Comment savoir si votre site est piraté ?
Les pirates essaient souvent de rester invisibles le plus longtemps possible. Voici les principaux signes à vérifier, classés du plus visible au plus technique (liste non exhaustive).
Les 5 premiers réflexes si votre WordPress est piraté
L’objectif à ce stade n’est pas de tout réparer, c’est d’empêcher que ça empire.
-
Isolez le site pour éviter que la situation empire
Coupez temporairement l’accès public pendant le diagnostic. Cela évite que l’attaque continue, que des visiteurs soient exposés, ou que votre référencement soit davantage pénalisé.
Si votre site contient des données sensibles (WooCommerce, comptes clients, formulaires), bloquez immédiatement l’accès public (ou demandez à un professionnel de le faire) pour prévenir toute fuite.
-
Ne touchez à rien sans avoir fait une copie (sauvegarde)
Avant toute manipulation, réalisez une sauvegarde complète : fichiers + base de données. Même si le site est infecté, cette copie servira à analyser l’attaque ou à revenir en arrière si une intervention tourne mal.
-
Changez tous les mots de passe et clés d’accès
Renouvelez tous les accès : hébergement, FTP, base de données, comptes administrateurs WordPress. Même les accès qui semblent sans rapport doivent être sécurisés.
-
Prévenez votre hébergeur
Votre hébergeur a peut-être déjà détecté l’incident. Il peut bloquer temporairement le site, isoler l’espace d’hébergement ou vous fournir des informations utiles pour limiter les dégâts.
-
Ne payez aucune rançon
Si un message vous demande de payer pour récupérer votre site, ignorez-le. Signalez l’incident et commencez le nettoyage : payer ne garantit rien et encourage les attaquants.
Ce que vous risquez à attendre
- Vol de données et sanctions RGPD Accès des pirates aux données de vos clients, une sanction de la CNIL reste possible.
- Liste noire Google Alerte « site dangereux » pour vos visiteurs, ou désindexation pure et simple.
- Défacement ou perte de données Votre page d’accueil remplacée, ou vos contenus supprimés définitivement sans sauvegarde.
- Perte de confiance des clients Vos visiteurs partent vers des concurrents jugés plus sûrs.
- Les conséquences d’une infection dépassent souvent la simple indisponibilité du site. Découvrez les risques d’un site WordPress piraté en détail pour mesurer l’impact sur votre référencement et votre réputation.
Comment un piratage s’installe, en résumé
Dans la grande majorité des cas, tout part d’une faille non corrigée (extension, thème ou WordPress non mis à jour). Elle est exploitée pour injecter un code invisible, qui crée ensuite un accès permanent (souvent un compte administrateur caché) avant que le site ne soit exploité pour du spam ou des redirections. C’est justement pour ça que le nettoyage seul ne suffit pas : il faut aussi refermer la porte d’entrée.
Le détail complet du mécanisme, et surtout comment l’éviter durablement, est expliqué dans le guide de maintenance WordPress.
Nettoyer un site WordPress piraté, étape par étape
Un nettoyage incomplet est le scénario le plus fréquent de récidive. Voici l’ordre à suivre.
-
Trouver et boucher la faille (La source du problème)
Avant de nettoyer, il faut comprendre comment le pirate est entré. Le plus souvent, il s’agit d’une extension abandonnée, d’un thème pas à jour ou d’une version de PHP obsolète chez votre hébergeur. Si on ne répare pas cette faille en premier, le pirate reviendra pendant que vous nettoyez.
-
Réinstaller WordPress et les extensions à partir de zéro
On n’essaie pas de réparer les fichiers existants, car le venin est partout. La règle d’or est d’effacer complètement les dossiers de vos extensions (plugins) et du cœur de WordPress pour les télécharger à nouveau depuis les sites officiels.
-
Scanner et éradiquer les fichiers cachés
Le pirate a souvent caché des fichiers malveillants (.php) au milieu de vos photos (dans le dossier wp-content/uploads). Il faut lancer un scanner de sécurité professionnel et supprimer tous ces fichiers suspects d’un seul coup. Si vous en oubliez un seul, il peut réinstaller tout le virus automatiquement.
