Aller au contenu principal
AIFORYA

Mon site WordPress est piraté : que faire, en 10 étapes

Par AIFORYA — 26 juillet 2026 — 12 min de lecture

Sur cette page (15)

Si vous lisez ceci en urgence, commencez par là : ne supprimez rien, ne réinstallez rien tout de suite. L'erreur la plus coûteuse dans la première demi-heure n'est pas de mal nettoyer — c'est d'effacer les traces avant d'avoir compris par où l'attaquant est entré. Sans cette information, vous nettoierez, et vous serez réinfecté dans les jours qui suivent, souvent par la même porte.

Ce guide donne les dix étapes dans l'ordre, avec ce qu'il faut vérifier à chaque fois. Il est écrit pour quelqu'un qui gère son site sans être administrateur système. Comptez deux à quatre heures pour un cas simple ; davantage si le site est gros ou si l'hébergement est mutualisé et lent.

Les signes qui vous ont amené ici sont probablement l'un de ceux-ci : le site redirige les visiteurs vers une page inconnue, Google affiche « Ce site risque d'endommager votre ordinateur », des pages en langue étrangère sont apparues dans les résultats de recherche, l'accès à l'administration est refusé, ou votre hébergeur a suspendu le compte. Tous mènent au même protocole.

Sommaire

Étape 0 : les cinq premières minutes

Trois réflexes, dans cet ordre.

Ne touchez à rien depuis la machine qui pourrait être compromise. Si votre poste est infecté, changer les mots de passe depuis ce poste revient à les donner à l'attaquant. Utilisez un autre ordinateur, ou un téléphone.

N'effacez pas les journaux. Les journaux d'accès de votre hébergeur (souvent 7 à 30 jours de rétention) sont la seule chose qui vous dira par où c'est entré. Demandez-les tout de suite si votre offre ne vous y donne pas accès : ils expirent.

Prévenez votre hébergeur. Beaucoup ont une cellule dédiée, et surtout : si votre serveur envoie du spam, ils vous couperont sans prévenir. Les avoir informés change la conversation.

Étape 1 : sauvegarder l'état infecté

Contre-intuitif, et pourtant indispensable. Faites une copie complète — fichiers et base de données — de l'état actuel, infecté, et rangez-la hors ligne.

Trois raisons : c'est votre filet si le nettoyage casse le site ; c'est la seule trace exploitable pour comprendre l'attaque ; et si des données personnelles sont concernées, c'est ce qui vous permettra de documenter ce qui s'est passé (voir l'étape 10).

Nommez-la clairement, avec la date et la mention « INFECTÉ », et ne la restaurez jamais par erreur.

Étape 2 : couper l'accès sans tout casser

Si le site sert des redirections ou du contenu malveillant, chaque visiteur supplémentaire aggrave votre situation aux yeux de Google et de votre hébergeur.

Le bon geste est la page de maintenance au niveau serveur, pas la suppression du site. Vous restez maître du contenu, les visiteurs voient un message honnête, et les moteurs reçoivent un code HTTP 503 (indisponibilité temporaire) qui ne détruit pas votre référencement — contrairement à un site qui répond en erreur pendant des jours.

Étape 3 : reprendre le contrôle des comptes

Changez tous les mots de passe, depuis une machine saine, dans cet ordre : hébergement, FTP/SFTP, base de données, comptes administrateurs WordPress, messagerie associée. Un seul oubli suffit à tout recommencer.

Puis ouvrez la liste des utilisateurs de WordPress et cherchez ce qui ne devrait pas s'y trouver : un compte administrateur que vous ne reconnaissez pas, un compte créé récemment, ou un compte existant dont le rôle est passé à administrateur. Ne les supprimez pas tout de suite — notez leur adresse e-mail et leur date d'inscription d'abord, c'est une information utile pour comprendre l'entrée. Ensuite, rétrogradez ou supprimez.

Vérifiez aussi les clés et jetons d'accès : clés API, accès applicatifs, connexions à des services tiers. Ce sont les oubliés classiques d'un nettoyage, et ils restent valides après le changement de mot de passe.

Étape 4 : déconnecter toutes les sessions ouvertes

Changer un mot de passe ne déconnecte pas quelqu'un déjà connecté : son cookie de session reste valide. Un attaquant qui a une session ouverte la garde.

La manœuvre consiste à régénérer les clés de sécurité de WordPress (les « salts ») dans le fichier wp-config.php. WordPress fournit un générateur officiel pour ces valeurs. En les remplaçant, vous invalidez d'un coup toutes les sessions existantes, y compris la vôtre : vous devrez vous reconnecter, et l'attaquant aussi — sauf qu'il n'a plus le mot de passe.

