Site WordPress piraté : que faire pour le nettoyer et le sécuriser

Tu ouvres ton site et il redirige vers une boutique de pilules douteuses. Ou Google affiche un gros avertissement rouge « site trompeur » à tes visiteurs. Ou un lecteur te signale que ton site lui propose de télécharger un « antivirus » qu'il n'a jamais demandé. Mauvaise nouvelle : ton site WordPress a probablement été piraté.

Bonne nouvelle : dans la grande majorité des cas, un site WordPress piraté se nettoie et se sécurise sans tout reconstruire de zéro. Il faut juste agir dans le bon ordre, méthodiquement, sans précipitation. Ce guide te donne les 10 réflexes d'urgence, du constat au durcissement, pour reprendre le contrôle de ton site.

Et si tu n'as jamais fait ça, respire : chaque étape est expliquée simplement, et tu sauras exactement à quel moment il vaut mieux appeler un pro plutôt que de continuer seul.

Les signes qui ne trompent pas : ton site est-il vraiment piraté ?

Avant de tout casser, vérifie que c'est bien un piratage et pas un simple bug. Voici les symptômes typiques d'un site WordPress compromis.

Les redirections sauvages. Le symptôme le plus courant : ton site redirige les visiteurs vers des sites de paris, de pharmacies en ligne, de fausses loteries ou de contenus pour adultes. Parfois la redirection ne touche que les visiteurs venant de Google (le pirate veut garder ton trafic de recherche) et pas toi quand tu tapes l'adresse directement. Teste ton site depuis une fenêtre de navigation privée ou demande à un ami de l'ouvrir.

Les alertes des navigateurs et de Google. Chrome, Firefox ou Edge affichent « site trompeur » ou « le site à venir contient des logiciels malveillants ». Dans la Search Console de Google, un message « problèmes de sécurité détectés » apparaît. Ces alertes signifient que Google a repéré du code malveillant sur tes pages.

Des utilisateurs inconnus dans ton admin. Va dans Utilisateurs > Tous les utilisateurs : si tu vois des comptes administrateurs que tu n'as jamais créés, avec des noms bizarres ou des adresses e-mail suspectes, le pirate s'est créé une porte d'entrée.

Des fichiers modifiés récemment. Dans le gestionnaire de fichiers de ton hébergeur, trie les fichiers par date de modification. Des fichiers .php modifiés à 3h du matin dans wp-content/uploads (un dossier qui ne devrait contenir que des images) sont un très mauvais signe.

Les autres indices : ton site est soudain très lent, ton hébergeur te signale des envois massifs de spam depuis ton serveur, des pages ou des articles que tu n'as pas écrits apparaissent, ou ta page d'accueil affiche un message de « defacement » (le pirate signe son passage).

Les 10 réflexes d'urgence, dans l'ordre

L'ordre compte : faire les choses dans le désordre (par exemple nettoyer avant de changer les mots de passe) laisse la porte ouverte au pirate, qui reviendra.

1. Isole le site pour protéger tes visiteurs. Mets le site en mode maintenance le temps de l'intervention, ou demande à ton hébergeur de le suspendre temporairement. Un site piraté qui continue d'infecter ses visiteurs, c'est ta réputation qui trinque — et Google qui te déclasse.

2. Change TOUS les mots de passe, depuis un appareil sain. Dans cet ordre : mot de passe WordPress admin, mot de passe du compte hébergeur, mot de passe FTP/SFTP, mot de passe de la base de données (pense à mettre à jour le fichier wp-config.php ensuite), et mot de passe de l'adresse e-mail associée au site. Utilise des mots de passe longs et uniques, générés par un gestionnaire de mots de passe.

3. Fais une sauvegarde de l'état actuel, même infecté. Ça paraît contre-intuitif, mais sauvegarde fichiers + base de données avant de nettoyer. Si le nettoyage tourne mal, tu pourras revenir en arrière, et un expert pourra analyser l'infection à partir de cette copie.

4. Lance un scan de sécurité. Installe un plugin de sécurité reconnu (Wordfence ou Sucuri, versions gratuites suffisantes pour un scan) et lance une analyse complète. Le scan identifie les fichiers infectés, les backdoors et les modifications suspectes. Beaucoup d'hébergeurs proposent aussi un scan antivirus côté serveur : demande-le au support.

5. Supprime les utilisateurs et les accès inconnus. Dans Utilisateurs, supprime tous les comptes que tu ne reconnais pas. Vérifie aussi les clés API, les sessions connectées et les éventuelles tâches planifiées (cron) ajoutées par le pirate côté hébergement.

6. Réinstalle un WordPress propre. Télécharge une copie neuve de WordPress depuis wordpress.org et remplace les dossiers wp-admin et wp-includes ainsi que les fichiers à la racine — sans toucher à wp-content ni à wp-config.php. C'est la méthode la plus sûre pour éliminer le code malveillant caché dans le cœur du système.

7. Réinstalle tous les plugins et thèmes depuis des sources officielles. Les extensions sont la porte d'entrée la plus fréquente. Supprime chaque plugin et réinstalle-le depuis le répertoire officiel ou le site du développeur. Fais pareil pour le thème actif, et supprime tous les thèmes et plugins inactifs : chaque extension inutile est une faille potentielle en moins à surveiller. Un plugin qui fait planter le site après activation est d'ailleurs souvent le signe d'un fichier corrompu ou vérolé.

