une restauration, pas un nettoyage.

Comment éviter que cela recommence ?

Un site nettoyé n’est pas plus résistant qu’avant. Ce qui l’a rendu vulnérable doit changer.

• Des mises à jour régulières et testées. Le cœur de WordPress, le thème et chaque extension, d’abord sur une copie du site. C’est le socle de tout forfait de maintenance.
• Moins d’extensions. Supprimez celles qui ne servent plus : désactivée ne veut pas dire inoffensive. Remplacez celles que leur éditeur ne met plus à jour.
• Aucune extension payante d’origine douteuse. Achetez-la chez son éditeur, ou passez-vous-en.
• Un compte par personne, la double authentification pour les administrateurs, et la suppression des comptes des anciens prestataires dès la fin de leur mission.
• Des sauvegardes quotidiennes, stockées hors du serveur et conservées trente jours, parce qu’une infection se découvre souvent après plusieurs jours.
• Une version de PHP encore maintenue. PHP 8.2 ne reçoit plus de correctif de sécurité après le 31 décembre 2026 : vérifiez celle de votre hébergement.
• Une surveillance des fichiers modifiés et de la disponibilité, et un site déclaré dans la Search Console pour recevoir ses alertes.

Ne comptez pas sur la seule protection de l’hébergeur. Dans un test mené par Patchstack, les défenses classiques des hébergeurs n’ont bloqué que 12 % des attaques visant des failles propres à WordPress.

À retenir

• Dans la première heure : noter, copier le site tel quel, protéger les visiteurs, changer les mots de passe depuis un ordinateur sain, prévenir l’hébergeur.
• Ne rien supprimer et ne rien restaurer avant d’avoir trouvé la porte d’entrée, presque toujours une extension ou un thème.
• Une sauvegarde ne sauve le site que si elle date d’avant l’intrusion, d’où l’intérêt de la garder trente jours.
• Sans sauvegarde, réinstaller le cœur, les extensions et le thème depuis leurs fichiers officiels, puis nettoyer la base et changer les clés de sécurité.
• Si des données de clients sont touchées, notifier la CNIL si possible sous 72 heures, et documenter l’incident dans tous les cas.
• L’alerte de Google se lève depuis la Search Console, une fois le site propre, en une seule demande d’examen.
• La prévention coûte moins cher que le nettoyage : mises à jour testées, peu d’extensions, comptes nominatifs et sauvegardes externalisées.