Mon site WordPress est piraté : les 7 actions à faire dans l'heure

Vous venez de découvrir que votre site redirige vers une pharmacie en ligne, ou votre hébergeur vous a suspendu pour envoi de spam, ou Google affiche « Ce site peut être piraté » sous votre nom. La première heure compte, et le réflexe le plus courant — supprimer les fichiers suspects tout de suite — est le pire.

Voici la procédure, dans l'ordre. Elle suppose un site WordPress de PME, pas une infrastructure critique. Si votre activité dépend du site en temps réel, appelez quelqu'un pendant que vous exécutez les points 1 et 2.

1. Couper l'accès public, sans rien effacer

Objectif : arrêter la propagation et protéger vos visiteurs, pas nettoyer. Le nettoyage vient après.

Mettez le site en maintenance côté serveur — une page statique renvoyant un code HTTP 503 — ou coupez le vhost. Si vous ne savez pas faire, demandez à votre hébergeur : la plupart proposent une suspension en un clic depuis le panneau d'administration.

Ne supprimez rien. Chaque fichier modifié est une pièce à conviction qui vous dira par où l'attaquant est entré. Si vous effacez avant de comprendre, vous serez recompromis dans les jours qui suivent par la même porte.

2. Faire une copie complète de l'état compromis

Avant toute intervention, prenez une archive de l'intégralité du répertoire du site et un dump de la base de données. Nommez-la clairement, avec la date et l'heure, et stockez-la ailleurs que sur le serveur.

Cette copie sert à trois choses : l'analyse de la porte d'entrée, la preuve en cas de déclaration à la CNIL, et la récupération de contenus que vous découvrirez manquants dans deux semaines. Elle coûte cinq minutes et vous sauvera peut-être le dossier.

3. Changer les mots de passe, dans le bon ordre

L'ordre compte, parce que changer le mot de passe WordPress alors que l'attaquant a un accès FTP ne sert strictement à rien.

1. L'accès à l'hébergement (panneau de contrôle, SSH, FTP/SFTP) — c'est la racine.
2. La base de données, en pensant à répercuter dans wp-config.php.
3. Les comptes administrateurs WordPress, tous, y compris ceux de l'ancien prestataire.
4. Le registrar du nom de domaine — s'il tombe, vous perdez bien plus que le site.
5. Les boîtes e-mail liées, en particulier celle qui sert à la réinitialisation.

Activez la double authentification partout où c'est possible, en commençant par l'hébergeur et le registrar.

Ensuite, dans WordPress, invalidez toutes les sessions actives — la plupart des extensions de sécurité le proposent, sinon changer les clés AUTH_KEY et suivantes dans wp-config.php déconnecte tout le monde immédiatement.

4. Inventorier les comptes et les tâches planifiées

Deux endroits où les attaquants s'installent durablement, et que presque personne ne vérifie.

Les utilisateurs. Listez les comptes de rôle administrateur. Un compte créé récemment, avec un nom plausible et une adresse e-mail en domaine gratuit, est le signal classique. Vérifiez aussi les comptes légitimes dont le rôle a été élevé.

Les tâches planifiées. WordPress a son propre planificateur (wp-cron), et le serveur a le sien (crontab). Une tâche qui réinstalle une porte dérobée toutes les heures rend votre nettoyage inutile. C'est la raison numéro un des « je l'ai nettoyé et il est revenu ».

Regardez également le fichier .htaccess à la racine et dans wp-content/uploads : les redirections conditionnelles — visibles uniquement pour les visiteurs venant de Google, invisibles pour vous — s'y logent très souvent.

5. Identifier la porte d'entrée avant de nettoyer

Trois causes couvrent la grande majorité des compromissions :

• Une extension ou un thème non mis à jour comportant une vulnérabilité publique. C'est de loin la première cause. Les extensions abandonnées par leur auteur sont particulièrement dangereuses, parce qu'aucun correctif n'arrivera jamais. Et beaucoup de sites facilitent le travail sans le savoir : sur les 41 sites de PME du transport que j'ai relevés, seize affichaient en clair le nom de leurs extensions et douze leur numéro de version exact.
• Un mot de passe administrateur faible ou réutilisé, exploité par force brute ou récupéré dans une fuite de données sur un autre service.
• Un accès prestataire oublié : un compte FTP créé pour un freelance en 2021, jamais supprimé, avec un mot de passe stocké dans un fichier texte.

