Que faire en cas de piratage d'un site WordPress

WordPress alimente aujourd’hui plus de 40 % des sites web dans le monde, ce qui en fait une cible privilégiée pour les pirates. Chaque minute, des dizaines de milliers de tentatives d’attaques automatisées visent des sites WordPress, et une large majorité des failles provient des plugins et thèmes non mis à jour. Cet article complet vous guide, étape par étape, pour savoir quoi faire immédiatement en cas de piratage, comment nettoyer votre site et comment renforcer durablement sa sécurité.

Comment détecter un piratage sur un site WordPress

Plus vous détectez tôt un piratage, plus vous limitez les dégâts (perte de données, dégradation SEO, fuite de données clients, blocage du site, etc.). Les signes d’intrusion peuvent être évidents… ou très subtils. Voici les principaux indicateurs à surveiller.

Signes techniques et visibles de piratage

• Redirections suspectes : votre site renvoie vers des pages inconnues (sites d’arnaques, casinos, contenus adultes, pharmacies en ligne, etc.), parfois uniquement pour certains visiteurs (mobile, pays spécifique, visiteur non connecté).
• Contenu modifié sans votre accord : ajout de liens sortants étranges, textes en langues étrangères, pages créées à votre insu, articles « pharma » ou faux produits.
• Pop-ups ou scripts intrusifs : apparition de fenêtres publicitaires, de demandes de téléchargement ou d’extensions inconnues pour les visiteurs.
• Thème visuel altéré : changement soudain du thème, du logo, du pied de page ou de certains blocs de contenu sans aucune intervention de votre part.
• Comptes utilisateurs inconnus : présence de nouveaux comptes administrateurs ou éditeurs que vous n’avez jamais créés.

Signes SEO et comportementaux

• Chute brutale du trafic organique : baisse soudaine des visites en provenance de Google, sans changement éditorial ou technique de votre côté.
• Avertissements dans les résultats de recherche : mention « Ce site peut être piraté » ou « Ce site peut endommager votre ordinateur » dans les pages de résultats.
• Pages indexées inconnues : dans les résultats de recherche, vous voyez des URLs ou des titres de pages que vous ne reconnaissez pas (pages en langue étrangère, spam SEO, etc.).

Surveiller ses statistiques et ses outils Google

• Google Analytics / Matomo : surveillez les pics anormaux de trafic, les visites venant de pays inattendus, ou une explosion de sessions sur des pages que vous n’avez jamais créées.
• Google Search Console :
  • Consultez régulièrement la section « Sécurité et actions manuelles » pour vérifier l’absence d’alertes de piratage ou de spam.
  • Analysez les « Performances » et les « Pages indexées » pour repérer des URLs malveillantes ou nouvellement apparues.

Utiliser des outils de détection de malware et d’intrusions

Les pirates injectent souvent du code malveillant dans les fichiers ou la base de données. Pour les repérer, utilisez des outils spécialisés :

• Plugins de sécurité :
  • Wordfence : scanner de malwares, pare-feu applicatif (WAF), blocage d’IP, alertes en temps réel.
  • Sucuri Security : analyse d’intégrité des fichiers, surveillance de la liste noire, notifications de changements.
  • iThemes Security (Solid Security) : détection d’activités suspectes, protection contre la force brute, durcissement de WordPress.
• Scanners externes : certains services en ligne scannent votre site depuis l’extérieur afin de détecter des redirections, du spam SEO ou des scripts malveillants visibles côté navigateur.
• Audit log (journal d’activité) :
  • Des extensions de type « audit log » enregistrent les connexions, modifications de fichiers, changements de rôles utilisateurs, etc.
  • Un pic de modifications ou une connexion depuis un pays inhabituel peut trahir un piratage.

Actions d’urgence à entreprendre dès que vous suspectez un piratage

Dès que vous avez le moindre doute sérieux sur un piratage, il est essentiel d’agir immédiatement pour contenir l’attaque, limiter les dégâts et préserver les preuves en cas d’analyse approfondie ultérieure.

