Un WordPress piraté se reconnaît vite : pages de casino ou de médicaments dans Google, redirections vers des sites douteux, admin inaccessible, alerte de l’hébergeur. Voici comment confirmer le piratage, limiter les dégâts dans l’heure, nettoyer proprement et faire en sorte que ça ne revienne pas.
Reconnaître un WordPress piraté : les signes qui ne trompent pas
WordPress piraté : ce que Google voit avant vous
Dans la grande majorité des cas, ce n’est pas le propriétaire qui découvre le piratage, c’est Google, un client ou l’hébergeur. Tapez « site:votredomaine.fr » dans Google : si des centaines de pages en japonais, des titres de casino en ligne, de paris sportifs ou de médicaments apparaissent sous votre nom de domaine, vous êtes victime d’un spam SEO, la forme la plus répandue de piratage sur WordPress. Autre symptôme fréquent, la redirection : la page d’accueil fonctionne quand vous la tapez directement, mais un visiteur qui arrive depuis Google ou depuis un téléphone est envoyé vers un site de rencontre, de jeux ou de fausse mise à jour de navigateur. Les pirates ciblent précisément les visiteurs qui viennent des moteurs, ce qui explique pourquoi vous ne voyez rien depuis votre bureau. Surveillez aussi la Search Console : Google y envoie un message « Problèmes de sécurité détectés » et peut afficher un avertissement rouge dans Chrome, qui fait fuir instantanément tout visiteur. Enfin, l’hébergeur coupe parfois le site de lui-même après avoir détecté des envois massifs de spam par email ou une consommation anormale de ressources. Si vous recevez ce type de courrier, ne demandez pas la réactivation avant d’avoir nettoyé : le site serait coupé à nouveau dans la journée. Un WordPress piraté par spam SEO peut rester invisible pendant des semaines depuis votre bureau, parce que le contenu injecté ne s’affiche qu’aux robots et aux visiteurs venus des moteurs.
Les signes visibles depuis l’administration
Connectez-vous à l’administration et regardez cinq choses :
- Les utilisateurs : un administrateur que vous n’avez pas créé, souvent nommé « admin2 », « support » ou avec une adresse email étrangère — la signature classique d’une intrusion.
- Les extensions : une extension inconnue, parfois sans nom ni description, ou une extension légitime dont les fichiers ont été modifiés.
- Les thèmes : un thème que vous n’utilisez pas et qui contient des fichiers PHP récents.
- Les contenus : des brouillons ou des publications que vous n’avez pas écrites, souvent en masse, avec des liens sortants.
- Les réglages : adresse du site ou description modifiée, éditeur de code réactivé, inscription ouverte à tous.
À cela s’ajoutent des symptômes techniques : le site devient très lent, l’hébergeur signale un dépassement de CPU, des fichiers PHP apparaissent dans le dossier des images, le fichier .htaccess contient des règles que vous ne comprenez pas, et les mises à jour échouent sans raison. Chacun de ces signes, isolé, peut avoir une explication innocente ; deux ou trois ensemble ne laissent aucun doute. Notez tout ce que vous observez avec la date : cette chronologie servira à comprendre par où l’attaque est entrée. Sur un WordPress piraté, la date de modification des fichiers est souvent le premier indice fiable : triez-les par date et regardez ce qui a bougé la même nuit.
Les premières heures : limiter les dégâts sans aggraver la situation
WordPress piraté : les gestes de la première heure
Dans l’ordre, sans en sauter une :
- Couper ou passer en maintenance si vous constatez des redirections ou un avertissement Google : chaque heure où des visiteurs tombent sur du contenu malveillant coûte en réputation et en référencement.
- Changer tous les mots de passe depuis un ordinateur sain : comptes administrateurs WordPress, FTP ou SFTP, base de données, panneau de l’hébergeur, et l’adresse email du compte principal. Un pirate qui conserve un seul de ces accès reviendra après le nettoyage.
- Réinitialiser les clés de sécurité dans le fichier de configuration : toutes les sessions ouvertes sont déconnectées, y compris la sienne.
