Mon site WordPress est piraté : le plan d’action complet

Si votre site WordPress est piraté, la priorité absolue est de couper l’accès à l’attaquant avant de nettoyer quoi que ce soit. Nettoyer d’abord ne sert à rien : tant que la porte d’entrée est ouverte, l’infection revient dans les heures qui suivent. C’est l’erreur que je vois le plus souvent chez les gens qui ont tenté de s’en sortir seuls.

Voici la marche à suivre complète, dans l’ordre où je l’applique moi-même.

Reconnaître un site compromis

Les signes ne trompent pas, mais ils sont parfois discrets. Des redirections vers des sites de jeux ou de pharmacie, uniquement depuis Google et jamais quand vous tapez l’adresse directement. Des pages en japonais ou en russe qui apparaissent dans les résultats de recherche. Un avertissement rouge de Google. Un message de votre hébergeur signalant des envois massifs d’e-mails depuis votre compte.

Plus subtil : un compte administrateur que vous ne reconnaissez pas, un fichier récent dans un dossier où rien ne bouge jamais, ou un pic de trafic inexpliqué la nuit.

Un détail qui compte : beaucoup d’infections ne se déclenchent pas pour les visiteurs connectés. Si vous ne voyez rien mais que vos clients signalent des problèmes, ouvrez votre site en navigation privée avant de conclure qu’ils se trompent.

Étape 1 : couper l’accès

Avant tout nettoyage, changez l’ensemble des mots de passe : administration WordPress, hébergement, FTP, base de données et messagerie associée au domaine. Depuis un autre appareil que celui qui a pu être compromis.

Puis, dans l’administration, allez dans Comptes et supprimez ceux que vous ne reconnaissez pas. Vérifiez aussi que vos propres comptes n’ont pas vu leur adresse e-mail modifiée : c’est une technique classique pour conserver un accès après un changement de mot de passe.

Enfin, dans Réglages, décochez l’inscription libre si elle est active. Beaucoup d’intrusions commencent par la création d’un compte, suivie d’une élévation de privilèges.

Étape 2 : sauvegarder, même infecté

Cela paraît contre-intuitif, mais faites une copie complète du site dans son état actuel, fichiers et base de données.

Deux raisons. D’abord, un nettoyage trop agressif casse parfois le site, et cette copie est votre filet. Ensuite, elle contient les traces de l’intrusion : dates de modification, fichiers ajoutés, journaux d’accès. C’est ce qui permet de comprendre par où l’attaquant est entré, et donc de refermer.

Rangez cette copie hors du serveur, dans un dossier clairement identifié comme infecté.

Étape 3 : trouver la porte d’entrée

C’est l’étape que tout le monde saute, et c’est celle qui décide si l’infection revient ou non.

Dans l’immense majorité des cas, la porte est une extension ou un thème non mis à jour, avec une faille publiée que des robots exploitent automatiquement. Ils ne vous ciblaient pas : ils balayaient le web à la recherche d’une version vulnérable.

Regardez les dates de modification des fichiers et repérez ceux qui ont changé le jour de l’infection. Consultez les journaux d’accès de votre hébergeur autour de cette date. Comparez la liste de vos extensions avec les failles connues, notamment celles abandonnées par leur auteur.

Les autres entrées fréquentes : un mot de passe administrateur faible forcé par essais successifs, un poste local infecté qui a livré vos identifiants FTP, ou un hébergement mutualisé où un autre site compromis a contaminé le vôtre.

Étape 4 : nettoyer

Le nettoyage se fait dans un ordre précis, du plus sûr au plus délicat.

Remplacez d’abord le cœur de WordPress : téléchargez une version propre depuis wordpress.org et écrasez les dossiers wp-admin et wp-includes. Ces dossiers ne contiennent rien qui vous appartienne, l’opération est sans risque.

Réinstallez ensuite chaque extension et le thème depuis leur source officielle, plutôt que de tenter de nettoyer les fichiers existants. Supprimez purement et simplement les extensions que vous n’utilisez plus.

Passez au dossier wp-content/uploads, qui ne devrait contenir que des images et des documents. Tout fichier .php qui s’y trouve est illégitime, sans exception.

