Site WordPress piraté : que faire dans les premières heures ?

Votre site WordPress est piraté ? Dans les premières heures, l’objectif n’est pas de tout réparer, mais de contenir l’attaque sans détruire ce qui permettra de la comprendre. Mettez d’abord le site hors ligne sans rien supprimer, copiez-le tel qu’il est (fichiers, base de données, journaux du serveur), puis changez tous les mots de passe depuis un ordinateur sain. Prévenez votre hébergeur, déposez plainte — dans les 72 heures si vous comptez sur votre assurance — et notifiez la CNIL si des données personnelles ont pu être touchées. Ensuite seulement viennent l’enquête, le nettoyage, la levée des alertes de Google et la sécurisation.

Ce guide suit cet ordre, sources officielles à l’appui, et complète nos guides pour garder un site sûr et durable.

Les signes d’un site WordPress piraté

Google le rappelle : un piratage est souvent invisible pour l’utilisateur. Certains pirates vous montrent une page normale et réservent à Google des pages de spam : c’est la dissimulation, ou cloaking. Voici les signes que recensent Google et la FAQ de WordPress sur les sites piratés, en anglais ; un seul suffit pour passer à l’étape suivante :

• Un avertissement dans Google, comme « Il est possible que ce site ait été piraté » sous votre site dans les résultats, ou une page d’alerte du navigateur avant l’ouverture du site.
• Un message de la Search Console, ou des exemples d’URL dans son rapport « Problèmes de sécurité ».
• Des pages que vous n’avez jamais écrites dans une recherche site:votredomaine.fr : médicaments, casino, texte en japonais ou sans queue ni tête.
• Des redirections : vos visiteurs atterrissent sur un autre site.
• Un compte administrateur inconnu, une extension que personne n’a installée, des contenus modifiés.
• Un site suspendu par l’hébergeur, ou signalé par l’antivirus de vos visiteurs.
• Des e-mails refusés ou classés en spam : un site détourné pour envoyer du spam peut faire inscrire l’adresse IP du serveur sur des listes noires.

Pour vérifier, n’ouvrez pas dans votre navigateur une page signalée comme dangereuse : elle pourrait infecter votre ordinateur, prévient Google. L’outil d’inspection d’URL de la Search Console la montre telle que Google la voit, cloaking compris.

Les premières heures : contenir sans effacer les traces

Tout supprimer et restaurer une sauvegarde : ce réflexe naturel efface les indices de l’intrusion et laisse la porte ouverte au pirate. Voici l’ordre que nous suivons.

1. Ouvrez un carnet de bord. Notez ce que vous constatez, l’heure de la découverte et ce qui a changé récemment : extension installée, thème modifié, nouvel utilisateur. La documentation de WordPress en fait la première étape ; c’est aussi la base de votre plainte.
2. Mettez le site hors ligne, sans rien supprimer. Google conseille d’arrêter le serveur web, ou d’afficher une page de maintenance renvoyant un code 503 depuis un autre serveur, ce que votre hébergeur peut mettre en place : une extension de maintenance, elle, tournerait sur le site compromis. Un blocage dans le robots.txt ne protège pas vos visiteurs (guide de Google pour mettre un site en quarantaine, en anglais).
3. Copiez tout avant de nettoyer. Copiez les fichiers et la base de données du site, même infectés, demandez à l’hébergeur les journaux du serveur et faites des captures d’écran des alertes reçues. Étiquetez cette copie « infectée » et rangez-la hors du serveur.
4. Changez tous les mots de passe, depuis un poste sain. Hébergement, FTP ou SFTP, base de données (à reporter dans wp-config.php), comptes WordPress de chaque utilisateur, et par prudence messagerie et nom de domaine. Analysez d’abord avec un antivirus l’ordinateur qui sert à administrer le site : un logiciel espion peut y avoir capturé vos identifiants.
5. Déconnectez tout le monde. Remplacez les clés de sécurité du fichier wp-config.php par un nouveau jeu tiré du générateur officiel de WordPress : toutes les sessions sont fermées, celle du pirate comprise.
6. Faites le tri dans les comptes. Relevez le nom des comptes inconnus, utile à l’enquête, puis supprimez-les.

