WordPress piraté : que faire dans la première heure et comment se protéger

Un client appelle : en ouvrant votre site, il est tombé sur un casino. Vous l’ouvrez sur votre ordinateur et tout paraît normal. Ou bien, dans Google, sous le nom de votre entreprise, apparaissent soudain des inscriptions en japonais et des offres de médicaments bon marché. Ce sont les symptômes typiques d’un WordPress piraté, et ce que vous faites dans la première heure détermine si l’attaque se répétera et combien de temps Google mettra en garde contre votre site.

Vous trouverez ci-dessous les symptômes d’une intrusion, un plan pour la première heure, une méthode pour lever l’avertissement dans Google Search Console et 10 protections pour environ 30 minutes. Je m’appuie sur les recommandations de WordPress.org et sur la documentation de Google.

Symptômes : comment savoir que WordPress a été piraté

Une intrusion se voit rarement sur la page d’accueil. Le code malveillant ne fonctionne souvent que pour une partie des visiteurs, afin que le propriétaire ne remarque rien le plus longtemps possible. Les signaux les plus fréquents :

• Des redirections pour certains seulement. Dans l’aide de Search Console, Google décrit des scripts ajoutés par des pirates qui redirigent les utilisateurs de téléphones vers des sites malveillants. Vous saisissez l’adresse sur un ordinateur et vous voyez le site normal, tandis qu’un client qui arrive depuis les résultats de Google sur un smartphone tombe sur une arnaque.
• Des pages inconnues dans Google. Saisissez site:votredomaine.pl dans le moteur de recherche et passez les résultats en revue. Des titres en japonais, des médicaments, des casinos ou des contrefaçons de vêtements de marque, c’est généralement du spam injecté par des pirates. Google appelle la variante avec caractères japonais le « Japanese keyword hack » : ce sont des pages générées automatiquement, avec des liens vers des boutiques de contrefaçons.
• De nouveaux administrateurs. Dans le tableau de bord de WordPress, il y a un compte que personne dans l’entreprise n’a créé, ou Search Console indique qu’une personne nouvelle a validé la propriété de votre site. Selon Google, c’est un indice fort d’une intrusion.
• Des avertissements de Google. À côté de votre site dans les résultats de recherche apparaît la mention « Ce site a peut-être été piraté », et Chrome affiche un avertissement en plein écran, par exemple sur un logiciel malveillant.
• Un blocage par l’hébergeur. Le fournisseur désactive le site ou envoie un e-mail à propos de fichiers malveillants. WordPress.org cite cela parmi les signes sans équivoque d’une intrusion.
• Des e-mails de l’entreprise en spam. Un site piraté sert parfois à envoyer du spam, et l’adresse IP du serveur se retrouve alors sur des listes noires. Quand la messagerie fonctionne sur le même serveur, vos offres en pâtissent aussi.

Attention à un piège : des pages piratées peuvent afficher une erreur 404 au visiteur ordinaire et du spam au robot de Google. Pour voir ce que voit Google, utilisez dans Search Console l’outil d’inspection d’URL et le bouton « Tester la version publiée de l’URL ».

Ce qu’il ne faut pas faire dans les premières minutes

Le premier réflexe est de tout effacer ou de cliquer sur « restaurer la sauvegarde » dans le panneau de l’hébergeur. Ces deux gestes sont parfois une erreur :

• N’effacez pas les fichiers à l’aveugle. Vous perdez les traces qui permettent de déterminer par où les pirates sont entrés. Vous supprimerez le symptôme, et la faille restera.
• Ne restaurez pas une sauvegarde sans avoir fermé la faille. Une sauvegarde d’avant l’attaque a généralement la même brèche, par exemple une extension obsolète : l’attaque peut donc se répéter.
• Ne changez pas les mots de passe depuis un ordinateur peut-être infecté. WordPress.org rappelle qu’une attaque commence souvent par un cheval de Troie sur l’ordinateur du propriétaire, qui vole les mots de passe FTP et ceux du panneau d’administration.
• Ne demandez pas tout de suite un réexamen à Google. Google écrit sans détour qu’une demande prématurée ne fait qu’allonger la durée pendant laquelle le site reste signalé comme dangereux.

Plan d’action pour la première heure

Cette liste vaut la peine d’être imprimée et conservée avec les accès à l’hébergement. Les durées sont indicatives.