1. Mettre le site en quarantaine

• Activer le mode maintenance : affichez une page de maintenance ou de travaux en cours pour éviter que les visiteurs ne soient exposés à du contenu malveillant et pour limiter l’impact sur votre image de marque.
• Désactiver temporairement l’accès public :
  • Via votre hébergeur, vous pouvez restreindre l’accès au site par une protection par mot de passe (HTTP Auth) ou par filtrage d’IP.
  • Pour les cas graves, vous pouvez temporairement couper l’accès HTTP tout en gardant l’accès FTP/SSH et base de données pour investigation.

2. Sauvegarder l’état actuel (même infecté)

Avant toute opération de nettoyage, faites une sauvegarde complète de la situation actuelle du site. Cela peut paraître contre-intuitif, mais c’est crucial :

• Sauvegarde des fichiers : téléchargez l’intégralité des fichiers du site (dossier wp-content, fichiers du noyau, fichiers de configuration) via FTP ou SSH.
• Sauvegarde de la base de données : exportez la base (via phpMyAdmin, WP-CLI ou un outil de sauvegarde) pour conserver un instantané des contenus et du code injecté.
• Objectif : pouvoir analyser a posteriori l’attaque, comprendre le vecteur d’intrusion et, si besoin, fournir des éléments de preuve à un expert en cybersécurité ou à une autorité.

3. Changer tous les mots de passe sensibles

La rotation des mots de passe doit se faire immédiatement, même avant le nettoyage complet :

• Comptes administrateurs WordPress : changez les mots de passe de tous les administrateurs, éditeurs et comptes disposant de droits élevés.
• Accès à l’hébergement : modifiez les identifiants du panneau d’administration (cPanel, Plesk, interface de l’hébergeur).
• FTP / SFTP / SSH : changez les mots de passe et, si possible, désactivez les comptes inutilisés.
• Base de données : générez un nouveau mot de passe pour l’utilisateur MySQL/MariaDB et mettez à jour le fichier wp-config.php.
• Emails associés au domaine : si vos adresses e‑mail ont été compromises, changez également leurs mots de passe.

Utilisez des mots de passe longs, uniques et complexes, idéalement gérés via un gestionnaire de mots de passe. Activez, partout où c’est possible, l’authentification à deux facteurs (2FA).

Restaurer et nettoyer un site WordPress piraté

Une fois l’attaque contenue et les accès sécurisés, vient la phase la plus délicate : le nettoyage et la restauration. L’objectif est double : retrouver un site fonctionnel et s’assurer que le pirate n’a laissé aucune porte dérobée.

1. Identifier l’ampleur de la compromission

• Analyser les journaux (logs) du serveur :
  • Consultez les logs d’accès (access.log) et les logs d’erreur (error.log) pour identifier les IP suspectes, les requêtes anormales ou les appels à des scripts inconnus.
  • Repérez la date et l’heure approximative de la première intrusion pour cibler les modifications de fichiers autour de ce moment.
• Comparer les fichiers à une version saine :
  • Si vous avez une sauvegarde propre, comparez les fichiers récents à ceux de l’ancienne version.
  • Certains plugins de sécurité proposent une comparaison des fichiers du cœur de WordPress avec la version officielle.
• Rechercher des fichiers suspects :
  • Fichiers avec des noms inhabituels ou récemment créés dans wp-content/uploads, wp-includes, wp-admin, ou à la racine du site.
  • Présence de fichiers PHP dans le dossier uploads (ce qui est généralement anormal).

2. Restaurer à partir d’une sauvegarde propre

Si vous disposez d’une sauvegarde récente, testée et non infectée, la solution la plus sûre consiste à restaurer le site à partir de cette sauvegarde :

1. Vérifier l’intégrité de la sauvegarde : idéalement, testez-la sur un environnement de préproduction ou local pour vous assurer qu’elle est exempte de malware.
2. Supprimer les fichiers actuels : effacez (ou renommez) l’ensemble des fichiers compromis sur le serveur, à l’exception, si nécessaire, de certains fichiers de configuration que vous savez propres.
3. Restaurer les fichiers : uploadez les fichiers à partir de la sauvegarde propre.
4. Restaurer la base de données : importez le dump de base de données de la sauvegarde saine.
5. Mettre immédiatement à jour WordPress, les thèmes et les plugins après restauration afin de corriger les failles connues qui ont pu être exploitées.

