Site WordPress piraté : que faire dans la première heure

Votre site WordPress est piraté ? Faites quatre choses dans la première heure : notez ce que vous voyez et à quelle heure, faites une sauvegarde complète du site infecté, changez tous les mots de passe (WordPress, panneau d'hébergement, SFTP, base de données) et prévenez votre hébergeur. Ne supprimez pas des fichiers au hasard et ne vous contentez pas de restaurer la sauvegarde de la semaine dernière : la faille utilisée par le pirate reste ouverte. Ensuite, nettoyez le site à fond, fermez cette faille et demandez à Google un nouvel examen. Ce guide détaille chaque étape, vos obligations si des données clients ont pu fuiter, et le coût d'une réparation, que vous la fassiez vous-même ou non.

Site piraté ou simplement en panne ?

"Piraté" recouvre beaucoup de situations différentes. La documentation WordPress parle d'indicateurs de compromission, et plus vous décrivez précisément les vôtres, plus la réparation va vite. Voici les cas les plus fréquents.

Ce que vous voyez	Ce que cela signifie souvent	Premier réflexe
Les visiteurs sont redirigés vers un site de spam, de casino ou de faux concours, souvent seulement sur mobile ou depuis Google	Injection de code, en général dans .htaccess, un fichier du thème ou la base de données	Vérifiez .htaccess et les fichiers modifiés récemment ; ne testez pas sur votre poste de travail
Des pages en japonais ou de pharmacie sous votre domaine dans Google	Injection d'URL : le pirate a créé des pages de spam, parfois cachées pour vous (cloaking)	Cherchez site:votredomaine.fr et ouvrez la Search Console
"Ce site a peut-être été piraté" sous votre résultat Google	Google a trouvé des pages modifiées ou ajoutées	Search Console, rapport Problèmes de sécurité
Écran rouge d'avertissement dans le navigateur (Safe Browsing)	Google a détecté un logiciel malveillant, de l'hameçonnage ou des téléchargements dangereux	Search Console, rapport Problèmes de sécurité
Des administrateurs que vous ne connaissez pas	Quelqu'un a (ou a eu) un accès administrateur	Supprimez-les après la sauvegarde, puis réinitialisez tous les accès
Votre hébergeur a suspendu le compte	L'hébergeur a détecté un malware ou de l'envoi de spam depuis votre site	Demandez-lui exactement ce qu'il a trouvé et dans quels fichiers
Site WordPress bloqué en maintenance ("Briefly unavailable for scheduled maintenance")	En général pas un piratage : une mise à jour interrompue a laissé un fichier .maintenance	Supprimez .maintenance à la racine du site via SFTP

Si votre site ne charge plus du tout, ou affiche une erreur de base de données ou une "erreur critique", il est plus probablement en panne que piraté. Pour ce cas, suivez notre checklist Mon site WordPress est hors ligne : que faire ?

Site piraté : que faire dans la première heure

1. Gardez votre calme et notez tout. Ce que vous voyez, quand vous l'avez remarqué (avec le fuseau horaire), et ce qui a changé récemment : nouvelle extension, modification du thème, nouvel utilisateur. C'est le début de votre rapport d'incident, et il vous servira aussi pour la CNIL.
2. N'ouvrez pas les pages infectées dans un navigateur normal. Google le déconseille. Utilisez plutôt l'outil d'inspection d'URL de la Search Console.
3. Faites une copie du site infecté. Fichiers et base de données, même sales. Si le nettoyage tourne mal, vous aurez un point de comparaison.
4. Réinitialisez tous les accès. Mots de passe de tous les utilisateurs WordPress, du panneau d'hébergement, du SFTP/FTP et de la base de données (mettez à jour wp-config.php si vous le changez). Déconnectez tout le monde en remplaçant les clés secrètes de wp-config.php par un nouveau jeu généré sur api.wordpress.org/secret-key/1.1/salt/.
5. Analysez l'ordinateur depuis lequel vous vous connectez. Selon l'équipe WordPress, beaucoup d'infections commencent par un malware sur le poste du propriétaire, qui vole les identifiants wp-admin ou FTP.
6. Contactez votre hébergeur. Sur un hébergement mutualisé, l'attaque peut toucher plus que votre site. L'hébergeur peut aussi confirmer s'il s'agit d'un piratage ou d'une panne, et dispose parfois d'une sauvegarde antérieure à l'infection.