- Sauvegarder l’état infecté, fichiers et base de données, avant de toucher à quoi que ce soit : pour retrouver du contenu si le nettoyage détruit quelque chose, et pour analyser l’attaque.
Vérifiez que vous disposez d’une sauvegarde saine antérieure au piratage ; regardez la date des fichiers modifiés pour estimer depuis quand le site est compromis, car une infection peut dater de plusieurs semaines avant d’être visible. Enfin, prévenez votre hébergeur si ce n’est pas lui qui vous a alerté : certains proposent un scan ou une restauration, et tous apprécient d’être informés avant de couper le compte.
Les erreurs classiques qui font perdre des jours
La première erreur est de supprimer les fichiers suspects un par un en pensant avoir fini. Les infections WordPress installent presque toujours plusieurs portes dérobées dans des endroits différents : un fichier dans les uploads, une ligne ajoutée au début de wp-config.php, une fonction glissée dans le functions.php du thème, une tâche planifiée qui recrée le malware chaque nuit. Nettoyer trois endroits sur quatre revient à ne rien nettoyer. La deuxième erreur est de restaurer une sauvegarde sans savoir si elle est propre : si l’infection date de six semaines et la sauvegarde de trois, vous restaurez le malware avec un contenu plus ancien. La troisième est de réinstaller WordPress par-dessus l’existant sans changer les mots de passe ni vérifier la base de données : les comptes pirates et le contenu injecté survivent. La quatrième est de faire confiance à un seul scanner en ligne : ces outils voient la page servie, pas les fichiers, et manquent la plupart des portes dérobées. La cinquième, la plus coûteuse, est d’attendre « pour voir » : un WordPress piraté qui reste en ligne est utilisé pour envoyer du spam, héberger du phishing et infecter d’autres sites, et votre domaine finit sur des listes noires dont on sort difficilement. La sixième est de payer un « nettoyage » à distance en dix minutes à un inconnu trouvé sur un forum : vous lui donnez les accès complets d’un site déjà fragile.
Nettoyer un WordPress piraté : la méthode fichier par fichier
Le cœur, les extensions et les thèmes
Le nettoyage sérieux compare chaque fichier à sa version officielle. Pour le cœur de WordPress, téléchargez la même version depuis wordpress.org et remplacez intégralement les dossiers wp-admin et wp-includes ainsi que les fichiers de la racine, à l’exception de wp-config.php et du fichier .htaccess que vous vérifiez à la main. Tout fichier présent dans ces dossiers et absent de l’archive officielle est à supprimer. Pour les extensions et les thèmes gratuits, supprimez le dossier complet et réinstallez depuis le dépôt officiel ; pour les extensions payantes, repartez de l’archive fournie par l’éditeur. Supprimez sans hésiter tout ce qui est inactif : un thème ou une extension désactivé reste un point d’entrée. Ouvrez wp-config.php et relisez chaque ligne : une inclusion de fichier inconnue, une longue chaîne encodée ou un appel à eval signalent une porte dérobée. Faites de même avec functions.php du thème actif et avec le dossier mu-plugins, souvent oublié parce qu’il n’apparaît pas dans la liste des extensions. Dans le dossier uploads, aucun fichier PHP n’a de raison d’exister : listez-les tous et supprimez-les. Terminez par les fichiers .htaccess à tous les niveaux, qui servent fréquemment aux redirections ciblées sur les visiteurs venant de Google. Gardez une liste de tout ce que vous supprimez : si une fonctionnalité disparaît après le nettoyage, vous saurez quel fichier la portait.
