La panique pousse à deux réflexes coûteux : supprimer immédiatement les fichiers suspects (on perd la trace de l'entrée) ou nettoyer en aveugle sur la production (on laisse des backdoors). L'ordre ci-dessous évite les deux.

Comment confirmer que le site est bien piraté (et pas juste en panne) ?

Une panne casse l'affichage. Un piratage ajoute, détourne ou redirige. Les signaux qui ne trompent pas : redirections vers des sites tiers, pages de spam (pharmacie, contrefaçon) indexées sous votre domaine, défiguration de la page d'accueil, avertissement « Ce site peut être piraté » dans Google, comptes administrateurs que vous ne reconnaissez pas, ou un mail de suspension de votre hébergeur.

Trois vérifications de cinq minutes : cherchez site:votredomaine.fr sur Google pour repérer des pages injectées, ouvrez la section Problèmes de sécurité de la Search Console, lancez un scanner public (SiteCheck de Sucuri, Wordfence). Attention : un scanner distant ne voit que les symptômes publics. Seule une analyse côté serveur révèle les fichiers injectés. WordPress concentrant 95,5 % des sites infectés détectés par Sucuri en 2023, le doute mérite toujours une vérification sérieuse plutôt qu'un « ça doit être un bug ». Si après vérification le site n'est finalement pas infecté mais juste cassé, basculez sur le plan d'urgence d'un site cassé la veille d'une livraison.

Que faire dans la première heure (isoler, sauvegarder l'état, couper) ?

L'objectif de H+0 à H+1 : arrêter l'hémorragie sans détruire les preuves. Dans cet ordre :

  1. Isolez (10 min) : activez une page de maintenance ou mettez le site hors ligne. Vous protégez vos visiteurs, vous limitez la propagation et vous évitez d'aggraver une mise en liste noire.
  2. Sauvegardez l'état infecté (20 min) : fichiers *et* base de données, tels quels. Contre-intuitif mais vital : c'est votre preuve, votre matière d'analyse, et votre filet si un nettoyage rate. N'écrasez surtout pas votre dernière sauvegarde saine.
  3. Changez tous les mots de passe (15 min) : hébergement/cPanel, FTP/SFTP, base de données, comptes administrateurs WordPress, et l'adresse e-mail associée. Un seul accès oublié et l'attaquant revient.
  4. Coupez les accès suspects (10 min) : supprimez les comptes admin inconnus, révoquez les clés d'API et les jetons d'application.

Erreur classique de cette première heure : effacer aussitôt les fichiers suspects. Vous perdez la trace de l'entrée et vous ratez les backdoors dupliquées ailleurs dans l'arborescence.

Comment nettoyer le site : les étapes dans l'ordre ?

On nettoie sur une copie issue de la sauvegarde infectée, jamais à tâtons en production :

  1. Remplacez le cœur de WordPress par une version officielle fraîche : tous les fichiers sauf wp-config.php et le dossier wp-content.
  2. Réinstallez plugins et thèmes depuis leurs sources officielles, à jour. Supprimez tout ce qui est inutilisé ou « nulled » (versions piratées).
  3. Nettoyez la base : traquez les scripts injectés, iframes, comptes admin parasites et options en autoload suspectes.
  4. Chassez les backdoors : fichiers récemment modifiés, code obfusqué (base64_decode, eval, gzinflate), fichiers hors arborescence normale. Un scanner serveur aide, mais la revue manuelle des fichiers récemment modifiés reste décisive.
  5. Régénérez les clés de sécurité (salts dans wp-config.php) pour invalider toutes les sessions ouvertes.

Si vous n'avez pas de sauvegarde saine et que le nettoyage reste incertain, faites intervenir un spécialiste. Une seule backdoor oubliée, et la ré-infection survient en quelques jours.

En pratique

Un nettoyage incomplet, c'est une ré-infection assurée sous quelques jours, et un client qui revient en colère. Si vous gérez l'incident pour un client et que la certitude manque sur les backdoors, je prends les nettoyages et remises en sécurité à partir de 500 €/jour, recette et staging inclus, sous votre marque avec rapport écrit. Site piraté en ce moment ? Décrivez la situation, réponse le jour même en semaine.

Décrire mon besoin →

Comment savoir par où l'attaquant est entré ?

Sans la porte d'entrée, vous nettoyez le symptôme et le piratage revient. Le mini-forensic tient en trois sources : les logs d'accès du serveur autour de l'heure des premiers fichiers modifiés, les dates de modification des fichiers infectés, et la version des plugins/thèmes au moment de l'attaque.