Réparer un site WordPress piraté, étape par étape

1. Trouver ce qui a été modifié

Lancez un scanner dans WordPress (Wordfence ou Sucuri Security, tous deux cités dans la documentation WordPress) et un scanner externe comme Sucuri SiteCheck ou VirusTotal. Ils ne détectent pas les mêmes choses : utilisez les deux. Examinez ensuite les fichiers que les pirates modifient le plus : chaque fichier .htaccess (il peut y en avoir plusieurs, et ils sont cachés), index.php et les fichiers header.php, footer.php et functions.php de votre thème. Le guide de Google ajoute : cherchez les fichiers PHP modifiés récemment ou anormalement gros, et le code obscurci avec des fonctions comme base64_decode, eval ou gzinflate.

2. Remplacer les fichiers du cœur au lieu de les corriger

Téléchargez sur wordpress.org la même version de WordPress que celle de votre site et remplacez entièrement /wp-admin et /wp-includes via SFTP. N'utilisez pas le bouton "Réinstaller" du tableau de bord : il écrase les fichiers existants mais laisse les fichiers ajoutés par le pirate. Réinstallez aussi les extensions et thèmes depuis leur source d'origine, et supprimez ceux que vous n'utilisez pas.

3. Nettoyer la base de données et les utilisateurs

Supprimez les administrateurs inconnus et cherchez les scripts injectés dans les articles, widgets et options. Si vous n'avez plus accès à wp-admin, vous pouvez réinitialiser votre utilisateur via phpMyAdmin dans votre panneau d'hébergement, ou y changer votre adresse e-mail puis utiliser "Mot de passe oublié".

4. Restaurer une sauvegarde, si vous en avez une saine

Restaurer une sauvegarde antérieure à l'infection est souvent le plus rapide. Mais il faut savoir quand l'infection a commencé, et le site restauré garde la même extension vulnérable ou le même mot de passe volé. Restaurez, puis mettez à jour et changez les accès immédiatement.

5. Tout mettre à jour et changer à nouveau les mots de passe

Une fois le site propre, mettez à jour WordPress, les extensions et les thèmes, puis changez tous les mots de passe une deuxième fois. La première réinitialisation a eu lieu alors que le site était encore infecté.

Redirection vers du spam et pages japonaises dans Google

La redirection piratée et le spam de mots-clés japonais sont souvent les premiers signes visibles, en général signalés par un client. Ils sont sournois : le pirate les cache souvent aux administrateurs connectés et affiche une fausse page 404 alors que Google voit bien le spam. Pour ce type de piratage, Google recommande de :

• Chercher site:votredomaine.fr dans Google pour voir les pages de spam indexées.
• Ouvrir Paramètres > Utilisateurs et autorisations dans la Search Console et retirer les propriétaires que vous ne connaissez pas. Les pirates s'y ajoutent pour soumettre leurs sitemaps de spam. Supprimez leur fichier de validation (un fichier google…html) ou la règle de .htaccess qui le génère.
• Remplacer chaque fichier .htaccess par une version propre par défaut.
• Retirer les liens de spam de vos sitemaps et supprimer ceux que vous n'avez pas créés.

Faire lever l'alerte de Google

La mention "Ce site a peut-être été piraté" et l'écran rouge Safe Browsing viennent tous deux du rapport Problèmes de sécurité de Google, qui les retire après examen :

1. Validez votre site dans Google Search Console si ce n'est pas déjà fait.
2. Ouvrez Sécurité et actions manuelles > Problèmes de sécurité et regardez les exemples d'URL.
3. Corrigez le problème sur tout le site, pas seulement sur les pages citées, et corrigez tous les problèmes listés.
4. Cliquez sur Demander un examen et expliquez le problème, ce que vous avez fait et le résultat.
5. Patientez. Selon Google, l'examen d'un contenu piraté ou d'un malware prend de quelques jours à quelques semaines. Ne renvoyez pas de demande avant d'avoir une réponse : cela peut rallonger le délai.

