🚫 Site WordPress piraté et désactivé : plan de récupération étape par étape

Votre hébergeur a bloqué votre site pour envoi de spam, et le panneau d’administration refuse de s’ouvrir. Une panique familière à quiconque administre un WordPress depuis plus d’un an. Voici un plan étape par étape: de la négociation avec le support technique au nettoyage manuel sur un serveur local.

La situation est compliquée par le fait que le site est physiquement déconnecté du réseau. Vous ne pouvez pas vous connecter au tableau de bord WordPress, lancer un scanner familier comme Wordfence et cliquer sur «nettoyer». La séquence est donc inversée: nous retrouvons d’abord l’accès, puis nous traitons l’infection.

💡 Aperçu rapide:

• Contactez votre hébergeur: demandez-lui d’ouvrir le site derrière un mot de passe HTTP et de désactiver l’envoi d’emails, ce qui vous donne un accès pour le diagnostic sans risque de nouvelles salves de spam.
• Si l’hébergeur refuse de réactiver le site, montez une copie en local avec XAMPP ou une pile similaire, scannez-la avec des extensions de sécurité et remplacez les fichiers infectés par des versions saines.
• Après le nettoyage, changez TOUS les mots de passe: FTP, base de données, panneau d’hébergement, comptes administrateur WordPress. Mettez à jour le cœur, les thèmes et les extensions vers les dernières versions.
• Mettez en place une protection de base: un pare-feu, la limitation des tentatives de connexion, l’authentification à deux facteurs. Vérifiez la présence de virus sur votre propre ordinateur, une source fréquente de fuite de mots de passe.

Pourquoi les hébergeurs désactivent les sites piratés

Cela semble brutal: vous êtes client, vous payez pour l’hébergement, et ils ont tout simplement désactivé votre site. Mais la logique de l’hébergeur est simple et, si l’on y réfléchit, raisonnable.

Un site WordPress piraté fait deux choses dangereuses. Premièrement, il envoie du spam via le serveur de messagerie de l’hébergeur. Des milliers d’emails partent vers des adresses aléatoires, et l’IP d’envoi se retrouve sur liste noire. Ensuite, TOUS les clients de ce serveur cessent de délivrer leurs emails, et l’hébergeur reçoit un flot de tickets de la part d’utilisateurs innocents.

Deuxièmement, le site se transforme en distributeur de code malveillant. Les visiteurs se voient proposer des chevaux de Troie, des formulaires de phishing ou des scripts de minage cachés. Google le remarque en quelques heures et appose un avertissement «Ce site peut nuire à votre ordinateur». Après cela, le trafic tombe à zéro, et sortir le site des listes noires des moteurs de recherche est une toute autre histoire.

L’hébergeur désactive un site infecté non pas pour vous punir. Il protège son infrastructure et le reste de ses clients. Vous pouvez négocier avec lui, et c’est la première étape.

Étape 1: négocier avec l’hébergeur

Juste après avoir reçu la notification de blocage, écrivez au support technique et proposez un compromis. N’exigez pas «réactivez-le, un point c’est tout». Proposez un plan concret:

• Activer le site derrière un mot de passe HTTP. C’est une fonctionnalité standard d’Apache/Nginx; lors de la visite du site, le navigateur demande un identifiant et un mot de passe. Les visiteurs et les moteurs de recherche ne voient pas le site, mais vous le voyez et pouvez travailler avec le panneau d’administration.
• Désactiver la fonction d’envoi d’emails de l’hébergement. Si le spam est passé par la fonction PHP mail(), l’hébergeur peut bloquer temporairement l’envoi pour votre compte. Le risque de nouveaux envois disparaît, et l’hébergeur est plus rassuré.

Dans la plupart des cas, le support technique coopère. Il est plus rentable pour l’hébergeur que vous nettoyiez le site et restiez client plutôt que de perdre un client et d’avoir un compte mort sur le serveur.

