Site WordPress piraté : que faire ?

Comment savoir si son site WordPress est piraté ?

Un piratage ne se voit pas toujours au premier coup d'œil. Les signes les plus fréquents :

• le site redirige vers un autre site (pharmacie, casino, fausse loterie), parfois seulement sur mobile ou seulement depuis Google ;
• Google affiche « Ce site a peut-être été piraté » sous votre résultat, ou Chrome montre une page rouge d'avertissement ;
• des pages en japonais ou en anglais que vous n'avez jamais créées apparaissent quand vous tapez site:votre-domaine.fr dans Google ;
• vous ne pouvez plus vous connecter, ou un administrateur inconnu est apparu dans la liste des utilisateurs ;
• votre hébergeur vous prévient d'un envoi massif d'emails ou suspend le site.

Étape 1 : mettre le site hors ligne et garder une copie

Mettez le site en maintenance (ou demandez-le à votre hébergeur) pour protéger vos visiteurs. Puis faites une sauvegarde complète du site piraté, fichiers et base de données : elle servira à comprendre par où le pirate est entré, et à récupérer vos contenus si besoin. Ne restaurez pas tout de suite une ancienne sauvegarde : elle contient peut-être déjà la faille.

Étape 2 : changer tous les mots de passe

Changez les mots de passe de tous les comptes administrateurs WordPress, de l'hébergement, du FTP ou SFTP et de la base de données. Supprimez les utilisateurs que vous ne connaissez pas. Activez la double authentification sur les comptes administrateurs.

Étape 3 : trouver et supprimer le code malveillant

C'est l'étape la plus technique. Il faut comparer les fichiers du site avec les versions officielles de WordPress, du thème et des extensions, chercher les fichiers PHP cachés dans le dossier des médias, et inspecter la base de données (options, articles, utilisateurs) à la recherche de scripts injectés. Une extension de sécurité aide à repérer les fichiers modifiés, mais elle ne trouve pas tout.

Étape 4 : réinstaller le cœur, le thème et les extensions

Le plus sûr est de remplacer le cœur de WordPress, le thème et chaque extension par une copie propre téléchargée depuis la source officielle. Supprimez les extensions et thèmes inutilisés : ce sont des portes d'entrée en moins. N'installez jamais d'extension « premium » piratée, c'est une cause fréquente d'infection.

Étape 5 : identifier et fermer la faille

Dans la grande majorité des cas, le pirate est passé par une extension ou un thème pas à jour, un mot de passe faible ou un compte d'hébergement partagé contaminé. Les journaux de l'hébergeur (logs) permettent souvent de retrouver le point d'entrée. Tant que la faille n'est pas fermée, le site sera de nouveau infecté, parfois en quelques jours.

Étape 6 : remettre le site en ligne et prévenir Google

Une fois le site propre, remettez-le en ligne et vérifiez-le sur ordinateur et sur mobile. Si Google affichait un avertissement, ouvrez la Google Search Console, rubrique « Problèmes de sécurité », et demandez un réexamen. Supprimez aussi les pages parasites de l'index avec l'outil de suppression d'URL. Le retour à la normale prend en général quelques jours.

Étape 7 : éviter que ça recommence

• des mises à jour régulières du cœur, du thème et des extensions, testées avant d'être appliquées ;
• des sauvegardes automatiques stockées hors de l'hébergement ;
• des mots de passe forts, la double authentification et des comptes administrateurs limités ;
• une surveillance qui vous alerte si le site tombe ou si des fichiers changent.

C'est exactement le contenu d'un contrat de maintenance WordPress. Pour une boutique, voir aussi le développement WooCommerce.

Combien coûte la réparation d'un site piraté ?

Cela dépend de l'ampleur de l'infection et de l'état du site (versions, sauvegardes disponibles). Un nettoyage complet représente en général de quelques heures à une journée de travail. Je vous donne un prix ferme après un premier diagnostic, gratuit.