Enfin, la base de données. Cherchez les scripts injectés dans les articles et les pages, et les entrées suspectes dans la table des options. C’est la partie la plus technique, et celle où l’on casse le plus facilement un site.

Étape 5 : refermer

Mettez tout à jour : WordPress, thème, extensions, et la version de PHP si elle est ancienne. Supprimez les extensions inutilisées plutôt que de les désactiver.

Ajoutez ensuite quelques protections de base. Blocage des tentatives de connexion répétées. Interdiction d’exécuter du PHP dans le dossier des médias. Désactivation de l’éditeur de fichiers intégré, en ajoutant dans wp-config.php :

define( 'DISALLOW_FILE_EDIT', true );

Et activez l’authentification à deux facteurs sur les comptes administrateurs. C’est cinq minutes de configuration pour la protection la plus efficace qui existe contre la reprise de contrôle.

Étape 6 : faire lever l’alerte Google

Si Google a signalé votre site, le nettoyage ne suffit pas : il faut demander un réexamen.

Dans la Search Console, ouvrez la section Sécurité et téléchargements. Vérifiez que le problème signalé a bien disparu, puis demandez un examen en décrivant ce que vous avez corrigé. Le délai de traitement va de quelques heures à quelques jours.

Surveillez ensuite la couverture d’indexation pendant plusieurs semaines : les pages de spam créées par l’attaquant mettent du temps à disparaître des résultats, et il faut parfois demander leur suppression une par une.

Ce que ça coûte, et ce que ça coûte de ne rien faire

Le coût d’un nettoyage professionnel varie fortement selon l’ampleur de l’infection, la taille du site, la présence ou non de données clients et l’état des sauvegardes : d’une intervention de quelques heures à plusieurs jours de travail. Le diagnostic, lui, doit être gratuit : méfiez-vous de qui facture avant même de savoir ce qu’il y a.

En face, le coût de l’inaction se chiffre facilement. Un site marqué comme dangereux par Google perd l’essentiel de son trafic en quelques jours. Les positions acquises se dégradent pendant que l’alerte reste active, et il faut ensuite plusieurs semaines pour revenir. Sur une boutique, chaque jour d’arrêt est du chiffre d’affaires perdu sec.

Il y a aussi un coût moins visible mais durable : la confiance. Un client qui reçoit un avertissement de sécurité en cliquant sur votre lien ne revient pas forcément, et il en parle.

Un dernier point sur la tentation de restaurer une sauvegarde et de passer à autre chose. Cela remet le site en ligne, mais cela ne referme pas la porte d’entrée. Si la faille était une extension non mise à jour, elle est toujours là dans la sauvegarde. La réinfection intervient généralement dans les jours qui suivent, et la deuxième fois est toujours plus longue à traiter.

La question des données personnelles

C’est le point que beaucoup ignorent, et il est légalement contraignant. Si votre site stockait des données personnelles, comptes clients, commandes, formulaires archivés, vous devez déterminer si elles ont pu être consultées.

En cas de fuite avérée de données personnelles, vous avez l’obligation de notifier la CNIL dans les 72 heures, et d’informer les personnes concernées si le risque pour elles est élevé. Ce n’est pas une formalité optionnelle, et l’ignorer coûte plus cher que l’incident lui-même.

Combien de temps, et quand déléguer

Un nettoyage complet demande entre une demi-journée et trois jours selon l’ampleur de l’infection et la taille du site. La surveillance qui suit s’étale sur un mois : les réinfections, quand elles arrivent, surviennent dans les deux premières semaines.

Faites-le vous-même si votre site est simple, que vous avez une sauvegarde saine antérieure à l’infection, et du temps devant vous. Déléguez si vous stockez des données clients, si le site est votre outil de travail, ou si vous avez déjà nettoyé une fois et que l’infection est revenue. Ce dernier cas signifie que la porte d’entrée n’a jamais été trouvée.

Le nettoyage d’un site piraté commence toujours par un diagnostic gratuit : le devis n’arrive qu’ensuite, une fois l’étendue de l’infection connue. Et une fois le site propre, une maintenance régulière rend une seconde infection très improbable : la quasi-totalité des sites que je nettoie n’avaient pas été mis à jour depuis plus d’un an.