Données clients : votre obligation sous 72 heures

Si votre site conserve des données personnelles (commandes WooCommerce, messages de formulaire, comptes clients), un piratage peut constituer une violation de données. L'article 33 du RGPD impose de la notifier à l'autorité dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes. En France, la notification se fait à la CNIL par son téléservice ; elle accepte une notification initiale dans les 72 heures, complétée ensuite. En Belgique, c'est l'Autorité de protection des données (APD) via son formulaire électronique. Documentez chaque violation dans votre registre interne, même si vous n'avez pas à la notifier. En cas de risque élevé, informez aussi les personnes concernées. Ceci n'est pas un avis juridique : en cas de doute, la CNIL conseille de notifier quand même.

Éviter que cela se reproduise

• Mises à jour : gardez WordPress, extensions et thèmes à jour et activez les mises à jour automatiques quand c'est possible. Supprimez ce qui ne sert pas.
• Double authentification sur chaque compte administrateur, et des mots de passe longs et uniques via un gestionnaire.
• Moins d'administrateurs : donnez à chacun le rôle minimal nécessaire.
• Désactivez l'éditeur de fichiers en ajoutant define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php.
• Droits des fichiers : 755 pour les dossiers, 644 pour les fichiers, 400 ou 440 pour wp-config.php.
• Sauvegardes des fichiers et de la base, stockées hors du serveur, et dont vous avez testé la restauration.
• Surveillance, pour être alerté avant vos clients. Un audit gratuit avec EngineeringScore montre en quelques minutes les failles de sécurité, de performance et de fiabilité de votre site.

Combien coûte la réparation d'un site WordPress piraté ?

Option	Prix (publié)	À savoir
Vous-même	Outils gratuits, votre temps	Possible pour les cas simples si vous maîtrisez SFTP et phpMyAdmin. Risqué si vous ratez une porte dérobée.
Votre hébergeur	Selon l'hébergeur et l'offre	Certains nettoient ou restaurent, d'autres suspendent seulement. Demandez ce qui est inclus.
Sucuri Website Security Platform	De 229 $ par an (Basic) à 549 $ par an (Business)	Nettoyages manuels illimités ; délai de réponse estimé de 30 h (Basic) à 6 h (Business). En anglais.
Seahawk hacked site repair	299 $ une fois (2 à 4 jours ouvrés), 399 $ en priorité (1 jour ouvré)	Prix fixe pour supprimer un malware WordPress, garantie de 30 jours. En anglais.
We Do Dev Work, aide d'urgence	75 € HT de l'heure, sans minimum	Un développeur senior commence le jour même, nettoie, trouve par où ils sont entrés et vous aide pour l'examen Google. Contact en français.

Un abonnement de sécurité sert surtout à prévenir. Un spécialiste est utile quand il faut aussi trouver la cause, corriger du code sur mesure vulnérable ou garder une boutique en ligne ouverte. Si ce piratage montre que votre site a besoin d'un suivi régulier, nos abonnements commencent à 480 € HT par mois pour 8 heures de mises à jour et de surveillance, et une carte d'heures vous donne 14 heures prépayées pour 910 € HT. Tous nos prix sont sur notre page tarifs.

Quand faire appel à un professionnel ?

• Votre site encaisse des paiements ou stocke des données clients, et le délai de 72 heures court peut-être déjà.
• L'infection revient après nettoyage : une porte dérobée vous a échappé.
• Votre hébergeur a suspendu le compte, ou vos e-mails arrivent en spam parce que le serveur a envoyé du spam.
• Google affiche un écran rouge et chaque jour vous coûte des ventes.
• Votre site contient du code sur mesure ou des extensions qu'un scanner ne sait pas juger.
• Vous n'avez pas le temps d'apprendre SFTP, .htaccess et phpMyAdmin dans l'urgence.

L'agence ou le freelance qui a fait le site a disparu ? Nous reprenons aussi ce genre de dossier. Lisez comment nous sauvons les projets logiciels qui ont dérapé.

Site piraté en ce moment ? Nous commençons aujourd'hui

Demandez une aide d'urgence : un développeur senior se met sur votre site le jour même, à 75 € HT de l'heure, sans minimum et sans rendez-vous préalable. Nous nettoyons le site, fermons la faille, documentons l'incident pour votre registre et la CNIL, et envoyons la demande d'examen à Google. Nous ne pouvons pas promettre le délai de Google, mais nous vous dirons franchement ce que nous trouvons. Vous préférez en parler d'abord ? Contactez-nous, en français.