Mon site WordPress est piraté : quoi faire, étape par étape

Un site piraté ne s’annonce pas toujours clairement. Parfois, tout semble normal pour vous, alors que vos visiteurs sont redirigés vers des sites douteux ou que Google affiche un avertissement à côté de votre nom. La bonne nouvelle : un site WordPress piraté se récupère presque toujours. La mauvaise : supprimer le fichier suspect ne suffit pas.

Les signes qui doivent vous alerter

• Des visiteurs arrivent sur un autre site, souvent seulement sur mobile ou depuis Google, ce qui rend le problème difficile à voir pour vous.
• Google affiche « Ce site a peut-être été piraté » dans ses résultats, ou un écran rouge d’avertissement.
• Des pages inconnues apparaissent dans Google : faites une recherche site:votre-domaine.com.
• De nouveaux comptes administrateurs, des extensions ou des fichiers que vous n’avez pas ajoutés.
• Votre hébergeur suspend le site, ou vos courriels commencent à être refusés.

1. Ne pas tout effacer tout de suite

Le réflexe est de supprimer ce qui paraît suspect. Faites d’abord une copie complète de l’état actuel, fichiers et base de données. Elle servira à comprendre comment l’attaquant est entré, et à récupérer du contenu si le nettoyage tourne mal.

2. Limiter les dégâts

Prévenez votre hébergeur. Si vos visiteurs sont redirigés vers des sites malveillants, mettez le site en maintenance le temps du nettoyage.

3. Changer tous les accès

• Les mots de passe de tous les comptes administrateurs WordPress.
• Les accès à l’hébergement, au SFTP et à la base de données.
• Le courriel lié au compte administrateur.
• Les clés de sécurité de wp-config.php : les remplacer déconnecte toutes les sessions ouvertes, y compris celles de l’attaquant.

Profitez-en pour activer l’authentification à deux facteurs et supprimer les comptes administrateurs inutiles.

4. Trouver la porte d’entrée

La plupart des piratages passent par une extension ou un thème pas à jour, ou abandonné par son auteur; par un mot de passe faible ou réutilisé; ou par un thème ou une extension payante téléchargée sur un site non officiel (version « nulled »). Si la porte d’entrée reste ouverte, l’attaquant reviendra.

5. Nettoyer

Deux approches, souvent combinées :

• Restaurer une sauvegarde propre, antérieure au piratage. C’est la méthode la plus rapide, à condition d’avoir une sauvegarde assez ancienne : une sauvegarde d’hier peut déjà contenir le code malveillant.
• Réinstaller ce qui peut l’être : le cœur de WordPress, les extensions et le thème, depuis leurs sources officielles. La commande WP-CLI wp core verify-checksums compare les fichiers du cœur aux originaux. Inspectez ensuite ce qui ne se réinstalle pas : le dossier wp-content/uploads, où un fichier .php n’a rien à faire, et la base de données (utilisateurs, options, contenus injectés).

6. Fermer la faille

Mettez tout à jour, supprimez les extensions inutilisées et remplacez celles qui sont abandonnées. Un nettoyage sans correction de la faille ne fait que retarder le prochain piratage.

7. Rétablir la confiance de Google

Dans Google Search Console, le rapport Problèmes de sécurité indique ce que Google a détecté. Une fois le site propre, demandez un réexamen pour faire retirer l’avertissement.

Vérifiez aussi les redirections cachées : avec Redirect Audit, testez votre domaine avec l’identité Googlebot, puis mobile. Un site piraté redirige parfois seulement ces visiteurs.

8. La Loi 25, si des renseignements personnels sont touchés

Si le site contient des renseignements personnels (formulaires, comptes clients, commandes WooCommerce), le piratage peut constituer un incident de confidentialité. L’entreprise doit alors :

• prendre des mesures raisonnables pour diminuer le risque de préjudice;
• évaluer si le risque de préjudice est sérieux. Si oui, elle doit s’empresser d’aviser la Commission d’accès à l’information et les personnes concernées;
• inscrire l’incident dans son registre, même sans risque sérieux. Le registre se conserve au moins cinq ans.

Ce n’est pas un avis juridique : au besoin, consultez un juriste. Voir aussi Loi 25 : ce que votre site WordPress doit avoir.

Pourquoi un site est souvent piraté de nouveau

• La faille d’origine n’a pas été corrigée.
• Une porte dérobée est restée cachée : un fichier, un compte administrateur ou une tâche planifiée.
• La sauvegarde restaurée était déjà infectée.

Prévenir plutôt que nettoyer

Des mises à jour régulières, des sauvegardes fréquentes conservées hors du serveur, un pare-feu applicatif, une protection contre les tentatives de connexion répétées et une surveillance qui avertit rapidement en cas de problème.

Chez cabana.dev, chaque hébergement comprend un pare-feu applicatif, Fail2Ban contre la force brute, une surveillance de disponibilité chaque minute et des sauvegardes jusqu’à chaque heure. L’option de désinfection ajoute une surveillance continue et le nettoyage automatique des logiciels malveillants.

Références : WordPress — FAQ My site was hacked · WordPress — Hardening WordPress · WP-CLI — verify-checksums · Google — Rapport sur les problèmes de sécurité · CAI — Incidents de confidentialité.