Si vous ne disposez pas de sauvegarde fiable, vous devrez procéder à un nettoyage manuel plus poussé.

3. Nettoyer manuellement un WordPress piraté (sans sauvegarde saine)

Le nettoyage manuel est plus technique, mais parfois indispensable :

• Réinstaller le noyau WordPress :
  • Téléchargez la dernière version officielle de WordPress.
  • Remplacez tous les fichiers et dossiers du cœur (wp-admin, wp-includes et fichiers à la racine), à l’exception de wp-config.php et du dossier wp-content.
• Nettoyer ou réinstaller les thèmes et plugins :
  • Supprimez tous les thèmes et plugins inutilisés ou suspects.
  • Téléchargez à nouveau depuis leur source officielle (répertoire WordPress.org, éditeur du thème ou du plugin) les thèmes et plugins dont vous avez réellement besoin.
  • Évitez d’utiliser des plugins ou thèmes « piratés » ou téléchargés de sources douteuses.
• Scanner et nettoyer le dossier wp-content :
  • Recherchez des fichiers PHP dans wp-content/uploads ou d’autres emplacements inattendus.
  • Inspectez les fichiers récemment modifiés qui ne devraient pas changer fréquemment (par exemple certains fichiers de thème).
• Inspecter la base de données :
  • Recherchez des entrées suspectes dans les tables de contenu (titres, contenus d’articles, redirections, options).
  • Vérifiez la table des utilisateurs pour détecter des comptes ajoutés par le pirate.
  • Repérez des scripts ou iframes injectés dans les contenus ou dans certaines options (comme l’URL du site, les widgets, etc.).
• Utiliser un outil de nettoyage spécialisé :
  • Certaines solutions de sécurité proposent des services de nettoyage professionnel, qui peuvent être utiles si l’attaque est complexe ou si vous manquez de temps ou de compétences techniques.

4. Vérifier les comptes utilisateurs et les clés de sécurité

• Supprimer les comptes suspects :
  • Passez en revue tous les comptes WordPress, notamment les administrateurs, éditeurs et contributeurs.
  • Supprimez les comptes inconnus et revoyez les rôles des utilisateurs pour limiter les accès aux stricts besoins.
• Régénérer les clés de sécurité WordPress :
  • Dans le fichier wp-config.php, mettez à jour les constantes AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY et leurs SALTs avec de nouvelles valeurs générées via l’outil officiel.
  • Cela invalide toutes les sessions existantes et force les utilisateurs à se reconnecter.

5. Tester le site avant de le remettre en ligne

• Vérifier le fonctionnement : navigation, formulaires, paiement (si e‑commerce), recherche interne, espace membre, etc.
• Lancer un scan complet : exécutez un scanner de sécurité pour vous assurer qu’aucun malware ou porte dérobée n’est détecté.
• Contrôler les redirections : assurez-vous qu’aucune redirection malveillante n’est active pour les visiteurs, y compris sur mobile et pour les utilisateurs non connectés.

Sécuriser WordPress après un piratage

Une fois votre site nettoyé et fonctionnel, l’étape suivante consiste à durcir durablement sa sécurité pour réduire drastiquement le risque de nouvelle intrusion. Le but est de corriger la cause racine du piratage (plugin vulnérable, mot de passe faible, hébergement mal sécurisé, etc.) et de renforcer l’ensemble de la chaîne.

