Vous vous réveillez un matin et découvrez que votre site WordPress s’est transformé en succursale de casino en ligne ou a discrètement écopé d’une pénalité Google. Cela vous rappelle quelque chose? Un piratage détruit bien plus que des fichiers sur un serveur: le trafic tombe à zéro, le référencement s’effondre et l’activité s’arrête net pendant des jours, parfois des semaines.

Le pire moment, c’est quand le support d’hébergement lève les bras: «Les sauvegardes sont aussi infectées, on ne peut rien faire.» Une histoire classique pour des milliers de propriétaires de sites, surtout ceux qui utilisent des offres d’hébergement mutualisé bon marché.

La bonne nouvelle: même un site totalement compromis peut être nettoyé et restauré en une soirée. Sans armée de développeurs ni contrats onéreux avec des sociétés de sécurité. Il vous faut simplement garder la tête froide, suivre la bonne séquence d’étapes et comprendre où se cache le code malveillant.

💡 Aperçu rapide:

• Évaluez l’ampleur des dégâts: avez-vous accès à l’administration, que dit l’hébergeur, quels fichiers sont touchés
• Contactez votre hébergeur et obtenez la liste des fichiers infectés
• Supprimez ou remplacez les fichiers compromis via cPanel, FTP ou WP-CLI
• Restaurez une version propre du site à partir d’une sauvegarde ou réinstallez le cœur
• Changez TOUS les mots de passe, les clés de sécurité dans wp-config.php et refermez la brèche
• Demandez le retrait des listes noires de Google et de l’hébergeur

Étape 1: Évaluez l’ampleur des dégâts et ne paniquez pas

D’abord, vérifiez si le panneau d’administration est accessible. Si wp-admin vous laisse entrer et que vous pouvez vous connecter, la situation est rattrapable, souvent en moins d’une heure. Si l’accès est bloqué, il faudra passer par le panneau d’hébergement ou FTP, mais ce n’est pas non plus une condamnation à mort.

Ensuite: ne supprimez pas tout le site dans un accès de panique. Dans 90% des cas, ce sont des fichiers spécifiques qui sont infectés, pas l’intégralité de l’installation WordPress. Allez dans la Search Console de Google, onglet Sécurité, vous y trouverez les URL que Google a signalées comme malveillantes. Cela vous donne une première idée de l’étendue du problème.

Troisièmement: contactez immédiatement votre hébergeur. Pas avec un message du type «on a été piraté, aidez-nous», mais de façon précise: «Envoyez-moi la liste des fichiers modifiés avec les horodatages et les journaux d’activité suspecte des 72 dernières heures.» L’hébergeur dispose des logs serveur, il voit les anomalies et peut fournir une liste exacte des fichiers infectés.

Si le support traîne les pieds, faites monter la pression: appelez, publiez un message sur les réseaux sociaux de l’entreprise, ouvrez un autre ticket. La plupart des hébergeurs prennent les réclamations publiques au sérieux, car le préjudice d’image coûte plus cher qu’une heure de temps ingénieur.

Étape 2: Trouvez et supprimez les fichiers infectés

Une fois que vous avez reçu la liste des fichiers infectés de votre hébergeur ou que vous les avez découverts via un scanner, procédez méthodiquement. L’ordre est important: oubliez une seule porte dérobée et le pirate revient dans les 24 heures.

Faites une copie complète du site. Téléchargez TOUS les fichiers sur votre ordinateur en local via FTP ou SFTP. Même les fichiers infectés, car ils serviront à l’analyse et de filet de sécurité en cas de problème.

Réinstallez le cœur de WordPress. Supprimez complètement les dossiers wp-admin et wp-includes, puis téléchargez un ZIP propre depuis wordpress.org et décompressez-le par-dessus les fichiers existants. Remplacez tout sauf wp-content et wp-config.php. Cela garantit que les fichiers système sont sains.

Vérifiez wp-content. Les extensions et les thèmes sont les cibles principales des attaquants. Si une extension est infectée, supprimez entièrement son dossier et réinstallez-la depuis le dépôt officiel. Si un thème est infecté et que vous utilisez un thème enfant, il est très probable que seul le thème parent ait été touché, donc réinstallez-le.