Vous avez obtenu l’accès derrière un mot de passe? Passez au nettoyage (étape 3). Vous n’avez pas réussi à trouver un accord? Voyez l’étape 2.

Étape 2: récupération sans accès au site

L’hébergeur refuse de réactiver le site, même derrière un mot de passe. Cela arrive avec les offres mutualisées bon marché ou si les dégâts liés au spam sont déjà trop importants. Vous avez trois voies possibles.

2.1. Copie locale via XAMPP

Téléchargez l’archive du site via le gestionnaire de fichiers de l’hébergement (ou demandez une sauvegarde au support technique) et exportez la base de données via phpMyAdmin. Déployez la copie sur votre ordinateur local en utilisant XAMPP, LocalWP ou Laragon.

Ensuite, la procédure standard: installez Wordfence, le scanner gratuit le plus populaire avec des signatures de malwares et un pare-feu. Lancez une analyse complète, supprimez tous les fichiers infectés trouvés ou remplacez-les par les originaux d’une distribution WordPress fraîche. Lancez Sucuri Scanner pour vérifier l’intégrité du cœur. Téléversez le site nettoyé sur l’hébergement.

La méthode fonctionne, mais elle nécessite une compréhension de base du fonctionnement interne de WordPress.

2.2. Liste des fichiers infectés fournie par l’hébergeur

Demandez au support technique de vous envoyer la liste des fichiers détectés comme malveillants. Les hébergeurs utilisent souvent ClamAV ou un outil côté serveur similaire et peuvent voir les fichiers spécifiques. Une fois la liste en main, téléchargez ces fichiers via FTP, ouvrez-les dans un éditeur et supprimez les insertions suspectes, généralement du code PHP obscurci au début ou à la fin du fichier.

Pour les fichiers du cœur de WordPress et des extensions populaires, il est plus simple de ne pas nettoyer manuellement mais de les écraser avec les versions originales du dépôt officiel. Après le remplacement, demandez à l’hébergeur de réanalyser le site et, s’il n’y a plus de menaces, d’ouvrir l’accès.

2.3. Spécialiste en sécurité

Si l’infection est étendue et que vous n’avez pas le temps de vous en occuper, faites appel à un spécialiste professionnel. Le coût d’un nettoyage ponctuel dépend de la complexité: l’analyse de base et la suppression des malwares varient de cent cinquante à cinq cents dollars. Des services comme Sucuri proposent un forfait «Nettoyage et protection» avec garantie et surveillance annuelle.

Conseil: avant de contacter un spécialiste, demandez tout de même une sauvegarde des fichiers et de la base de données à l’hébergeur. Ce sont vos données, et l’hébergeur est tenu de vous les fournir.

Étape 3: nettoyer le site après avoir retrouvé l’accès

Vous avez accès au panneau d’administration. Maintenant, parcourez méthodiquement la liste de contrôle.

Sauvegarde complète. Même infectée. Copiez tous les fichiers via FTP et faites un dump de la base de données. Pendant le processus de nettoyage, vous pouvez accidentellement casser quelque chose qui fonctionnait encore; une sauvegarde vous assure contre les erreurs fatales.

Analyse. Installez Wordfence; la version gratuite trouve les malwares par signatures, vérifie les fichiers des thèmes et des extensions par rapport à l’original du dépôt. En parallèle, lancez Sucuri Scanner, qui est spécialisé dans la vérification de l’intégrité du cœur. Deux scanners trouvent plus qu’un seul.

Changement des mots de passe. Tous, immédiatement: comptes administrateur WordPress, accès FTP, utilisateur de la base de données MySQL, mot de passe du panneau d’hébergement. Générez des mots de passe longs et aléatoires. Activez l’authentification à deux facteurs pour le panneau d’administration; Wordfence le fait de manière native.

Mise à jour. Installez la dernière version de WordPress, mettez à jour toutes les extensions et tous les thèmes. Supprimez les extensions inutilisées; chacune est un point d’entrée potentiel.