1. Maintenir le site à jour de façon rigoureuse

• Mises à jour du noyau WordPress : activez, si possible, les mises à jour automatiques de sécurité. Les versions mineures corrigent souvent des vulnérabilités critiques.
• Mises à jour des plugins et thèmes :
  • Vérifiez régulièrement les mises à jour disponibles depuis le tableau de bord.
  • Privilégiez les extensions et thèmes maintenus, avec des mises à jour fréquentes et un bon historique.
  • Supprimez les plugins obsolètes ou dont le développement est abandonné.

2. Durcir les accès et l’authentification

• Utiliser un identifiant d’administrateur non trivial : évitez « admin », « administrator » ou votre nom de domaine comme identifiant.
• Activer la double authentification (2FA) pour les comptes administrateurs et, si possible, pour tous les comptes disposant de droits élevés.
• Limiter les tentatives de connexion :
  • Mettez en place un système de limitation des tentatives de login pour bloquer les attaques par force brute.
  • Vous pouvez utiliser un plugin dédié ou une fonctionnalité incluse dans votre solution de sécurité.
• Restreindre l’accès à /wp-admin/ et wp-login.php :
  • Filtrage par adresse IP (whitelist d’IP autorisées pour l’administration, si possible).
  • Captchas ou protection supplémentaire sur la page de connexion.

3. Désactiver les fonctionnalités non nécessaires

• Désactiver l’éditeur de fichiers depuis le back-office : pour empêcher un pirate d’injecter du code dans les fichiers de thème ou de plugin via l’éditeur intégré, vous pouvez désactiver cette fonctionnalité via wp-config.php.
• Limiter ou désactiver XML-RPC si non utilisé : cette interface est parfois exploitée pour des attaques de force brute ou de DDoS applicatif. Si vous n’en avez pas besoin (applications mobiles, Jetpack, etc.), désactivez-la.
• Contrôler les commentaires :
  • Désactivez les commentaires anonymes ou non modérés si vous n’en avez pas l’usage.
  • Mettez en place un système de modération et de lutte contre le spam.

4. Durcir le fichier wp-config.php et la configuration serveur

• Protéger wp-config.php :
  • Placez-le un niveau au-dessus de la racine web si votre hébergeur le permet.
  • Ajoutez des règles de protection via votre fichier de configuration (par exemple, interdiction d’accès direct en HTTP).
• Utiliser des clés de sécurité fortes : assurez-vous que les clés et SALTs sont longues, complexes et générées par un outil fiable.
• Activer un pare-feu applicatif (WAF) :
  • Certains plugins de sécurité incluent un WAF qui filtre les requêtes malveillantes avant qu’elles n’atteignent WordPress.
  • Certains hébergeurs proposent également un WAF au niveau serveur ou réseau.
• Forcer le HTTPS : installez un certificat SSL/TLS et redirigez tout le trafic vers la version sécurisée du site.

5. Mettre en place une stratégie de sauvegarde fiable

• Sauvegardes automatiques régulières :
  • Planifiez des sauvegardes complètes (fichiers + base de données) à une fréquence adaptée à la fréquence de mise à jour de votre contenu.
  • Conservez plusieurs versions historiques (par exemple, plusieurs jours ou semaines en arrière) pour pouvoir revenir à un état antérieur non infecté.
• Sauvegardes externalisées :
  • Stockez les sauvegardes sur un espace externe (cloud, stockage distant, autre serveur) et pas uniquement sur le même serveur que votre site.
  • Testez régulièrement la restauration des sauvegardes sur un environnement de test pour vérifier qu’elles sont exploitables.

Outils et ressources utiles pour sécuriser un site WordPress piraté

De nombreux outils peuvent vous aider à détecter, nettoyer et renforcer la sécurité de votre site. Voici un tableau récapitulatif de quelques solutions couramment utilisées.