-
Supprimer les faux comptes
Maintenant que les fichiers du site sont sains et que le virus ne peut plus tourner en arrière-plan, vous pouvez nettoyer la liste des utilisateurs. Supprimez définitivement tous les profils inconnus. Le pirate ne pourra plus les recréer automatiquement.
-
Changer les serrures et invalider les sessions actives
Modifier vos mots de passe ne suffit pas si le pirate a encore une session ouverte sur son ordinateur. Il faut régénérer les « clés de sécurité » du site (dans le fichier système). Cela agit comme si vous changiez instantanément toutes les serrures : tout le monde est déconnecté de force, y compris l’attaquant.
-
Nettoyer les pièges invisibles (Fichier .htaccess et tâches automatiques)
Les pirates laissent des « portes dérobées ». Ils modifient souvent le fichier de direction du site (.htaccess) ou programment des tâches automatiques invisibles pour que le site se pirate à nouveau tout seul plus tard. Il faut inspecter ces éléments pour éliminer les dernières traces.
-
En cas de doute : restaurer une ancienne sauvegarde (Attention double piège !)
Si le nettoyage manuel est trop complexe, revenir à une sauvegarde datant d’avant l’incident est une solution. Mais attention à deux points essentiels :
- La faille est toujours là : L’extension ou le thème obsolète sera toujours présent dans votre ancienne sauvegarde. Il faudra donc appliquer toutes les mises à jour dans la foulée de la restauration pour ne pas voir le problème réapparaître.
- La perte de données : Restaurer une sauvegarde efface tout ce qui s’est passé entre-temps. Vous perdrez les derniers articles publiés, mais surtout les inscriptions récentes ou les commandes de vos clients.
-
Demander la levée du blocage à Google si le site est blacklisté
Une fois que le site est sain et sécurisé, vous pouvez utiliser l’outil Google Search Console pour signaler que le nettoyage est fait. Google vérifiera le site pour retirer le message d’avertissement rouge qui fait fuir vos visiteurs.
Mon engagement après l’intervention
Si la même infection réapparaît dans les 30 jours suivant mon intervention, j’interviens de nouveau pour la corriger sans frais supplémentaires.
Cette garantie s’applique sous réserve que l’ensemble des correctifs et consignes de sécurité détaillés dans mon rapport d’intervention aient été strictement appliqués et conservés.
Les questions
Questions fréquentes
Si votre site affiche des publicités bizarres, redirige vos visiteurs vers d’autres sites ou que de faux comptes administrateurs sont apparus, l’infection touche le contenu (la base de données). Si votre hébergeur vous alerte pour envoi de spam ou bloque l’accès, le problème vient plutôt des fichiers stockés sur votre serveur. Dans la grande majorité des cas, les pirates attaquent les deux éléments en même temps.
Non, ce n’est pas suffisant. Réinstaller WordPress revient à remplacer la porte d’entrée de sa maison, sans vérifier si le pirate est encore caché à l’intérieur. Cette action réinitialise uniquement les fichiers de base de WordPress : elle ne nettoie ni vos images, ni vos extensions, ni vos textes, et ne supprime pas les accès cachés créés par les pirates pour revenir plus tard.
La suppression des fichiers malveillants ne suffit pas à lever l’avertissement de sécurité sur Google. Une fois votre site totalement nettoyé, vous devez vous connecter à la Google Search Console et envoyer une demande de réexamen manuel. Les équipes ou robots de Google vérifieront alors que le danger est écarté avant de retirer le message d’alerte.
Ces extensions sont d’excellents boucliers pour prévenir les attaques, mais elles atteignent leurs limites quand le site est déjà infecté. Les pirates masquent souvent leurs scripts pour les rendre invisibles face aux outils d’analyse automatique. Une extension vous donne des indices utiles, mais elle ne remplace pas une vérification manuelle du code.
Guide gratuit · PDF de 12 pages
Maintenance & sécurité WordPress : le guide pratique
Une fois le site nettoyé, il faut éviter que ça recommence. Ce guide explique comment garder votre site à jour et protégé.
Pas à l’aise avec ces étapes ou pas le temps ?
Je peux m’en occuper pour vous, dès aujourd’hui.
En savoir plus sur le détail et les tarifs de la prestation de nettoyage WordPress