Site WordPress piraté ? Les premières actions, étape par étape

Votre site redirige les visiteurs vers du spam, Google affiche « Ce site a peut-être été piraté », l’hébergeur a suspendu votre compte ou des administrateurs inconnus sont apparus. Découvrir le piratage de son site WordPress est stressant. Agir dans le bon ordre limite les dégâts et empêche le pirate de revenir.

Ce guide explique quoi faire dans la première heure, comment nettoyer le site et comment éviter une nouvelle infection.

Les signes d’un piratage de votre site WordPress

• Les visiteurs, notamment depuis Google ou sur mobile, sont redirigés vers des sites de spam, de pharmacie ou de casino.
• Google Search Console ou Chrome affiche une alerte de sécurité ou de site trompeur.
• Votre hébergeur a suspendu le compte ou vous a écrit au sujet d’un logiciel malveillant ou d’envois de spam.
• Des administrateurs, extensions ou fichiers inconnus apparaissent.
• Les résultats de recherche de votre site affichent des titres en japonais ou indésirables que vous n’avez pas écrits.
• Le site devient très lent ou votre serveur envoie de grandes quantités d’e-mails.

Étape 1 : faites une copie de l’état actuel avant toute modification

Téléchargez une copie complète des fichiers et un export de la base de données dans leur état actuel. Sauvegarder un site piraté peut sembler étrange, mais cette copie aide à comprendre comment le pirate est entré et vous protège si une étape de nettoyage tourne mal. Conservez-la hors ligne et ne la restaurez pas.

Étape 2 : bloquez l’accès du pirate

Depuis un ordinateur de confiance, changez les mots de passe suivants :

• Tous les comptes administrateurs WordPress. Supprimez les administrateurs que vous ne reconnaissez pas.
• Le panneau de gestion de l’hébergement et les comptes SFTP/FTP.
• Le mot de passe de la base de données, puis mettez-le à jour dans wp-config.php.
• Les comptes du bureau d’enregistrement du domaine et de messagerie s’ils partagent des mots de passe.

Générez ensuite de nouvelles clés de sécurité : remplacez les lignes allant de AUTH_KEY à NONCE_SALT dans wp-config.php par de nouvelles valeurs obtenues sur https://api.wordpress.org/secret-key/1.1/salt/. Cela déconnecte toutes les sessions, y compris celle du pirate.

Étape 3 : analysez le site pour localiser l’infection

• Lancez une analyse côté serveur si votre hébergeur en propose une.
• Installez un outil de sécurité tel que Wordfence ou Sucuri Security et lancez une analyse complète. Ils comparent les fichiers du cœur aux versions officielles et signalent les logiciels malveillants connus.
• Recherchez les fichiers récemment modifiés dans wp-content, notamment les fichiers PHP dans uploads, qui devrait normalement ne contenir que des images et des documents.
• Examinez les fichiers .htaccess pour repérer les règles de redirection que vous n’avez pas ajoutées.

Étape 4 : nettoyez l’infection

1. Remplacez le cœur de WordPress : téléversez des copies neuves des dossiers wp-admin et wp-includes ainsi que des fichiers à la racine, provenant de la même version de WordPress.
2. Réinstallez les extensions et les thèmes depuis des sources saines : supprimez le dossier de chaque extension et thème, puis installez une copie neuve depuis WordPress.org ou l’éditeur. Retirez ce que vous n’utilisez pas et tout élément « nulled » : les extensions payantes piratées sont une source d’infection très courante.
3. Retirez le code injecté : vérifiez wp-config.php, le fichier du thème functions.php, et .htaccess pour repérer du code obscurci, comme de longues chaînes eval(base64_decode(...)).
4. Nettoyez la base de données : recherchez les liens de spam ou scripts injectés dans les articles, les widgets et la table wp_options, ainsi que les administrateurs inconnus.
5. Supprimez les fichiers PHP du dossier uploads : les sites légitimes ont rarement besoin d’un fichier .php dans wp-content/uploads.

Relancez une analyse à la fin. Un seul fichier de porte dérobée oublié suffit pour permettre au pirate de revenir en quelques jours.

Étape 5 : trouvez et fermez le point d’entrée

Nettoyer sans fermer le point d’entrée est la raison la plus courante des réinfections. Les points d’entrée habituels :

• Une extension ou un thème obsolète avec une vulnérabilité connue
• Un mot de passe administrateur faible ou réutilisé, ou un ancien compte jamais supprimé
• Des extensions ou thèmes payants piratés
• Un autre site infecté sur le même compte d’hébergement
• Des identifiants FTP ou d’hébergement exposés ou réutilisés

Mettez tout à jour, retirez les extensions, thèmes et comptes inutilisés, puis activez l’authentification à deux facteurs pour les administrateurs.

Étape 6 : faites retirer les avertissements et prévenez Google

• Dans Google Search Console, ouvrez Sécurité et actions manuelles → Problèmes de sécurité, confirmez que les problèmes sont corrigés et cliquez sur Demander un examen.
• Si votre hébergeur a suspendu le site, répondez à son avis en expliquant le nettoyage effectué et demandez une nouvelle analyse.
• Si des pages de spam ont été indexées, renvoyez un code 404 ou 410 pour ces URL afin que Google les retire.

Étape 7 : renforcez la sécurité pour éviter une nouvelle infection

• Gardez WordPress, les extensions et les thèmes à jour, idéalement chaque semaine.
• Utilisez des mots de passe forts et uniques ainsi que l’authentification à deux facteurs.
• Ajoutez define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php pour désactiver l’éditeur de code intégré.
• Effectuez des sauvegardes quotidiennes hors site pour pouvoir restaurer rapidement une copie saine.
• Utilisez un pare-feu au niveau de l’hébergeur, d’une extension ou du CDN, et surveillez la disponibilité ainsi que les modifications de fichiers.

Questions fréquentes

Puis-je simplement restaurer une sauvegarde ?

Uniquement si vous savez qu’elle date d’avant l’infection, et seulement après avoir changé les mots de passe et fermé le point d’entrée. Sinon, le pirate reviendra par le même chemin.

Pourquoi le piratage n’affecte-t-il que les visiteurs de Google ou sur mobile ?

De nombreuses infections se cachent des administrateurs connectés et des visiteurs sur ordinateur pour que le propriétaire ne les remarque pas. Testez en navigation privée, sur un réseau mobile et en cliquant sur votre site dans les résultats Google.

Combien de temps Google met-il à retirer l’avertissement ?

Après votre demande dans Search Console, l’examen prend généralement entre un jour et quelques jours. L’avertissement reste affiché jusqu’à ce que Google confirme que le site est sain.