Recherchez les signatures de code malveillant. Les marqueurs classiques des shells PHP et des portes dérobées: eval et base64_decode sont les plus courants. Cherchez aussi gzinflate, str_rot13 et assert. Lancez une recherche grep sur tous les fichiers .php. Vérifiez les fichiers cachés: .htaccess, php.ini et les fichiers .ico contenant du code PHP. Les pirates adorent déguiser les portes dérobées en icônes inoffensives.

Étape 3: Restaurez le site à partir d’une copie propre

Si vous avez une sauvegarde et qu’elle est propre, vous avez de la chance: la restauration prend 15 à 20 minutes. Allez dans votre extension de sauvegarde ou votre panneau d’hébergement, sélectionnez un point de restauration ANTÉRIEUR à la date du piratage et lancez le processus. Immédiatement après la restauration, lancez un scanner de sécurité: la porte dérobée a pu être installée bien avant l’attaque active.

Pas de sauvegarde? Réinstallez WordPress via le panneau d’administration: «Mises à jour» → «Réinstaller». Cela met à jour le cœur mais laisse les extensions et les thèmes intacts, et vous devrez les vérifier manuellement comme décrit à l’étape 2.

Après la restauration, assurez-vous que le site se charge et passez immédiatement à l’étape 4. L’attaquant peut tenter de revenir par une porte dérobée restante dans les heures qui suivent.

Étape 4: Changez tous les identifiants et toutes les clés

Première chose à faire, et la plus urgente: générez de nouvelles clés de sécurité WordPress. Insérez-les dans wp-config.php en remplacement des anciennes. Cela déconnecte instantanément TOUTES les sessions actives, y compris celle du pirate s’il se trouve encore dans l’administration.

Ensuite, modifiez chaque élément de cette liste sans rien omettre:

• Le mot de passe administrateur WordPress et celui de tous les utilisateurs ayant le rôle «administrateur»
• Le mot de passe de l’hébergement: cPanel, ISPmanager ou panneau personnalisé
• Le mot de passe de la base de données MySQL, puis mettez à jour wp-config.php
• Le mot de passe FTP ou SFTP
• Le mot de passe du compte email lié à l’administration du site
• Les clés API: Google Search Console, CDN, services d’envoi d’emails, passerelles de paiement

Vérifiez la table wp_users dans la base de données: y a-t-il des utilisateurs inconnus avec des privilèges administrateur? Si vous en trouvez, supprimez-les immédiatement. C’est une trace d’attaque classique: le pirate crée un compte caché et revient par ce biais après votre «nettoyage».

Étape 5: Demander le retrait des listes noires

Après le nettoyage, le site peut encore apparaître sur les listes noires de Google Safe Browsing pendant plusieurs jours. Les navigateurs afficheront un écran d’avertissement rouge même si le code malveillant a déjà été supprimé. Rendez-vous dans le panneau de sécurité de la Search Console, onglet «Problèmes de sécurité», et cliquez sur «Demander un examen». Google lève généralement le signalement sous 24 à 72 heures.

Parallèlement, contactez votre hébergeur: il a peut-être ajouté votre IP ou votre domaine à une liste noire interne, ce qui empêche le site de se charger alors qu’il est propre. Expliquez que le nettoyage a été effectué et demandez la levée du blocage.

Une fois tous les signalements levés, vérifiez le site en navigation privée. Il doit se charger sans avertissement de sécurité. Conservez une capture d’écran, elle pourra vous être utile si le blocage réapparaît.

Étape 6: Refermer la brèche et renforcer la protection

Le nettoyage n’est que la moitié du travail. Si vous ne refermez pas la brèche par laquelle ils sont passés, le deuxième piratage sera des dizaines de fois plus rapide que le premier. Vous connaissez désormais le vecteur d’attaque exact, alors exploitez cette information.

Installez un pare-feu. Wordfence fournit un pare-feu applicatif et un scanner de signatures, et la version gratuite suffit pour la plupart des sites. Solid Security (anciennement iThemes Security) ajoute un ensemble de règles de durcissement: changement du préfixe de base de données, désactivation de l’éditeur de fichiers dans l’administration et authentification à deux facteurs. Configuration minimale: un pare-feu et un scanner.

Connectez un WAF cloud. Cloudflare avec les règles WordPress ou Sucuri filtrent le trafic avant qu’il n’atteigne le serveur. Après un piratage, ce n’est pas un luxe mais une nécessité: un WAF cloud bloque les requêtes malveillantes au niveau DNS et réduit la charge sur votre site.