Étape 5 : trouver ce qui a été modifié

L'objectif est de séparer ce qui est à vous de ce qui a été ajouté.

Le cœur de WordPress est vérifiable. Les fichiers du cœur ont des empreintes officielles publiées par le projet : tout écart signale un fichier modifié. La plupart des outils d'analyse font cette comparaison automatiquement — c'est la vérification la plus fiable dont vous disposez, parce qu'elle ne repose pas sur une liste de signatures de virus, mais sur une référence exacte.

Les endroits à regarder en priorité : wp-config.php, le .htaccess à la racine (et ceux des sous-dossiers), index.php, le dossier wp-content/uploads — aucun fichier .php n'a de raison d'y vivre —, et le dossier wp-content/mu-plugins, qui charge du code automatiquement sans jamais apparaître dans la liste des extensions.

Le tri par date de modification est votre meilleur allié : listez les fichiers modifiés dans les jours précédant l'incident. Un fichier de thème modifié le jour où tout a commencé, alors que vous n'avez rien touché, vous donne votre point de départ.

Étape 6 : chercher les portes dérobées

C'est l'étape que l'on saute, et c'est celle qui explique les réinfections.

Une porte dérobée est un bout de code qui permet de revenir même après le nettoyage. Elle survit à un changement de mot de passe, et souvent à une mise à jour. Les emplacements habituels :

  • Une extension ou un thème que vous n'avez jamais installé — regardez aussi les thèmes inactifs, rarement inspectés.
  • Une tâche planifiée qui réinstalle le code malveillant. Listez les tâches planifiées de WordPress et cherchez celles dont le nom ne correspond à rien de connu.
  • Un compte administrateur discret, créé plusieurs jours avant l'incident visible.
  • Du code injecté directement en base de données, souvent dans la table des options ou dans les articles.

Tant que la porte dérobée est là, tout nettoyage est temporaire. Si vous n'êtes pas sûr, c'est le moment de faire appel à un professionnel : ce n'est pas un échec, c'est un arbitrage de coût.

Étape 7 : nettoyer ou restaurer

Deux voies, et le choix dépend d'une seule question : avez-vous une sauvegarde antérieure à l'infection ?

Si oui, restaurez-la — mais sachez que la restauration seule ne suffit jamais. Elle remet le site dans l'état où il était avec la faille qui a permis l'entrée. Il faut restaurer puis appliquer l'étape 8 immédiatement, avant de remettre le site en ligne. Une restauration sans correctif, c'est un compte à rebours.

Si non, le nettoyage se fait couche par couche : remplacez le cœur de WordPress par une archive officielle fraîche, réinstallez chaque extension et chaque thème depuis leur source officielle plutôt que de corriger les fichiers un à un, et ne conservez à la main que wp-content/uploads — après l'avoir purgé de tout fichier exécutable.

Un mot sur la sauvegarde, puisque c'est le pivot de cette étape : une sauvegarde que vous n'avez jamais testée n'est pas une sauvegarde, c'est une intention. Le jour de l'incident est le pire moment pour découvrir qu'elle est incomplète.

Découvrir AIFORYA Sauvegarde Intelligente

Étape 8 : refermer la porte d'entrée

Le nettoyage traite les conséquences. Cette étape traite la cause, et c'est la seule qui empêche la répétition.

  • Mettez tout à jour : le cœur, les extensions, les thèmes, et la version de PHP. Une version de PHP qui ne reçoit plus de correctifs de sécurité est une décision, pas une fatalité — votre hébergeur permet presque toujours d'en changer.
  • Supprimez ce qui ne sert pas. Chaque extension inactive et chaque thème inutilisé restent du code présent sur le disque, donc exploitable. Une extension désactivée n'est pas une extension absente.
  • Vérifiez les droits des utilisateurs. Un rédacteur n'a pas besoin d'être administrateur. La plupart des compromissions passent par un compte qui avait plus de droits que nécessaire.

Étape 9 : faire lever l'alerte Google

Si votre site a été signalé, le nettoyage ne suffit pas : l'avertissement reste tant que vous n'avez pas demandé un examen.

Dans la Search Console, ouvrez la section consacrée aux problèmes de sécurité. Elle indique le type de compromission détecté et, souvent, des URL d'exemple — utilisez-les pour vérifier que vous n'avez rien oublié. Puis demandez un examen en décrivant ce que vous avez corrigé : une demande précise passe plus vite qu'une demande vague.

Comptez généralement quelques jours. Ne demandez l'examen qu'une fois réellement propre : un rejet allonge le délai.

Profitez-en pour vérifier vos propriétés Search Console : un attaquant qui s'y ajoute comme propriétaire garde une visibilité sur votre site longtemps après le nettoyage.