1. Notez les symptômes (5 minutes). Ce que vous voyez, depuis quand et sur quel appareil. Faites des captures d’écran et notez les dernières modifications du site, par exemple une nouvelle extension. C’est par là que commence le guide de WordPress.org pour les sites piratés.
2. Appelez l’hébergeur (10 minutes). Demandez ce qu’il a détecté et dans quels fichiers. Demandez les journaux du serveur avant qu’ils ne soient supprimés, ainsi que la liste des sauvegardes avec leurs dates.
3. Faites une copie du site infecté (10 minutes). Téléchargez les fichiers et la base de données sur un disque hors du serveur, dans un dossier au nom explicite, par exemple INFECTE-2026-10-25. Google et WordPress.org le recommandent avant toute suppression. Cette copie sert à l’analyse, jamais à la restauration.
4. Limitez les dégâts (5 minutes). Si le site redirige les clients vers des arnaques ou diffuse des fichiers malveillants, demandez à l’hébergeur de désactiver temporairement le site.
5. Analysez votre ordinateur (2 minutes pour commencer). Lancez une analyse complète avec l’antivirus sur l’ordinateur depuis lequel vous vous connectez à WordPress. Effectuez les étapes suivantes depuis un autre appareil, sain.
6. Changez les mots de passe (10 minutes). Panneau de l’hébergeur, FTP/SFTP, utilisateur de la base de données (saisissez aussi le nouveau mot de passe dans wp-config.php), tous les administrateurs WordPress et la boîte e-mail qui reçoit les liens de réinitialisation des mots de passe. Remplacez ensuite les clés de sécurité dans wp-config.php par de nouvelles, issues du générateur officiel de WordPress.org. Cela déconnecte tout le monde, y compris l’intrus.
7. Supprimez les comptes inconnus (5 minutes). Dans WordPress, passez en revue les utilisateurs ayant le rôle Administrateur, et dans Search Console Paramètres → Utilisateurs et autorisations. Avant de supprimer, notez l’identifiant, l’e-mail et la date de création du compte. Supprimez aussi du site le jeton de validation de l’intrus (fichier HTML ou balise meta) car, comme l’écrit Google, sinon le propriétaire supprimé peut de nouveau confirmer la propriété.
8. Mettez à jour et analysez (10 minutes). Mettez à jour WordPress, les extensions et les thèmes. Lancez le scanner du tableau de bord (WordPress.org cite notamment Wordfence et Sucuri) et un scanner externe, par exemple Sitecheck. La mise à jour ferme la faille, mais ne supprime pas les fichiers ajoutés par les pirates.

Si le site contient des commandes, des comptes clients ou des messages de formulaire enregistrés, vérifiez si des données ont pu fuiter. Conformément à l’art. 33 du RGPD, le responsable du traitement notifie la violation à l’UODO (Urząd Ochrony Danych Osobowych, l’autorité polonaise de protection des données personnelles) dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins qu’il soit peu probable que la violation engendre un risque pour les droits ou libertés des clients. Une notification envoyée après 72 heures doit expliquer les raisons du retard, et en cas de risque élevé, l’art. 34 du RGPD exige aussi d’informer les clients eux-mêmes. Le formulaire se trouve sur le site de l’UODO. Il s’agit d’une information générale et non d’un conseil juridique (situation juridique au 25 octobre 2026) : faites donc évaluer une fuite précise par un juriste ou un délégué à la protection des données.

Nettoyage : sauvegarde d’avant l’attaque ou nettoyage manuel

Une sauvegarde d’avant l’attaque est la voie la plus rapide si vous avez une sauvegarde datée d’avant les premiers symptômes, de préférence de quelques jours plus ancienne, car le code a pu arriver sur le serveur plus tôt. Après la restauration, faites immédiatement : mises à jour, nouveaux mots de passe et analyse. Dans une boutique, relevez d’abord, depuis la copie infectée, les commandes passées après la date de la sauvegarde, car la restauration les supprimera.

Un nettoyage manuel reste la solution quand il n’y a pas de sauvegarde ou qu’elle est trop ancienne. WordPress.org recommande de remplacer par SFTP les répertoires wp-admin et wp-includes par des répertoires neufs, de la même version que la vôtre. Une réinstallation depuis le tableau de bord ne suffit pas, car elle écrase les fichiers sans supprimer ceux ajoutés par les pirates. Téléchargez de nouveau les extensions et les thèmes depuis les sources officielles, et passez particulièrement en revue .htaccess, index.php, ainsi que header.php, footer.php et functions.php dans le thème.

Une personne technique ayant un accès SSH vérifiera l’essentiel plus vite avec WP-CLI :

# fichiers WordPress comparés aux sommes de contrôle de WordPress.org
wp core verify-checksums
# la même chose pour les extensions du répertoire officiel
wp plugin verify-checksums --all
# administrateurs avec la date de création du compte
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# fichiers PHP dans le répertoire des images, où ils n’ont rien à faire
find wp-content/uploads -name "*.php"

Une fois le site propre, changez de nouveau les mots de passe : WordPress.org le recommande même si vous les avez déjà changés au moment où l’attaque a été détectée. Enfin, vérifiez le site avec mon outil Analyser votre site. Il ne cherche pas les virus, mais en environ 30 secondes il montre si HTTPS fonctionne, si les en-têtes de sécurité sont présents et si le serveur ne trahit pas la version de son logiciel.

Google Search Console : comment lever l’avertissement

Sans Search Console, vous ne pouvez pas demander à Google de réexaminer le site. J’explique comment y ajouter votre site dans le guide Votre site vitrine n’apparaît pas dans Google.

