Site WordPress piraté : les signes qui ne trompent pas
Un site WordPress piraté se manifeste rarement par une page blanche. Les signes les plus fréquents sont plus discrets : redirection automatique vers un autre site au chargement, pages ou articles inconnus apparus dans le tableau de bord, liens spam injectés dans le contenu existant, ralentissement soudain sans changement de trafic légitime, ou avertissement « Ce site peut présenter un risque pour la sécurité » affiché par Chrome ou Firefox. Google Search Console envoie aussi une alerte spécifique — section « Problèmes de sécurité » — quand son robot détecte du contenu malveillant.
Un utilisateur administrateur inconnu dans la liste des comptes, ou une tâche planifiée (cron) que personne n’a créée, sont des signes tout aussi fiables qu’un message d’erreur visible. Un pic soudain d’e-mails sortants (lié, dans la plupart des cas, à un envoi de spam via le formulaire de contact ou un script injecté) figure aussi parmi les signaux précoces, repéré la plupart du temps par l’hébergeur avant même l’administrateur du site.
Isoler le site avant toute chose
Avant de chercher la cause, limitez les dégâts. Activez un mode maintenance ou mettez le site hors ligne temporairement si le piratage sert du contenu à vos visiteurs (redirection, malware, spam visible) — chaque minute en ligne prolonge l’exposition de vos visiteurs et le risque d’être signalé par Google ou un antivirus de navigateur. Changez immédiatement le mot de passe FTP/SFTP et celui de l’hébergement lui-même, avant même de toucher à WordPress : si l’accès serveur est compromis, nettoyer WordPress sans couper cet accès ne sert à rien, l’attaquant peut tout réinjecter dans la minute qui suit.
Identifier le point d’entrée avant de nettoyer
Nettoyer sans comprendre comment l’intrusion a eu lieu expose à une récidive immédiate. Les points d’entrée les plus fréquents sont, dans l’ordre : un plugin ou un thème obsolète avec une faille connue, un thème ou plugin « nulled » (version piratée téléchargée hors du répertoire officiel, elle-même vérolée dans la majorité des cas), un mot de passe administrateur faible ou réutilisé ailleurs, et des identifiants FTP compromis via un poste de travail infecté. Consultez la liste des plugins et thèmes installés, notez les versions, et croisez-les avec les avis de vulnérabilité publiés (WPScan tient une base consultable gratuitement) pour identifier lequel correspond à une faille connue et à quelle date.
Un délai entre la publication d’une faille et son exploitation réelle sur un site donné se compte parfois en heures : les campagnes automatisées scannent en continu les sites utilisant une version de plugin vulnérable, sans cibler un site en particulier. Un plugin resté deux ou trois versions en retard suffit largement à être repéré par ce type de scan.
Nettoyer : restaurer ou désinfecter manuellement
La méthode la plus fiable et la plus rapide, quand elle est disponible, est de restaurer une sauvegarde antérieure à la compromission — à condition de vérifier sa date par rapport aux premiers signes suspects, sans quoi la sauvegarde elle-même contient déjà le code malveillant. Une fois restaurée, ne réactivez pas le plugin ou thème identifié comme point d’entrée avant de l’avoir mis à jour ou remplacé.
Sans sauvegarde saine disponible, le nettoyage manuel consiste à comparer les fichiers du cœur WordPress avec une installation neuve de la même version (les fichiers wp-admin et wp-includes ne doivent jamais être modifiés sur un site sain), inspecter wp-config.php et le .htaccess à la recherche de code injecté, et passer en revue les thèmes et plugins actifs à la recherche de fichiers ajoutés récemment ou de code obscurci (chaînes encodées en base64, fonctions eval() inhabituelles). Cette étape est plus longue et plus risquée d’oubli qu’une restauration — un seul fichier de porte dérobée oublié suffit à permettre une nouvelle compromission.
Changer tous les mots de passe et clés d’accès
Une fois le site nettoyé, changez systématiquement : le mot de passe de tous les comptes administrateur WordPress, le mot de passe de la base de données, les identifiants FTP/SFTP, et les clés de sécurité WordPress (AUTH_KEY, SECURE_AUTH_KEY et les autres constantes de salage dans wp-config.php, régénérables via le générateur officiel de l’API WordPress.org) — ces clés invalident automatiquement toutes les sessions actives, y compris celle d’un attaquant qui aurait conservé un accès sans passer par un mot de passe.
Supprimez également tout compte administrateur que vous ne reconnaissez pas, plutôt que de vous contenter de changer son mot de passe. Vérifiez aussi les utilisateurs disposant d’un accès FTP ou à la base de données via le panneau d’hébergement : un attaquant qui a créé un compte secondaire à ce niveau, plutôt que dans WordPress lui-même, survit fréquemment au nettoyage du seul CMS.
Vérifier que Google n’a pas blacklisté le site
Si le site a été signalé par Google (avertissement « Site trompeur » ou alerte dans Search Console), le nettoyage seul ne suffit pas à faire disparaître l’avertissement : une demande d’examen doit être soumise depuis la section « Problèmes de sécurité » de Search Console, une fois le nettoyage terminé et vérifié. Le délai de traitement se compte en jours, parfois plus d’une semaine — un motif supplémentaire pour ne demander l’examen qu’une fois certain que toute trace de compromission a été éliminée, une deuxième demande rejetée retardant davantage la levée de l’avertissement.
Prévenir la récidive
Un site déjà compromis une fois est statistiquement plus ciblé qu’un site jamais touché : la faille d’origine reste parfois exploitable ailleurs sur la même installation, et l’adresse a pu être répertoriée par les mêmes outils d’attaque automatisés qui continuent de la tester périodiquement. Les mesures qui réduisent le risque de façon mesurable : mises à jour automatiques ou à défaut hebdomadaires de WordPress, des thèmes et des plugins ; authentification à deux facteurs sur les comptes administrateur ; limitation du nombre de tentatives de connexion ; suppression des thèmes et plugins inactifs plutôt que de les laisser désactivés (un plugin désactivé mais toujours présent reste exploitable) ; et un pare-feu applicatif (WAF), fourni par certains hébergeurs ou installable en plugin.
Un test régulier de restauration de sauvegarde (pas seulement leur création) complète ces mesures : une sauvegarde qui échoue au moment de la restaurer, découverte en pleine crise, transforme un incident gérable en incident bien plus long à résoudre.
Quand faire appel à un professionnel plutôt que le nettoyer soi-même
Un nettoyage manuel demande du temps et une certaine aisance avec les fichiers serveur — se tromper (supprimer un fichier légitime, laisser une porte dérobée) est facile sous la pression de l’urgence. Faire appel à un professionnel de la désinfection WordPress se justifie particulièrement si le site traite des paiements ou des données personnelles sensibles, si aucune sauvegarde saine n’est disponible, ou si les signes de compromission persistent après une première tentative de nettoyage : cela signale presque toujours qu’un point d’entrée est resté actif. Comparer plusieurs hébergeurs sur leur réactivité et leur accompagnement en cas d’incident de sécurité vaut la peine avant de choisir où héberger un site sensible à ce type de risque : tomco.tech fait partie des hébergeurs à inclure dans cette comparaison.
Pour les mesures de prévention à mettre en place une fois le site remis en ligne, notre guide complet sur la sécurisation de votre site web détaille les bonnes pratiques à appliquer durablement.