Mettez en place une surveillance de l’intégrité des fichiers. Wordfence et Solid Security peuvent vous alerter en cas de modification des fichiers PHP. Vous serez informé d’une nouvelle attaque dans la minute, et non une semaine plus tard lorsque Google signalera le site comme malveillant.

Passez en revue votre liste de plugins. Chaque plugin superflu est un point d’entrée potentiel. Supprimez tout ce que vous n’utilisez pas. Mettez à jour les autres vers les dernières versions et activez les mises à jour automatiques lorsque c’est possible.

Comment protéger WordPress des piratages à l’avenir

La prévention coûte des centaines de fois moins cher que la remédiation. Voici ce que vous devez faire dès maintenant, même si votre site n’a pas encore été piraté.

Migrer vers un hébergement managé

Quatre dollars par mois pour un plan mutualisé, c’est un prix tentant. Mais quand votre site cohabite sur le même serveur avec des centaines d’autres, un piratage chez l’un de vos voisins vous atteint presque à coup sûr. La contamination entre sites sur un hébergement mutualisé n’est pas une théorie: selon Sucuri, environ un tiers des sites WordPress infectés sont hébergés sur des plateformes mutualisées.

L’hébergement WordPress managé (WP Engine, Kinsta, Cloudways) offre un environnement isolé, des sauvegardes quotidiennes automatiques et une équipe de sécurité disponible 24 heures sur 24. Oui, c’est plusieurs fois plus cher qu’un plan mutualisé. Mais une semaine d’indisponibilité après un piratage coûte plus cher qu’un an d’abonnement à un bon hébergement.

Lorsque vous choisissez un hébergeur, vérifiez trois choses: votre environnement est-il isolé de celui des voisins, y a-t-il des sauvegardes quotidiennes automatiques, et en combien de temps le support répond-il aux incidents de sécurité. Les réponses à ces questions sont le meilleur indicateur pour savoir si vous survivrez au prochain piratage sans pertes.

Maintenir le cœur, les thèmes et les extensions à jour

La grande majorité des piratages WordPress réussis passent par des vulnérabilités connues dans les extensions et les thèmes, celles-là mêmes que les développeurs ont déjà corrigées par des patchs. Les attaquants scannent automatiquement Internet à la recherche de sites utilisant des versions non patchées, souvent dans les 48 heures suivant la publication d’un CVE.

Les mises à jour automatiques du cœur de WordPress sont activées par défaut depuis la version 5.5. Pour les extensions et les thèmes provenant du dépôt officiel WordPress.org, activez les mises à jour automatiques de manière sélective, car cela ne présente pas de risque. Les extensions premium provenant de leurs propres sites doivent être mises à jour manuellement, mais au moins une fois par semaine.

Et oui, faites une sauvegarde avant chaque mise à jour majeure. Systématiquement.

Mettre en place une sauvegarde

Sans sauvegarde récente, la remédiation après un piratage se transforme en un tri manuel de dizaines de milliers de fichiers. Avec une sauvegarde, c’est cinq clics et une demi-heure d’attente.

Jetpack VaultPress Backup réalise des sauvegardes incrémentielles en temps réel avec un stockage dans le cloud d’Automattic. BlogVault est spécialisé dans WordPress et peut restaurer un site même si le panneau d’administration est hors service. BackWPup est une option gratuite avec planification et envoi vers Dropbox, S3 ou Google Drive.

La référence absolue: une sauvegarde cloud plus une sauvegarde locale que vous téléchargez sur votre ordinateur une fois par semaine. La sauvegarde cloud vous sauve si l’hébergeur tombe en panne, et la sauvegarde locale vous sauve si le compte cloud est également compromis.

Activer l’authentification à deux facteurs

Un mot de passe comme admin123 ou qwerty est une invitation ouverte. Les attaques par force brute sur wp-login.php tournent 24 heures sur 24, et les mots de passe simples sont cassés en quelques secondes. Générez des mots de passe d’au moins 20 caractères via un gestionnaire de mots de passe (Bitwarden ou 1Password), et n’utilisez jamais le même mot de passe sur plusieurs sites.

L’authentification à deux facteurs via Wordfence Login Security ou Two Factor ferme presque complètement le vecteur de la force brute: même en connaissant le mot de passe, un attaquant ne peut pas entrer sans le code TOTP provenant de votre téléphone.