Pour trancher, croisez deux sources : les journaux d'accès de votre hébergeur autour de la date de première modification suspecte, et la liste des fichiers modifiés récemment. Sur un WordPress sain, aucun fichier du cœur ne doit avoir été modifié depuis la dernière mise à jour.

6. Reconstruire plutôt que désinfecter

C'est le point où je diverge de beaucoup de conseils trouvés en ligne. Chercher et retirer un à un les fichiers infectés fonctionne rarement sur un site compromis depuis plusieurs semaines : les portes dérobées sont multiples, obfusquées, et parfois injectées dans la base de données.

La méthode fiable :

1. Réinstaller le cœur WordPress depuis une archive officielle fraîchement téléchargée.
2. Réinstaller chaque extension et le thème depuis leur source officielle — pas depuis votre serveur. Toute extension nulled ou téléchargée hors dépôt officiel doit être supprimée définitivement.
3. Récupérer uniquement les contenus : la base de données nettoyée et le répertoire uploads, inspecté au préalable — aucun fichier .php n'a rien à y faire.
4. Repartir d'un wp-config.php neuf, avec de nouvelles clés de sécurité.

Si vous disposez d'une sauvegarde antérieure à la compromission et que vous savez précisément dater celle-ci, restaurez-la : c'est plus rapide et plus sûr. Encore faut-il l'avoir testée avant — le sujet mérite à lui seul un article.

7. Sortir des listes noires et reprendre la main sur Google

Une fois le site propre et remis en ligne :

Dans la Search Console, faites une demande de réexamen en décrivant ce que vous avez corrigé. Vérifiez également l'index : si des centaines de pages de spam ont été indexées sous votre domaine, il faut les faire disparaître, sans quoi votre référencement restera dégradé pendant des mois.

Contrôlez enfin votre réputation d'expéditeur d'e-mails. Un site compromis a très souvent servi à envoyer du spam, et votre domaine peut se retrouver sur une liste noire — avec pour conséquence que vos devis n'arrivent plus chez vos clients. C'est le dégât le plus insidieux, parce qu'il est silencieux.

Et l'obligation de déclaration

Si des données personnelles ont pu être consultées ou exfiltrées — fichier clients, formulaires de contact, comptes utilisateurs — vous êtes dans le champ du RGPD. La notification à la CNIL doit intervenir dans les 72 heures après la prise de connaissance de la violation, sauf si elle est peu susceptible d'engendrer un risque pour les personnes.

Beaucoup de dirigeants l'ignorent, et l'absence de notification aggrave nettement la situation en cas de contrôle. Les autres obligations d'un site vitrine sont détaillées dans les six obligations réelles du RGPD.

Ce que ça va coûter

Si vous confiez l'opération, comptez selon l'ampleur : quelques centaines d'euros pour un site récemment compromis et bien sauvegardé, plusieurs milliers pour un site infecté depuis des mois, sans sauvegarde, avec du contenu à récupérer manuellement. J'ai détaillé les fourchettes et ce qui les fait basculer dans combien coûte vraiment le nettoyage d'un site WordPress piraté.

La demi-journée qui évite la récidive

Une fois la crise passée, bloquez une demi-journée. Supprimez toutes les extensions dont vous ne pouvez pas nommer l'usage. Activez les mises à jour automatiques de sécurité. Mettez en place une sauvegarde hors serveur, et restaurez-la une fois pour vérifier qu'elle fonctionne. Limitez les comptes administrateurs à deux personnes.

Ces quatre points coûtent une demi-journée et éliminent l'essentiel du risque. C'est nettement moins cher que la semaine que vous venez de perdre.