Étape 4: protection contre une nouvelle compromission

Vous avez nettoyé, maintenant verrouillez pour que cela ne se reproduise pas dans une semaine.

• Pare-feu au niveau du site. Wordfence inclut un pare-feu applicatif web qui bloque les vecteurs d’attaque connus avant même qu’ils n’atteignent WordPress. La version gratuite est suffisante pour les projets non atypiques.
• Limitation des tentatives de connexion. La force brute est la méthode de piratage la plus courante. Une extension comme Limit Login Attempts Reloaded bloque une IP après 3 à 5 tentatives échouées.
• Mises à jour régulières. Les mises à jour automatiques pour les versions mineures de WordPress sont activées par défaut; pour les extensions et les thèmes, configurez des notifications ou utilisez un hébergement géré avec mises à jour automatiques.
• Vérification du PC. Si le mot de passe administrateur a fuité via un cheval de Troie sur votre ordinateur, changer le mot de passe sur le serveur ne servira à rien. Lancez un antivirus (Malwarebytes, la version gratuite gère la plupart des menaces) et vérifiez les extensions du navigateur.

Un point distinct: les sauvegardes. Configurez des sauvegardes automatiques, au moins une fois par jour. L’extension UpdraftPlus sauvegarde gratuitement vers Google Drive, Dropbox ou un FTP séparé. Lors du prochain incident, vous restaurerez le site en 10 minutes, pas en une soirée entière.

⁉️🤔 Questions fréquentes

L’hébergeur est-il obligé de fournir une sauvegarde d’un site piraté?

Les fichiers et la base de données sont votre contenu; l’hébergeur n’a pas le droit de les retenir. Le support technique est tenu de fournir une archive même pour un compte bloqué. En pratique, une demande via le système de tickets résout le problème en une journée.

Puis-je simplement réinstaller WordPress et téléverser une sauvegarde?

Non, car l’infection réside souvent dans la base de données ou le dossier des téléversements, pas seulement dans les fichiers du cœur. Une simple réinstallation et substitution de l’ancienne base de données ramènera très probablement l’infection. Vous avez spécifiquement besoin d’une analyse et d’un nettoyage du site en fonctionnement.

Que faire si Google a signalé le site comme dangereux?

Après un nettoyage complet, allez dans Google Search Console, trouvez la section «Sécurité et actions manuelles» et demandez un réexamen. Google réanalysera le site sous 24 à 72 heures et retirera l’avertissement. Une procédure similaire existe dans les Outils pour webmasters de Bing.

Quelles extensions de sécurité sont indispensables?

L’ensemble minimum pour chaque site: Wordfence (pare-feu + scanner) et Limit Login Attempts Reloaded (protection contre la force brute). Cela suffit à protéger contre les attaques automatisées de masse. Si le site est commercial, ajoutez l’authentification à deux facteurs et la surveillance de l’intégrité des fichiers.

Passer à un hébergement géré aidera-t-il?

Oui, l’hébergement WordPress géré (Kinsta, WP Engine, SiteGround) prend en charge une part significative de la sécurité: pare-feu au niveau du serveur, mises à jour automatiques, conteneurs isolés. Cela n’élimine pas les mesures de base au niveau du site mais réduit la probabilité d’un piratage et simplifie la récupération.

Site piraté et désactivé: checklist finale

La séquence d’actions tient en quatre points. Négociez avec l’hébergeur un accès protégé par mot de passe. Sinon, montez une copie en local et scannez là-bas. Après le nettoyage, changez les mots de passe et mettez tout à jour vers les dernières versions. Configurez un pare-feu, une protection contre la force brute et des sauvegardes quotidiennes.

Si le site est commercial et que les temps d’arrêt coûtent cher, envisagez de passer à un hébergement WordPress géré ou faites appel à un spécialiste pour mettre en place une défense multicouche.

Comment avez-vous récupéré votre site après un blocage par l’hébergeur? Partagez votre expérience dans les commentaires.