Site WordPress piraté : que faire ?

Des visiteurs redirigés vers des sites douteux, des pages inconnues dans Google, une alerte rouge dans le navigateur ou un e-mail de votre hébergeur : votre site WordPress est piraté. Dans ce genre de situation, l’urgence pousse à agir dans le désordre, et c’est souvent ce qui fait revenir le pirate quelques jours plus tard. Voici que faire, dans l’ordre.

Les signes d’un site WordPress piraté

• les visiteurs, surtout sur mobile ou depuis Google, sont redirigés vers d’autres sites ;
• des pages en langue étrangère ou des produits que vous ne vendez pas apparaissent quand vous tapez site: suivi de votre domaine dans Google ;
• le navigateur ou Google affiche un avertissement du type « Ce site a peut-être été piraté » ou une page rouge de site dangereux ;
• des comptes administrateurs inconnus apparaissent dans la liste des utilisateurs ;
• votre hébergeur signale des envois massifs d’e-mails ou suspend le site ;
• la Search Console indique des problèmes de sécurité.

Un message « Il y a eu une erreur critique sur ce site » n’est pas, en soi, un signe de piratage : c’est le plus souvent un problème de compatibilité (voir erreur critique WordPress).

1. Garder son calme et limiter les dégâts

• prévenez votre hébergeur : il dispose souvent de journaux d’accès, d’un scanner et parfois de sauvegardes propres ;
• si le site redirige les visiteurs vers des contenus dangereux, mettez-le en maintenance ou demandez à l’hébergeur de le suspendre temporairement ;
• faites une copie complète de l’état actuel (fichiers et base de données) : elle servira à comprendre ce qui s’est passé. Ne la confondez pas avec une sauvegarde saine.

2. Changer tous les mots de passe

Le pirate a peut-être récupéré des identifiants. Changez tous les accès, avec des mots de passe longs et uniques :

• tous les comptes administrateurs WordPress (et supprimez les comptes inconnus) ;
• l’espace client de l’hébergeur ;
• les accès FTP / SFTP ;
• la base de données (à reporter ensuite dans wp-config.php) ;
• les boîtes e-mail liées au site.

Pensez aussi à regénérer les clés de sécurité (les « salts ») dans wp-config.php : cela déconnecte toutes les sessions ouvertes, y compris celles du pirate.

3. Identifier ce qui a été modifié

Lancez une analyse avec un scanner de sécurité reconnu (extension de sécurité WordPress, outil de l’hébergeur ou scanner en ligne). Contrôlez en particulier :

• les fichiers modifiés récemment, surtout dans wp-content ;
• la présence de fichiers PHP dans le dossier uploads, qui ne devrait contenir que des médias ;
• le fichier .htaccess (redirections ajoutées) ;
• dans la base de données : les utilisateurs, les réglages d’adresse du site et les contenus contenant des scripts inconnus.

4. Nettoyer le site

Deux approches, selon la situation :

Restaurer une sauvegarde saine

Si vous disposez d’une sauvegarde antérieure au piratage, c’est souvent la solution la plus rapide. Vérifiez sa date par rapport aux premiers signes, et gardez en tête que la faille existe toujours : l’étape 5 reste indispensable.

Nettoyer manuellement

• remplacez les fichiers de WordPress par une copie neuve téléchargée sur wordpress.org (sans écraser wp-content ni wp-config.php) ;
• réinstallez chaque extension et le thème depuis leur source officielle ;
• supprimez les extensions et thèmes inutilisés, et surtout toute version « premium » obtenue hors du site de l’éditeur ;
• supprimez les fichiers suspects et les codes injectés dans la base.

Les pirates laissent souvent une porte dérobée pour revenir. Un nettoyage partiel conduit fréquemment à une réinfection : si vous avez un doute, faites appel à un professionnel.

5. Corriger la faille

Un site nettoyé mais toujours vulnérable sera piraté à nouveau. Mettez à jour WordPress, toutes les extensions, le thème et la version de PHP. Les causes les plus fréquentes sont connues : une extension non mise à jour avec une faille publiée, un mot de passe faible, ou un thème téléchargé illégalement.

6. Prévenir Google et vérifier le référencement

• dans la Google Search Console, ouvrez la section Problèmes de sécurité, vérifiez que tout est corrigé, puis demandez un réexamen ;
• supprimez les pages créées par le pirate et laissez-les renvoyer une erreur 404 ou 410 ;
• surveillez les semaines suivantes les pages indexées et les recherches sur lesquelles le site apparaît.

7. Vos obligations si des données ont fuité

Si le site contient des données personnelles (formulaires, comptes clients, commandes) et que le piratage a pu les exposer, il s’agit d’une violation de données au sens du RGPD. Lorsqu’elle présente un risque pour les personnes, elle doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance. Si le risque est élevé, les personnes concernées doivent aussi être informées.

Éviter un nouveau piratage

• mises à jour régulières du cœur, des extensions et du thème ;
• sauvegardes automatiques stockées hors du serveur, et testées ;
• double authentification pour les administrateurs, et limitation des tentatives de connexion ;
• un minimum de comptes administrateurs, chacun avec les droits strictement nécessaires ;
• pas d’extensions ni de thèmes de provenance douteuse ;
• un site en HTTPS correctement configuré.

C’est précisément le rôle d’une maintenance régulière : un site suivi est beaucoup moins exposé qu’un site oublié depuis sa mise en ligne.

Questions fréquentes