Outil	Description
Wordfence	Plugin de sécurité complet incluant scanner de malwares, pare-feu (WAF), blocage d’IP, limitation des tentatives de connexion et alertes détaillées.
Sucuri Security	Suite de sécurité offrant surveillance des fichiers, détection de listes noires, scanner de malware externe, renforcement de la configuration et services de nettoyage professionnel.
iThemes Security (Solid Security)	Solution de durcissement WordPress avec protection contre la force brute, vérification des fichiers système, journalisation des activités et renforcement de la configuration.
Google Search Console	Service gratuit de Google permettant de détecter des problèmes de sécurité, des pages infectées, des baisses de trafic et des pénalités manuelles liées au spam ou au piratage.
Outils d’audit log	Extensions qui enregistrent les connexions, modifications de contenu, changements de rôles utilisateurs et autres événements critiques pour comprendre ce qui s’est passé.
Scanner externalisé	Services en ligne qui analysent publiquement votre site afin de détecter du contenu malveillant, des redirections, du spam SEO ou des scripts suspects visibles côté navigateur.

Obligations légales et communication en cas de piratage

Selon la nature de votre site et les données qu’il traite, un piratage peut avoir des implications légales et réglementaires importantes, notamment en matière de protection des données personnelles.

• Vérifier l’exposition de données personnelles :
  • Identifiez si des données sensibles ont pu être consultées ou exfiltrées (comptes clients, adresses e‑mail, données de paiement, etc.).
  • Consultez vos logs et la structure de votre base de données pour évaluer l’ampleur de la fuite potentielle.
• Informer les utilisateurs concernés :
  • En cas de fuite avérée ou probable de données personnelles, informez les personnes concernées de manière claire, en expliquant les risques et les mesures à prendre (changement de mot de passe, vigilance accrue vis-à-vis d’e‑mails suspects, etc.).
• Se renseigner sur les obligations de notification :
  • Dans de nombreux pays, la loi impose de notifier l’autorité de protection des données en cas de violation de données personnelles présentant un risque pour les personnes concernées.
  • Renseignez-vous sur les démarches à effectuer et sur les délais de notification applicables à votre situation.
• Gérer la communication externe :
  • Préparez un message transparent mais rassurant à destination de vos clients ou visiteurs, expliquant que vous avez identifié un incident, que des mesures de sécurisation et de correction ont été prises et que vous restez disponible pour répondre à leurs questions.

Foire aux questions (FAQ)

Pourquoi mon site WordPress a-t-il été piraté ?

La plupart des piratages WordPress proviennent de failles connues dans les plugins ou thèmes non mis à jour, de mots de passe trop faibles, d’hébergements mal configurés ou de mauvaises pratiques (téléchargement de thèmes ou extensions depuis des sources non fiables, utilisation de scripts obsolètes, etc.). Un site peu entretenu, même peu visité, peut devenir une cible facile pour les robots d’attaque automatisés.

Comment savoir si mon site est réellement piraté ?

Des signes comme des modifications inexpliquées de contenu, des redirections vers des sites douteux, une baisse brutale du trafic, des alertes dans Google Search Console ou des e‑mails d’avertissement de la part de votre hébergeur sont de forts indicateurs d’intrusion. Un scan avec un plugin de sécurité ou un service spécialisé peut confirmer la présence de fichiers ou de code malveillants.

Puis-je restaurer et nettoyer mon site moi-même ?

Oui, il est possible de restaurer soi-même un site piraté si vous disposez d’un backup récent et propre et de connaissances techniques suffisantes (manipulation de fichiers, base de données, configuration). Toutefois, en cas d’attaque complexe, d’absence de sauvegarde fiable ou de site à fort enjeu (e‑commerce, données sensibles, forte audience), il est souvent recommandé de faire appel à un professionnel expérimenté en sécurité WordPress.

Est-ce dangereux de ne pas sécuriser WordPress après un piratage ?

Oui. Si vous vous contentez de supprimer quelques fichiers suspects sans corriger la cause racine, votre site reste vulnérable. Le pirate peut avoir laissé des portes dérobées (backdoors), des comptes cachés ou du code en sommeil prêt à être réactivé. De plus, un site compromis peut servir à diffuser du malware, à envoyer du spam ou à voler les données de vos utilisateurs, avec des conséquences graves sur votre réputation et, potentiellement, sur votre responsabilité légale.