La base de données, les comptes et les tâches planifiées
Les fichiers ne sont que la moitié du travail. Dans la base de données, cherchez dans la table des options les entrées qui contiennent des balises script, des iframes ou du code encodé en base64 : les pirates y stockent des injections qui s’affichent sur chaque page. Parcourez les articles et les pages à la recherche de contenu inséré, souvent en fin d’article, en blanc sur fond blanc ou dans une balise invisible. Supprimez les commentaires et les articles de spam en masse. Dans la table des utilisateurs, retirez tout compte que vous ne reconnaissez pas, et vérifiez que les comptes légitimes ont bien le rôle attendu. Regardez ensuite les tâches planifiées de WordPress : une tâche inconnue qui s’exécute toutes les heures est le mécanisme favori pour réinstaller un malware supprimé. Contrôlez la liste des extensions actives directement dans la base, car une extension peut être activée sans apparaître dans l’administration. Une fois tout cela fait, relancez un scan complet, puis un second quelques heures plus tard : si un fichier réapparaît, une porte dérobée subsiste. Seulement à ce moment, demandez à Google de réexaminer le site depuis la Search Console et rouvrez-le au public. Comptez une demi-journée pour un site simple, deux à trois jours pour une boutique ou un site ancien avec beaucoup d’extensions. Un WordPress piraté depuis longtemps demande en plus de vérifier les sauvegardes elles-mêmes, qui ont pu embarquer le malware à chaque copie.
Après le nettoyage : comprendre l’entrée et fermer la porte
Comment votre WordPress piraté a été attaqué
Un nettoyage qui ne corrige pas la cause est un nettoyage à refaire dans un mois. Les attaques sont automatisées : des robots scannent des millions de sites à la recherche de versions vulnérables et exploitent la faille dans les heures qui suivent sa publication. Les points d’entrée, par fréquence :
| Porte d’entrée | Part des cas | Comment le vérifier |
|---|---|---|
| Extension ou thème avec une faille connue, non mis à jour | plus de la moitié | Comparer la date des premiers fichiers suspects avec les versions installées et les failles publiées à cette période |
| Mot de passe faible, réutilisé ou volé dans une fuite | un cas sur cinq | Journaux de connexion : des centaines de tentatives puis une connexion réussie |
| Hébergement mutualisé mal cloisonné, autre site infecté sur le même compte | un cas sur dix | Plusieurs sites anciens ou abandonnés sur le compte, fichiers suspects aux mêmes dates partout |
| Thème ou extension « nulled » téléchargé hors source officielle | moins fréquent | Malware présent dès l’installation, dans le dossier de l’extension elle-même |
| Accès FTP d’un ancien prestataire jamais révoqué | rare mais grave | Journaux FTP de l’hébergeur, identifiants encore actifs |
Identifier la cause ne demande pas d’être expert : les dates des fichiers, les journaux d’accès du serveur et l’historique des versions suffisent presque toujours. Demandez à votre hébergeur les journaux d’accès de la période concernée, ils sont conservés quelques semaines et montrent l’adresse et la requête exacte qui ont ouvert la porte.
Protéger le site pour que ça ne se reproduise pas
La protection durable repose sur des habitudes plus que sur un outil miracle. Mettez à jour le cœur, les extensions et les thèmes chaque semaine, avec une sauvegarde avant et une vérification après ; c’est la mesure qui élimine à elle seule la majorité des attaques. Supprimez tout ce qui ne sert pas. Imposez des mots de passe longs et uniques, activez la double authentification sur les comptes administrateurs, limitez les tentatives de connexion et renommez le compte « admin » s’il existe. Désactivez l’éditeur de fichiers dans l’administration, interdisez l’exécution de PHP dans le dossier des images, et coupez XML-RPC si vous n’en avez pas l’usage. Mettez en place une sauvegarde quotidienne stockée hors du serveur, avec une restauration testée au moins une fois. Ajoutez une surveillance qui compare les fichiers à leur version officielle et vous alerte dès qu’un fichier change, qu’un administrateur apparaît ou qu’une extension s’active sans vous. Revoyez enfin les accès : un seul administrateur réel, des comptes éditeurs pour les autres, et aucun identifiant partagé par email. Si votre WordPress piraté l’a été deux fois, la question n’est plus technique : c’est la maintenance qui manque, et il est moins cher de la confier que de payer un nouveau nettoyage. Le plan de maintenance de DGTL inclut mises à jour, sauvegardes, surveillance et nettoyage en cas d’incident, dès 49 € HT par mois.
Votre site est piraté maintenant et vous n’avez pas le temps de tout faire vous-même ? Dépannage WordPress : nettoyage et remise en ligne, prix affiché, ou maintenance pour ne plus jamais revivre ça.