Site WordPress piraté : reconnaître les signes et réagir

01D'abord, respirez

La grande majorité des piratages de sites WordPress sont automatiques : des robots cherchent des extensions non mises à jour et y déposent du code pour envoyer du spam ou rediriger vos visiteurs. Ce n'est pas une attaque personnelle, et vos produits, vos textes et vos commandes sont en général récupérables.

L'important est d'agir dans le bon ordre, sans précipitation : chaque geste maladroit, comme tout supprimer, peut faire perdre des données ou effacer les traces qui permettent de trouver la porte d'entrée.

02Les signes qui doivent vous alerter

Certains signes sont discrets : une redirection peut ne viser que les visiteurs venant de Google ou sur mobile, pour que le propriétaire ne la voie pas. Testez depuis votre téléphone, en 4G, en cherchant votre marque sur Google puis en cliquant sur le résultat.

03Les premiers gestes, dans l'ordre

1. Prenez des captures d'écran de ce que vous voyez : redirections, messages, pages suspectes, avec la date.
2. Prévenez votre hébergeur via son support : il peut confirmer l'infection, isoler le site et dispose souvent de sauvegardes.
3. Changez les mots de passe depuis un ordinateur sain : administrateur WordPress, espace hébergeur, accès FTP et base de données si vous les avez, et la boîte e-mail liée au site.
4. Dans Comptes › Tous les comptes, repérez les administrateurs inconnus. Notez leur identifiant avant toute action.
5. Si vous vendez en ligne, vérifiez votre compte de paiement (Stripe, PayPal) et mettez la boutique en pause si le paiement semble modifié.
6. Contactez votre prestataire ou un spécialiste du nettoyage avec vos captures et vos constats.

04Les erreurs qui aggravent la situation

Restaurer une sauvegarde peut sembler la solution évidente. Elle fonctionne si la sauvegarde date d'avant l'infection et si la faille est corrigée ensuite. Sinon, le site sera de nouveau piraté en quelques jours, par la même porte.

05Le nettoyage et la remise en état

Le nettoyage consiste à supprimer le code malveillant, à réinstaller WordPress, les extensions et le thème depuis des sources officielles, à supprimer les comptes inconnus, puis à trouver et corriger la faille d'origine, souvent une extension obsolète.

Des extensions de sécurité comme Wordfence ou Sucuri proposent un scan des fichiers. Elles aident à repérer les fichiers modifiés, mais un scan ne remplace pas un nettoyage complet par une personne qui sait lire le code.

1. Une fois le site nettoyé, mettez à jour toutes les extensions, le thème et WordPress.
2. Supprimez les extensions et thèmes inutilisés.
3. Si Google a signalé le site, demandez un réexamen depuis Google Search Console, rubrique sécurité.
4. Mettez en place des sauvegardes automatiques externes et une routine de mises à jour mensuelle.

06Réduire le risque à l'avenir

La plupart des piratages viennent d'une extension non mise à jour ou d'un mot de passe faible réutilisé ailleurs. Des mots de passe uniques, la double authentification via une extension de sécurité, des mises à jour régulières et des comptes nominatifs, sans identifiant « admin », éliminent l'essentiel du risque.

?Questions fréquentes