Et modifiez l’URL de connexion standard /wp-admin et /wp-login.php pour une URL personnalisée. Ce n’est pas une solution miracle, mais cela élimine la grande majorité des robots automatisés qui martèlent les points d’accès standard sans regarder.

⁉️🤔 Questions fréquentes

Puis-je restaurer un site sans sauvegarde?

Oui, mais la procédure est plus longue et plus complexe. Réinstallez le cœur de WordPress via le panneau d’administration, vérifiez manuellement chaque extension et chaque thème à la recherche de code malveillant en utilisant des signatures comme eval, base64_decode et gzinflate dans les fichiers .php. Changez tous les mots de passe et les clés de sécurité. Le contenu n’est généralement pas touché: il se trouve dans la base de données, à laquelle les pirates s’attaquent rarement. Un nettoyage complet sans sauvegarde prend de 2 à 4 heures selon la taille du site.

Comment savoir si mon site a été piraté?

Signaux: la Google Search Console affiche un avertissement de sécurité, le navigateur bloque le site avec un écran rouge, le trafic a chuté brutalement, des pages inconnues apparaissent dans les résultats de recherche, le panneau d’administration refuse le mot de passe correct, ou l’hébergeur a envoyé une notification d’activité suspecte. Vérification rapide: lancez le scanner gratuit Sucuri SiteCheck, qui indique les infections connues en une minute.

Que faire si l’hébergeur ne veut pas m’aider?

Changez d’hébergeur. Si le prestataire n’a pas fourni une liste des fichiers infectés et les logs serveur dans les 24 heures suivant l’incident, c’est que son équipe sécurité n’existe pas ou est débordée. Pour un site professionnel, ce n’est pas un partenaire fiable. Pendant la remise en état, souscrivez un hébergement managé minimal, déplacez-y une copie propre du site et résiliez l’ancien compte.

Le bouton «Réinstaller» du panneau d’administration suffit-il?

Non. Le bouton «Réinstaller» de la section «Mises à jour» ne remplace que les fichiers du cœur de WordPress. Il ne touche ni aux extensions infectées, ni aux thèmes, ni aux portes dérobées cachées dans wp-content, ni aux entrées malveillantes du .htaccess. Vous devez effectuer le cycle complet: analyse, remplacement des fichiers infectés, réinitialisation des mots de passe et des clés, et vérification de la base de données à la recherche d’administrateurs cachés.

Est-ce que cela vaut la peine de payer pour un nettoyage professionnel?

Si le site génère du chiffre d’affaires et qu’une journée d’indisponibilité coûte plus de quelques centaines d’euros, oui, faites appel à un spécialiste. Sucuri propose un nettoyage de site ponctuel, il y a des freelances sur Codeable et des agences WordPress spécialisées. Pour un petit blog ou une page d’atterrissage, le guide ci-dessus suffit: le nettoyage vous prendra une soirée, et l’argent économisé pourra être investi dans un hébergement de qualité.

Combien de temps faut-il pour que le site retrouve son classement dans les moteurs de recherche?

Une fois le blocage levé par la Google Search Console, le site est réindexé en quelques jours. Les positions ne reviennent pas immédiatement: les algorithmes ont besoin de temps pour vérifier que les pages sont propres. En général, une récupération complète prend de 2 à 4 semaines. L’essentiel est de colmater la brèche par laquelle ils sont passés, sinon une deuxième attaque réduira tous vos efforts à néant.

Site restauré: que faire pour que le piratage ne se reproduise pas

Un piratage est un signal d’alarme qui révèle où votre protection a cédé. Considérez-le comme un audit de sécurité gratuit: vous connaissez désormais le vecteur d’attaque exact et pouvez le neutraliser définitivement.

Une checklist rapide pour l’avenir:

• Migrez le site vers un hébergement managé avec un environnement isolé
• Mettez en place des sauvegardes quotidiennes: une dans le cloud, une en local
• Installez un pare-feu et un scanner, activez les mises à jour automatiques pour les extensions issues du dépôt officiel
• Activez l’authentification à deux facteurs pour tous les administrateurs
• Supprimez les extensions et les thèmes inutilisés

Le plus dangereux après un piratage, c’est de se dire «cela n’arrivera plus». Une deuxième attaque via la même brèche est bien plus fréquente que la première: la porte dérobée est déjà en place et l’attaquant connaît l’adresse du site. Parcourez l’intégralité de cette checklist, fermez le point d’entrée et dormez sur vos deux oreilles.