1. Ouvrez le rapport « Problèmes de sécurité ». Vous verrez le type de problème, par exemple « Piratage : contenu injecté » ou « Piratage : logiciel malveillant », et des exemples d’adresses.
2. Consultez aussi le rapport « Actions manuelles ». S’il y a une entrée, demandez aussi un réexamen à cet endroit après le nettoyage.
3. Vérifiez les exemples d’adresses avec l’outil d’inspection d’URL. Elles doivent afficher un contenu propre ou une erreur 404.
4. Cliquez sur « Demander un examen » et décrivez brièvement ce qui a été fait pour chaque type de problème : pages supprimées, extension mise à jour, mots de passe changés.

Combien de temps cela prend-il ? Selon Google, le réexamen d’un site d’hameçonnage prend environ un jour, celui d’un site avec un logiciel malveillant quelques jours, et celui d’un site avec du spam injecté par des pirates jusqu’à plusieurs semaines.

10 protections en 30 minutes

Cette liste s’appuie sur les recommandations de WordPress.org pour sécuriser un site.

1. Mises à jour automatiques (5 minutes). Depuis WordPress 5.5, vous pouvez les activer pour chaque extension et chaque thème, et aussi en bloc dans la liste des extensions.
2. Supprimez les extensions et thèmes inutilisés (4 minutes). Supprimez, ne vous contentez pas de désactiver : une extension désactivée reste sur le serveur.
3. Des extensions uniquement issues d’une source sûre (2 minutes). WordPress.org est sans ambiguïté : n’installez pas d’extensions ni de thèmes provenant de sources non fiables, seulement du répertoire officiel ou d’éditeurs connus. Les versions « nulled », c’est-à-dire des copies piratées d’extensions payantes, contiennent souvent, selon la société Wordfence, des portes dérobées cachées pour les pirates.
4. Vérification en deux étapes (5 minutes). Pour chaque administrateur, par exemple avec l’extension Two Factor de la communauté WordPress.org : code issu d’une application sur le téléphone et codes de secours. Activez-la aussi dans le panneau de l’hébergeur.
5. Moins d’administrateurs (2 minutes). Un collaborateur qui ajoute des articles a besoin du rôle Éditeur ou Auteur. N’utilisez pas l’identifiant « admin ».
6. Des mots de passe issus d’un gestionnaire de mots de passe et SFTP (3 minutes). Un mot de passe long et unique pour chaque accès. À la place du FTP classique, qui envoie le mot de passe en clair, utilisez SFTP.
7. Des sauvegardes hors du serveur (5 minutes). Une sauvegarde sur le même serveur peut disparaître ou être infectée en même temps que le site. Configurez des sauvegardes automatiques des fichiers et de la base vers le cloud ou un autre serveur, conservez plusieurs versions et, une fois par trimestre, vérifiez que la sauvegarde se restaure bien.
8. Un PHP à jour (1 minute). WordPress.org recommande PHP 8.3 ou plus récent, et PHP 8.2 ne reçoit des correctifs de sécurité que jusqu’au 31 décembre 2026. Vous changez la version dans le panneau de l’hébergeur, après avoir fait une sauvegarde.
9. Les notifications de Search Console (2 minutes). Google envoie un e-mail aux propriétaires validés quand il soupçonne une intrusion. Vérifiez que les notifications sont activées et que le filtre de votre messagerie ne les intercepte pas.
10. Désactivez l’éditeur de fichiers (1 minute). La ligne ci-dessous, ajoutée dans wp-config.php, bloque la modification des fichiers PHP depuis le tableau de bord. Elle n’arrêtera pas toutes les attaques, mais elle ferme la voie la plus simple.

define( 'DISALLOW_FILE_EDIT', true );

Il existe aussi une voie qui fait disparaître l’essentiel de cette liste. Un site d’entreprise simple, sans boutique ni comptes clients, peut fonctionner comme de simples fichiers, sans extensions à corriger. C’est ainsi que j’ai migré plus de 200 pages du site de l’entreprise Żukowscy de WordPress et Elementor vers Next.js, dans le cadre d’une modernisation du site. Inconvénient : les modifications de contenu exigent alors un autre panneau d’administration ou mon aide.

En résumé

En cas d’intrusion, l’ordre compte : d’abord les notes et la copie, puis les mots de passe, les comptes et les mises à jour, et à la fin le nettoyage et la demande à Google. Se précipiter pour supprimer des fichiers ou restaurer une ancienne sauvegarde se termine souvent par une répétition de l’attaque.

Si vous préférez ne pas surveiller vous-même les mises à jour et les sauvegardes, je m’en charge dans le cadre de la maintenance technique à partir de 149 PLN HT par mois. Un audit de sécurité avec rapport et corrections coûte à partir de 990 PLN HT. Si votre site est déjà piraté, écrivez-moi : je réponds sous 24 heures avec un plan d’action et un devis.