Site WordPress Piraté — Que Faire ? Guide de Survie Étape par Étape
Vous venez de découvrir que votre site WordPress a été piraté. Votre page d’accueil affiche du contenu suspect, Google affiche un avertissement « Ce site peut être dangereux », votre hébergeur vous a envoyé un email de suspension, ou vous ne pouvez tout simplement plus vous connecter au tableau de bord. Pas de panique. Ce guide vous accompagne étape par étape pour reprendre le contrôle de votre site.
Étape 1 — Identifiez le Type de Piratage
Avant de nettoyer, comprenez ce qui s’est passé. Les signes courants sont la redirection de vos visiteurs vers des sites tiers suspects, l’affichage de contenu que vous n’avez pas créé (pages de spam, liens vers des casinos ou des pharmacies), l’impossibilité de vous connecter à WordPress (mot de passe modifié par le pirate), un avertissement de sécurité dans Google (Safe Browsing), l’envoi de spam depuis votre serveur signalé par votre hébergeur, ou des fichiers inconnus dans votre installation WordPress. Le type de piratage guide la stratégie de nettoyage.
Étape 2 — Mettez le Site en Mode Maintenance
Si votre site redirige vers des sites malveillants ou affiche du contenu dangereux pour vos visiteurs, mettez-le immédiatement hors ligne en activant le mode maintenance via un plugin ou en renommant le fichier index.php. Cela protège vos visiteurs et empêche le pirate de continuer à exploiter votre site pendant le nettoyage.
Étape 3 — Changez Tous les Mots de Passe
Changez immédiatement tous les mots de passe liés à votre site : WordPress (tous les comptes administrateurs), base de données MySQL, FTP/SFTP, panneau d’hébergement (cPanel, Plesk) et email associé au compte WordPress. Utilisez des mots de passe forts et uniques pour chacun.
Étape 4 — Restaurez depuis une Sauvegarde Propre
Si vous disposez d’une sauvegarde récente antérieure au piratage, la restauration est la solution la plus rapide et la plus sûre. Restaurez les fichiers ET la base de données. Après restauration, appliquez immédiatement toutes les mises à jour en attente et changez les clés de sécurité dans wp-config.php.
Étape 5 — Si Pas de Sauvegarde, Nettoyez Manuellement
Si vous n’avez pas de sauvegarde propre, un nettoyage manuel est nécessaire. Comparez les fichiers de votre installation avec les fichiers officiels de WordPress pour identifier les fichiers modifiés ou ajoutés. Scannez l’ensemble de l’installation avec un outil comme Wordfence ou Sucuri. Vérifiez les tables de base de données pour du contenu injecté (particulièrement wp_posts et wp_options). Supprimez tout code malveillant identifié.
Étape 6 — Identifiez et Corrigez la Faille
Le nettoyage sans correction de la faille d’entrée est inutile : le pirate reviendra par la même porte. Les failles les plus courantes sont un plugin ou thème obsolète avec une vulnérabilité connue, un mot de passe faible ou réutilisé, un plugin ou thème piraté contenant une backdoor, des permissions de fichiers trop permissives et un hébergement mutualisé avec un autre site compromis sur le même serveur.
Étape 7 — Demandez un Réexamen à Google
Si Google affiche un avertissement « Ce site peut être dangereux », soumettez une demande de réexamen via Google Search Console après le nettoyage. Google vérifiera que le site est propre et retirera l’avertissement généralement sous 24 à 72 heures.
Étape 8 — Sécurisez pour Éviter la Récidive
Installez un plugin de sécurité (Wordfence, Sucuri), activez l’authentification à deux facteurs, limitez les tentatives de connexion, mettez en place des sauvegardes automatiques quotidiennes, configurez un monitoring de disponibilité et mettez en place un forfait de maintenance pour une protection continue.
Quand Faire Appel à un Expert
Si vous n’êtes pas à l’aise avec les étapes techniques de ce guide ou si le piratage est complexe (backdoors multiples, injection SQL avancée, piratage SEO massif), faites appel à un expert WordPress spécialisé dans le nettoyage de sites piratés. Un professionnel identifiera et nettoiera toutes les traces du piratage, y compris les backdoors cachées que les outils automatiques peuvent manquer.
## FAQ
Q : Mon site a-t-il été piraté à cause de WordPress lui-même ?
Très rarement. Le core WordPress est régulièrement audité et les failles sont corrigées rapidement. La quasi-totalité des piratages exploitent des plugins ou thèmes obsolètes, des mots de passe faibles ou des configurations non sécurisées.
Q : Le pirate peut-il revenir après le nettoyage ?
Oui, si la faille d’entrée n’a pas été identifiée et corrigée. C’est pourquoi l’étape 6 (correction de la faille) est aussi importante que le nettoyage lui-même.
Q : Google pénalise-t-il mon référencement après un piratage ?
Temporairement, oui. L’avertissement Safe Browsing fait chuter le trafic et Google peut déclasser les pages infectées. Après nettoyage et réexamen, les positions se restaurent généralement en quelques semaines.
