Site WordPress piraté : les bons gestes, dans le bon ordre

Redirection vers un site de jeux, avertissement rouge dans le navigateur, administrateur inconnu : quand un site WordPress est piraté, la tentation est de tout supprimer au hasard. C’est souvent la pire chose à faire. Un nettoyage efficace suit un ordre précis, et chaque étape sert la suivante.

Les signes qui doivent t’alerter

Certains piratages sont bruyants, d’autres restent discrets pendant des mois. Voici ce qui doit te mettre la puce à l’oreille :

• des visiteurs redirigés vers un autre site, parfois seulement depuis Google ou depuis un téléphone ;
• des pages inconnues en japonais, en pharmacie ou en contrefaçon qui apparaissent dans les résultats de recherche (tape site:tondomaine.fr dans Google pour vérifier) ;
• un avertissement « site dangereux » dans le navigateur ou un message de Google Search Console ;
• un hébergeur qui suspend ton compte ou signale des envois massifs d’e-mails ;
• des utilisateurs, des extensions ou des fichiers PHP que tu ne reconnais pas ;
• un site soudain très lent.

Les premiers gestes

Ne pas paniquer, ne rien effacer

Avant de nettoyer quoi que ce soit, fais une copie complète du site dans son état actuel : fichiers et base de données. Cette sauvegarde « infectée » ne doit jamais être restaurée telle quelle, mais elle sert à comprendre ce qui s’est passé, à retrouver un fichier perdu ou à fournir des éléments à un spécialiste. Range-la à part.

Couper l’accès aux visiteurs

Passe le site en maintenance, par une extension dédiée ou par une règle sur le serveur, pour éviter que tes visiteurs soient redirigés ou infectés pendant le nettoyage. Si le pirate contrôle l’administration, demande à ton hébergeur de bloquer l’accès public.

Changer tous les mots de passe

Tous, sans exception, et depuis un ordinateur sain :

Pense aussi à régénérer les clés de sécurité de wp-config.php : cela déconnecte toutes les sessions ouvertes, y compris celles du pirate.

Prévenir l’hébergeur

Ton hébergeur a souvent repéré le problème avant toi. Il peut te dire depuis quand des fichiers ont été modifiés, consulter les journaux d’accès et parfois proposer une restauration d’une sauvegarde antérieure à l’attaque. Si tu as une sauvegarde saine récente, c’est le moment de vérifier sa date : une restauration n’a de sens que si elle précède l’infection.

Le nettoyage, étape par étape

1. Réinstalle les fichiers du cœur. Remplace les dossiers wp-admin et wp-includes par des copies téléchargées sur wordpress.org, dans la même version. Avec WP-CLI, la commande wp core verify-checksums signale les fichiers du cœur modifiés.
2. Passe les extensions et le thème en revue. Supprime tout ce que tu n’utilises pas, puis réinstalle le reste depuis une source officielle. Une extension « premium » récupérée hors du site de son éditeur est un vecteur d’infection classique.
3. Fouille le dossier uploads. Il ne devrait contenir que des médias : un fichier .php à cet endroit est presque toujours suspect.
4. Contrôle les utilisateurs. Dans Comptes > Tous les comptes, supprime les administrateurs inconnus en attribuant leurs contenus à un compte légitime.
5. Vérifie les tâches planifiées. Un pirate peut programmer une tâche qui réinstalle sa porte dérobée. Regarde les tâches WP-Cron (l’extension WP Crontrol les affiche) et les tâches cron du serveur dans le panneau de l’hébergeur.
6. Inspecte la base de données. Cherche des scripts injectés dans les contenus, les options du site et les widgets.

Une fois propre, mets tout à jour et applique les conseils pour durcir la sécurité de WordPress, à commencer par la double authentification. Sans cela, la même faille servira une deuxième fois.

Le nettoyage manuel demande du temps et un œil exercé : une seule porte dérobée oubliée suffit à tout recommencer. Si le site fait vivre ton activité, il peut être plus sûr de faire nettoyer un WordPress piraté par un spécialiste qui saura aussi identifier l’origine de l’intrusion.

Google Search Console : retrouver la confiance de Google

Si Google a détecté le piratage, il le signale dans Search Console, rubrique « Sécurité et actions manuelles », puis « Problèmes de sécurité ». Tu y trouveras le type de problème et des exemples d’URL concernées.

Quand le site est réellement propre, utilise le bouton de demande d’examen en expliquant précisément ce que tu as corrigé. Une demande envoyée trop tôt, alors qu’il reste du code malveillant, retarde le retour à la normale. Supprime aussi les pages parasites créées par le pirate et, si elles sont nombreuses, demande leur retrait temporaire des résultats.

RGPD : la violation de données personnelles

Si ton site stocke des données personnelles (comptes clients, commandes, messages de formulaires, abonnés à une lettre), un piratage peut constituer une violation de données. Le RGPD impose alors de la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, lorsqu’elle présente un risque pour les droits et libertés des personnes. Si le risque est élevé, les personnes concernées doivent aussi être informées.

Même quand la notification n’est pas obligatoire, la violation doit être consignée dans un registre interne. La CNIL propose un téléservice et une page explicative pour faire la démarche ; en cas de doute sur ta situation, rapproche-toi d’un conseil juridique.

Et après ?

Un site remis d’aplomb doit être surveillé de près pendant quelques semaines : nouveaux fichiers, nouveaux comptes, alertes Search Console. C’est aussi le bon moment pour mettre en place des sauvegardes automatiques vers un serveur externe, qui t’éviteront de repartir de zéro la prochaine fois.

Cet article peut contenir des liens partenaires. Ils n'influencent jamais ce que nous écrivons.