Qui prévenir, et dans quels délais

Le piratage d’un site est un délit, puni par les articles 323-1 et suivants du Code pénal, rappelle la fiche réflexe de Cybermalveillance.gouv.fr sur la défiguration de site.

Porter plainte, même pour une attaque qui semble mineure

La plainte se dépose au commissariat, à la gendarmerie ou par courrier au procureur de la République ; envoyé en recommandé avec accusé de réception, ce courrier date votre démarche. Si un contrat d’assurance couvre vos pertes liées à une cyberattaque, la plainte conditionne l’indemnisation : pour les entreprises, les associations et les professionnels, l’article L12-10-1 du Code des assurances exige une plainte au plus tard 72 heures après la connaissance de l’atteinte. Même sans assurance, la plainte reste recommandée.

17Cyber, le service en ligne de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, vous guide 24 h/24 et 7 j/7 : un diagnostic, puis, si la menace le nécessite, un tchat avec un policier ou un gendarme. Ce tchat ne remplace pas la plainte. Les associations, PME, ETI et certaines collectivités qui ont un établissement en Pays de la Loire peuvent aussi appeler à toute heure Pays de la Loire Cyber Assistance, le centre régional de réponse aux incidents soutenu par l’ANSSI, au 0800 100 200 : il intervient en urgence et oriente vers des prestataires labellisés.

Notifier la CNIL si des données personnelles sont en jeu

Formulaire de contact, comptes clients, commandes : si le pirate a pu consulter, modifier ou rendre indisponibles ces données, c’est une violation de données au sens du RGPD. Si elle présente un risque pour les personnes, notifiez-la à la CNIL, si possible sous 72 heures, quitte à compléter ensuite ; si le risque est élevé, prévenez aussi les personnes concernées (explications de la CNIL). Toute violation se documente aussi en interne, même sans notification. La plainte ne dispense pas de notifier la CNIL : les deux démarches sont indépendantes.

Trouver la porte d’entrée

Tant que la faille reste ouverte, le nettoyage ne tient pas. Voici les portes d’entrée que citent les guides de Google, de WordPress et de Cybermalveillance.gouv.fr :

• un logiciel pas à jour — WordPress, thème ou extension — touché par une faille connue, y compris une extension désactivée mais toujours installée ;
• un mot de passe faible, réutilisé ou volé, sur l’ordinateur infecté d’un administrateur ou par un faux e-mail (hameçonnage) ;
• une extension téléchargée hors des sources officielles, comme la copie « gratuite » d’une extension payante ;
• un autre site infecté sur le même hébergement mutualisé, d’où l’infection peut se propager ;
• une erreur de configuration : compte ou mot de passe par défaut, réglage trop permissif.

Pour la localiser, croisez les indices :

• Les journaux du serveur : tentatives de connexion répétées sur un compte administrateur, requêtes vers des fichiers inhabituels. La date des premiers signes suspects dira quelles sauvegardes précèdent l’intrusion, même si un pirate peut aussi retoucher ces journaux.
• Les fichiers : .htaccess, index.php, header.php, footer.php et functions.php, que WordPress cite parmi les plus visés, et tout fichier PHP dans wp-content/uploads, le dossier des médias. La commande WP-CLI wp core verify-checksums signale les fichiers de WordPress modifiés par rapport aux empreintes officielles.
• La base de données : scripts ou cadres (iframe) glissés dans les contenus, utilisateurs créés à votre insu.
• La Search Console : la liste des propriétaires du site, où un intrus s’ajoute parfois pour manipuler vos réglages, explique Google : retirez-lui l’accès et supprimez ce qui lui a servi à valider le site, souvent un fichier HTML.

Cette enquête demande du métier : après un piratage, notre audit de sécurité de site web commence par ce diagnostic — porte d’entrée, dégâts, données touchées —, qui permet de chiffrer la remise en état.

Nettoyer ou restaurer : choisir la bonne méthode

Tout dépend de vos sauvegardes. Une sauvegarde n’est utilisable que si elle date d’avant l’intrusion, et non d’avant sa découverte, qui peut survenir bien plus tard. Google distingue trois cas (conseils de Google pour nettoyer un site, en anglais).