Étape 10 : l'obligation qu'on oublie — les données personnelles

Si votre site hébergeait des comptes clients, des commandes, des formulaires ou une liste de diffusion, un piratage n'est pas seulement un incident technique : c'est possiblement une violation de données personnelles.

En Europe, le RGPD impose au responsable de traitement de notifier l'autorité de contrôle compétente dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes concernées — et d'informer les personnes elles-mêmes lorsque le risque est élevé. Le délai court à partir du moment où vous en avez connaissance, pas à partir du moment où tout est réparé.

Ce paragraphe n'est pas un conseil juridique et ne remplace pas l'avis de votre délégué à la protection des données ou de votre conseil. Ce qu'il faut retenir : ne classez pas l'affaire comme purement technique sans vous poser la question, et documentez ce que vous avez constaté et fait — c'est exactement à ça que sert la copie de l'état infecté de l'étape 1.

Empêcher la récidive

Un site nettoyé sans changement de pratiques est un site qui sera repris. Trois mesures couvrent l'immense majorité des cas réels, et elles ne coûtent presque rien.

La double authentification sur les comptes à privilèges. C'est la mesure qui rend inopérant le vol de mot de passe, qui reste la voie d'entrée la plus banale.

Découvrir la double authentification AIFORYA (gratuite)

La protection de la page de connexion. Limitation des tentatives, blocage après échecs répétés, surveillance des adresses qui insistent : les attaques automatisées sont bêtes et massives, et elles s'arrêtent devant une porte qui compte.

Découvrir la sécurité de connexion AIFORYA (gratuite)

La surveillance de l'intégrité des fichiers. C'est ce qui fait la différence entre découvrir l'incident soi-même en quelques heures, et l'apprendre par un client ou par un avertissement Google trois semaines plus tard. Le coût d'un piratage n'est pas proportionnel à sa gravité technique : il est proportionnel au temps pendant lequel il est passé inaperçu.

Découvrir AIFORYA Sécurité IA

Les quatre erreurs qui coûtent le plus cher

  1. Tout supprimer et repartir de zéro sans avoir compris l'entrée. Vous perdez l'information, et la faille reste.
  2. Restaurer une sauvegarde et remettre en ligne aussitôt. La faille est restaurée avec le reste.
  3. Changer les mots de passe sans invalider les sessions. L'attaquant reste connecté.
  4. Se contenter de nettoyer ce qui se voit. Les redirections visibles sont le symptôme ; la porte dérobée est la maladie.

FAQ

1. Combien de temps pour nettoyer un site WordPress piraté ? Deux à quatre heures pour un cas simple avec une sauvegarde saine. Une journée ou plus sans sauvegarde, ou si l'infection est ancienne et s'est propagée en base. La partie la plus longue n'est presque jamais le nettoyage : c'est la recherche de la porte d'entrée.

2. Puis-je juste réinstaller WordPress par-dessus ? Cela remplace les fichiers du cœur, ce qui est utile, mais ne touche ni aux extensions, ni aux thèmes, ni à la base de données, ni aux fichiers déposés dans uploads — là où se cachent la plupart des portes dérobées. C'est une étape, pas une solution.

3. Mon hébergeur dit que c'est de ma faute. C'est vrai ? Sur un hébergement mutualisé, l'origine peut aussi être un site voisin ou une faille côté serveur. Cela dit, dans la grande majorité des cas observés, l'entrée se fait par un composant obsolète ou un mot de passe faible — c'est-à-dire par quelque chose sur lequel vous avez la main. Demandez les journaux d'accès : ils tranchent, mieux que la discussion.

4. Faut-il prévenir mes visiteurs ? Si des données personnelles ont pu être exposées, la question n'est pas seulement commerciale mais réglementaire : voir l'étape 10. En dehors de ce cas, la transparence est presque toujours moins coûteuse que le silence découvert plus tard.

5. Comment savoir si c'est vraiment fini ? Trois signaux : les fichiers du cœur correspondent de nouveau aux empreintes officielles, aucune tâche planifiée inconnue ne subsiste, et rien ne réapparaît après plusieurs jours. C'est le troisième qui compte le plus — une réinfection survient généralement dans la semaine.

6. Ça peut recommencer ? Oui, si la cause n'a pas été traitée. Non, dans les faits, si vous avez fait l'étape 8 et mis en place la double authentification, la protection de connexion et la surveillance d'intégrité. Les attaques automatisées cherchent des cibles faciles ; elles passent leur chemin.

Pour aller plus loin sur la prévention plutôt que la réparation, lisez notre guide pour sécuriser WordPress contre les attaques automatisées.

Mon site WordPress est piraté : que faire, en 10 étapes | AIFORYA