8. Fouille le dossier uploads. wp-content/uploads ne devrait contenir que des médias. Cherche les fichiers .php, .phtml ou .ico suspects planqués dans les sous-dossiers et supprime-les. Pour empêcher toute récidive, tu peux ajouter une règle dans un fichier .htaccess placé dans uploads pour interdire l'exécution de scripts PHP.

9. Nettoie la base de données. Les pirates y cachent du code dans les options (table wp_options), les contenus d'articles ou les widgets. Cherche les chaînes suspectes (eval(, base64_decode, liens vers des domaines inconnus) et supprime-les. En cas de doute, restaure plutôt une sauvegarde datant d'avant le piratage.

10. Vérifie wp-config.php et .htaccess. Ces deux fichiers sont des cachettes classiques. Compare-les avec des versions saines : tout code chiffré ou toute ligne que tu ne reconnais pas doit disparaître. Vérifie aussi qu'aucune adresse e-mail d'administrateur n'a été modifiée.

Nettoyer le site en profondeur : fichiers et base de données

Le scan initial a repéré les dégâts visibles, mais un bon nettoyage va plus loin. Les pirates déposent souvent plusieurs portes dérobées (backdoors) : en supprimer une seule ne suffit pas, le pirate reviendra par les autres.

Compare avec une installation saine. La méthode la plus fiable : compare chaque dossier de ton site avec une copie neuve de la même version de WordPress, des mêmes plugins et du même thème. Tout fichier en trop ou modifié sans raison est suspect. Les gestionnaires de fichiers de certains hébergeurs affichent les dates de modification, ce qui accélère le tri.

Traque les motifs de code malveillant. Dans les fichiers suspects, cherche les fonctions souvent détournées : eval, base64_decode, gzinflate, str_rot13, ou des blocs de code illisibles sur une seule ligne. Un fichier .php nommé comme une image (logo.php dans uploads, par exemple) est quasiment toujours malveillant.

Pense à la base de données. Vérifie les tables wp_options (options siteurl, home, et les transients), wp_posts (contenu et extraits modifiés) et wp_users (comptes et rôles). Les injections de liens de spam se cachent souvent dans le pied de page ou les widgets enregistrés en base.

Après le nettoyage, rescanne. Relance un scan complet une fois le nettoyage terminé, puis surveille le site pendant quelques jours : réapparition de fichiers suspects, nouveaux utilisateurs, redirections qui reviennent. Si l'infection réapparaît, c'est qu'une porte dérobée subsiste — ou que la faille d'origine (plugin vulnérable, mot de passe faible) n'a pas été corrigée.

Durcir la sécurité pour ne pas être re-piraté

Un site nettoyé mais non durci, c'est une porte dont on a changé la serrure sans réparer le chambranle. Voici les mesures qui comptent vraiment.

Active la double authentification (2FA). Même avec un mot de passe volé, le pirate ne pourra pas se connecter sans le code de ton téléphone. C'est la mesure la plus efficace contre les connexions frauduleuses à l'admin.

Tiens tout à jour, automatiquement si possible. WordPress, thèmes et plugins : active les mises à jour automatiques pour les versions mineures de sécurité. La plupart des piratages exploitent des failles déjà corrigées dans des versions que les victimes n'avaient pas installées.

Limite les tentatives de connexion. Un plugin de limitation des tentatives bloque les attaques par force brute qui essaient des milliers de mots de passe. Change aussi l'identifiant « admin » si tu l'utilises encore : c'est la première cible des robots.

Réduis la surface d'attaque. Supprime les plugins et thèmes que tu n'utilises pas. Désactive l'éditeur de fichiers intégré (en ajoutant define('DISALLOW_FILE_EDIT', true); dans wp-config.php) pour qu'un éventuel intrus ne puisse pas modifier tes fichiers depuis l'admin. Protège le dossier wp-admin par une restriction d'accès si ton hébergeur le permet.

Automatise les sauvegardes hors site. Une sauvegarde quotidienne stockée ailleurs que sur ton serveur (cloud, autre hébergeur) transforme n'importe quel futur incident en simple formalité : tu restaures, tu corriges la faille, c'est réglé.

Quand demander de l'aide à un pro

Certaines situations dépassent le bricolage, et insister seul peut aggraver les dégâts.

Fais appel à un spécialiste si : ton site est une boutique en ligne qui traite des paiements ou stocke des données clients ; des données personnelles ont pu être exposées (dans l'UE, une violation de données doit être notifiée à l'autorité de protection des données sous 72 heures) ; l'infection réapparaît après chaque nettoyage ; tu n'as plus accès ni à l'admin ni à l'hébergement ; ou ton hébergeur a suspendu ton compte.

Préviens aussi ton hébergeur dans tous les cas. Il peut scanner le serveur, bloquer l'attaquant, restaurer une de ses propres sauvegardes et vérifier que d'autres sites hébergés sur le même serveur ne sont pas touchés. C'est gratuit et ça fait partie de son rôle.

Et si le piratage a laissé des traces bizarres au démarrage (écran figé, messages d'erreur persistants), vérifie que tu n'es pas face à un simple problème de mise à jour : notre guide sur WordPress bloqué en mode maintenance couvre ce cas.