Pour nettoyer, WordPress et Google recommandent de :

1. réinstaller le cœur de WordPress dans la même version, en remplaçant par SFTP les dossiers wp-admin et wp-includes : l’option de réinstallation de l’administration ne fait souvent qu’écraser les fichiers existants, alors qu’un piratage en ajoute fréquemment de nouveaux ;
2. remplacer extensions et thème par des copies saines, téléchargées à la source, et supprimer ce qui ne sert plus ;
3. passer en revue le reste de wp-content, le .htaccess et la base de données ;
4. une fois le site sain, tout mettre à jour et changer de nouveau les mots de passe.

Les pages de spam créées par le pirate doivent renvoyer une erreur 404 : elles sortiront de l’index au fil des passages de Google. L’outil de suppression de la Search Console peut accélérer leur retrait s’il y en a peu, mais il ne doit jamais servir pour vos pages légitimes, même abîmées. Son blocage ne dure qu’environ six mois : la 404 doit rester en place.

Faire lever les alertes de Google et des navigateurs

Les avertissements ne disparaissent pas d’eux-mêmes. Une fois le site nettoyé, la faille corrigée et le site remis en ligne, vérifiez que vos pages clés s’affichent proprement et restent explorables par Googlebot : ni mot de passe, ni noindex, ni blocage dans le robots.txt.

Ouvrez ensuite le rapport « Problèmes de sécurité » de la Search Console et vérifiez chaque exemple d’URL, sans vous y limiter : la liste n’est pas exhaustive. Cliquez alors sur « Demander un examen » en décrivant vos corrections (aide de la Search Console). Attendez la réponse avant toute nouvelle demande : une demande envoyée alors que le problème persiste ralentit le traitement de la suivante.

L’examen prend environ une journée pour l’hameçonnage, quelques jours pour un logiciel malveillant et jusqu’à plusieurs semaines pour un piratage par spam ; si le site est jugé sain, les avertissements disparaissent des résultats et des navigateurs sous 72 heures (procédure de réexamen de Google, en anglais).

Bing et les antivirus tiennent leurs propres listes : déclarez aussi le site dans Bing Webmaster Tools pour suivre ses alertes. Et si vos visites ne remontent pas ensuite, notre méthode pour diagnostiquer une baisse de trafic Google aide à trouver ce qui bloque encore.

Fermer la porte : la checklist de sécurisation

La faille d’origine est corrigée ; reste à durcir le site. Vérifiez chaque point :

1. WordPress, le thème et les extensions sont à jour, et les mises à jour automatiques sont activées, extension par extension, pour celles qui s’y prêtent.
2. Les extensions et thèmes inutilisés sont supprimés, pas seulement désactivés (l’écran Outils > Santé du site les recense) ; les autres viennent du répertoire officiel ou d’un éditeur reconnu.
3. Chacun a son propre compte, avec le rôle minimal ; les comptes d’anciens salariés et prestataires sont supprimés.
4. Les mots de passe sont longs et uniques, et la double authentification protège les comptes administrateurs.
5. Les fichiers transitent par SFTP, qui ne transmet jamais le mot de passe en clair, et non par FTP.
6. La ligne define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php désactive l’éditeur de fichiers de l’administration, souvent le premier outil d’un attaquant selon les recommandations de sécurité de WordPress.
7. La version de PHP du serveur reçoit encore des correctifs de sécurité : selon le calendrier officiel de PHP, la 8.2 n’en recevra plus après le 31 décembre 2026.
8. Une sauvegarde récente est conservée hors du serveur, et sa restauration a été testée.

Ces gestes relèvent ensuite de l’entretien courant. Notre guide de la maintenance après la mise en ligne détaille leur rythme : mises à jour, sauvegardes, surveillance.

Besoin d’aide ? Signalez l’urgence dès votre premier message : nous intervenons du lundi au vendredi, de 9 h à 18 h, y compris sur un site que nous n’avons pas créé. Et pour éviter la récidive, notre maintenance WordPress à Nantes applique les correctifs de sécurité en priorité, teste les sauvegardes et surveille le site en continu.