Un site WordPress peut-il redevenir fiable après un piratage ?

Oui, à condition de mener un nettoyage approfondi, de corriger toutes les failles exploitées et de mettre en place une politique de sécurité renforcée (mises à jour régulières, pare-feu applicatif, mots de passe robustes, 2FA, sauvegardes fiables). Beaucoup de sites piratés retrouvent un niveau de confiance élevé, y compris aux yeux de Google, lorsqu’ils sont correctement assainis et renforcés.

Combien de temps faut-il pour récupérer un site WordPress piraté ?

La durée de récupération dépend de la gravité de l’attaque, de l’existence ou non de sauvegardes propres, et du niveau de compétence de la personne en charge du nettoyage. Dans les cas simples, quelques heures peuvent suffire. Dans les cas plus complexes (e‑commerce, multiples extensions vulnérables, base de données fortement altérée, obligations légales), la restauration complète et le durcissement de la sécurité peuvent prendre plusieurs jours.

Bonnes pratiques pour éviter de futurs piratages WordPress

Prévenir vaut toujours mieux que guérir. Après un incident (ou mieux : avant qu’il ne survienne), adoptez des bonnes pratiques de sécurité pour réduire drastiquement votre surface d’attaque.

• Mettre régulièrement à jour tous les composants :
  • Mettez à jour WordPress, vos thèmes et vos plugins dès que des nouvelles versions sont disponibles, en particulier lorsqu’elles corrigent des failles de sécurité.
  • Abonnez-vous aux newsletters ou flux d’actualités de vos extensions critiques (e‑commerce, formulaires, SEO, etc.) pour être informé rapidement des vulnérabilités.
• Limiter l’accès administratif :
  • Utilisez des mots de passe robustes et uniques pour chaque compte.
  • Activez l’authentification à deux facteurs pour les administrateurs.
  • Attribuez à chaque utilisateur le rôle le plus restreint possible pour accomplir ses tâches (principe du moindre privilège).
• Désactiver les fonctionnalités non utilisées :
  • Désactivez ou supprimez les plugins et thèmes inutilisés.
  • Coupez les fonctionnalités dont vous n’avez pas besoin, comme XML-RPC ou l’édition directe de fichiers depuis l’admin.
• Surveiller l’activité du site :
  • Installez un plugin de sécurité avec journalisation des activités (audit log).
  • Surveillez les connexions, les changements de rôles, les modifications de contenu et les erreurs récurrentes.
• Mettre en place des sauvegardes automatiques et externalisées :
  • Planifiez des sauvegardes régulières et stockez-les en dehors du serveur principal.
  • Testez régulièrement la procédure de restauration.
• Former et sensibiliser les équipes :
  • Informez les administrateurs, rédacteurs et intervenants externes des bonnes pratiques en matière de sécurité (mots de passe, phishing, téléchargements, etc.).
  • Évitez le partage de comptes administrateurs entre plusieurs personnes.

Conclusion et appel à l’action

Découvrir que son site WordPress a été piraté est une situation stressante, mais il est possible de reprendre le contrôle avec une méthode rigoureuse. En détectant rapidement les signes d’intrusion, en mettant le site en quarantaine, en nettoyant ou restaurant à partir d’une sauvegarde saine et en renforçant durablement la sécurité, vous pouvez non seulement remettre votre site en ligne dans de bonnes conditions, mais aussi réduire très fortement le risque qu’un tel incident ne se reproduise.

Ne remettez pas à plus tard la sécurisation de votre WordPress. Mettez dès maintenant en place :

• Des sauvegardes automatiques et testées.
• Un plugin de sécurité sérieux avec pare-feu et journalisation.
• Des mises à jour régulières de tous vos plugins, thèmes et du noyau WordPress.
• Des mots de passe forts et, autant que possible, l’authentification à deux facteurs.

Ces quelques bonnes pratiques, appliquées avec régularité, feront la différence entre un site exposé en permanence et un site résilient, capable de résister à la majorité des attaques qui ciblent chaque jour l’écosystème WordPress.