La cause la plus fréquente est un composant obsolète. Le rapport State of WordPress Security 2026 de Patchstack recense 11 334 vulnérabilités dans l'écosystème WordPress en 2025, en hausse de 42 %, dont 91 % logées dans les plugins et 9 % dans les thèmes. Le cœur de WordPress n'en compte que 6. Côté terrain, Sucuri relève que 39,1 % des CMS étaient périmés au moment de l'infection. Et le temps joue contre vous : pour les failles les plus exploitées, Patchstack mesure un délai médian de 5 heures avant la première exploitation. Un plugin pas mis à jour depuis quelques jours suffit. Les autres vecteurs courants : identifiants volés ou réutilisés, et voisinage contaminé sur un hébergement mutualisé.

Que dire à vos clients et à Google pendant l'incident ?

Côté client, la transparence factuelle vaut mieux que le silence : un message court (le problème en une phrase, ce qui est déjà fait, la prochaine étape) suffit. Si des données personnelles ont pu fuiter avec un risque pour les personnes, le RGPD impose de notifier la CNIL sous 72 heures. Ne l'improvisez pas.

Côté Google, une fois le site propre, demandez une révision dans la Search Console (section Problèmes de sécurité) pour faire lever l'avertissement « site piraté », et vérifiez votre sortie des listes noires (Google Safe Browsing). Tant que la liste noire tient, votre trafic s'effondre : c'est souvent ce qui fait le plus mal au client, bien après que le site est techniquement réparé.

Comment verrouiller le site pour que ça ne se reproduise pas ?

Les mesures qui ferment réellement la porte, par ordre d'impact :

  1. Réduisez la surface : tout à jour, et suppression des plugins/thèmes inutilisés ou nulled. Puisque 91 % des failles y vivent, chaque extension en moins est un risque en moins.
  2. Sauvegardes automatiques quotidiennes, externalisées et testées : c'est ce qui transforme une ré-infection en non-événement.
  3. Authentification : mots de passe uniques, double authentification sur les comptes admin, limitation des tentatives de connexion.
  4. Pare-feu applicatif (WAF) : il applique un correctif virtuel aux failles connues avant même votre mise à jour, décisif face à un délai d'exploitation de 5 heures.
  5. Staging et moindre privilège : on teste les mises à jour ailleurs qu'en production, et chaque compte n'a que les droits dont il a besoin.

Si le site repris venait d'un prestataire injoignable et que ses accès avaient circulé, la prévention passe d'abord par une reprise propre du site orphelin, accès remis au nom du client. Et pour les remises en sécurité confiées en sous-traitance, c'est mon offre qui s'applique : un cas concret comme ce formulaire multi-étapes montre le niveau de finition livré, sans jamais exposer votre nom.

En bref

Un site piraté se gagne ou se perd dans les premières heures, et la séquence compte plus que la vitesse : isoler, préserver les preuves, couper les accès, puis nettoyer sur copie. Tant que la porte d'entrée n'est pas identifiée, le piratage reviendra. Et tant que la liste noire de Google tient, le client souffre, bien après la réparation technique.

FAQ

Comment savoir si mon site WordPress est piraté ou juste en panne ?

Une panne casse l'affichage, un piratage ajoute, détourne ou redirige. Cherchez des redirections vers des sites tiers, des pages de spam indexées sous votre domaine, des comptes admin inconnus, ou l'avertissement « Ce site peut être piraté » dans Google. Confirmez avec la Search Console et un scanner public, sachant que seul un examen côté serveur révèle les fichiers injectés.

Faut-il supprimer tout de suite les fichiers infectés ?

Non, c'est l'erreur classique. Effacer aussitôt les fichiers suspects vous fait perdre la trace de l'entrée et laisse souvent des backdoors dupliquées ailleurs. Commencez par sauvegarder l'état infecté tel quel : il sert de preuve, de matière d'analyse et de filet si le nettoyage échoue.

Comment nettoyer un site WordPress piraté ?

Travaillez sur une copie issue de la sauvegarde infectée, jamais en production. Remplacez le cœur de WordPress par une version officielle fraîche, réinstallez plugins et thèmes depuis leurs sources, nettoyez la base de ses injections, chassez les backdoors dans les fichiers récemment modifiés, puis régénérez les clés de sécurité pour fermer les sessions ouvertes.

Par où entrent la plupart des piratages WordPress ?

Par un composant obsolète, dans la grande majorité des cas. Les vulnérabilités vivent à 91 % dans les plugins et 9 % dans les thèmes, et près de 40 % des CMS infectés étaient périmés au moment de l'attaque. Les autres vecteurs courants sont les identifiants volés ou réutilisés et le voisinage contaminé sur un hébergement mutualisé.

Faut-il prévenir la CNIL après un piratage de site ?

Oui, si des données personnelles ont pu fuiter avec un risque pour les personnes concernées. Le RGPD impose alors une notification à la CNIL sous 72 heures. Ne l'improvisez pas : documentez ce qui a pu être exposé et la nature du risque, car la notification engage la responsabilité du responsable de traitement.