Cybersécurité
Site WordPress piraté : que faire dans les premières heures ?
Redirections, spam, comptes inconnus ou alerte Google : la méthode pour contenir un site WordPress piraté, préserver les preuves et le remettre en ligne proprement.
Redirections vers des pages douteuses, nouveaux comptes administrateurs, alerte Google ou commandes inconnues : lorsqu’un site WordPress est piraté, l’ordre des actions compte autant que leur rapidité. Effacer trop vite, restaurer au hasard ou changer un seul mot de passe peut masquer l’origine de l’intrusion et favoriser une nouvelle compromission.
Ce guide présente une méthode défensive pour protéger les visiteurs, conserver les éléments utiles au diagnostic, retrouver une base saine et remettre le site en ligne sans brûler les étapes. Il ne remplace pas une analyse forensique ni un conseil juridique : chaque incident doit être évalué selon son périmètre, les données concernées et les services touchés.
Comment confirmer qu’un site WordPress est réellement piraté ?
Une anomalie n’est pas toujours une intrusion. Une extension défaillante peut casser l’affichage ; une mauvaise configuration DNS peut rendre le site inaccessible. En revanche, plusieurs signaux doivent déclencher immédiatement une investigation :
- des visiteurs sont redirigés vers des domaines inconnus ;
- des pages de spam apparaissent dans Google sans exister dans le menu du site ;
- un compte administrateur, une extension ou une tâche planifiée inconnue est présent ;
- des fichiers du cœur WordPress ont été modifiés sans mise à jour prévue ;
- l’hébergeur signale un malware, un envoi massif d’e-mails ou une consommation inhabituelle ;
- Google affiche un avertissement de sécurité dans le navigateur ou les résultats de recherche ;
- les mots de passe valides ne fonctionnent plus, ou des réglages changent à nouveau après correction.
Le rapport Problèmes de sécurité de Google Search Console distingue notamment les contenus piratés, les logiciels malveillants et l’ingénierie sociale. Les exemples d’URL affichés ne sont pas exhaustifs : une seule URL signalée peut révéler un problème plus large. La documentation officielle de Google recommande donc de rechercher le même type d’anomalie sur l’ensemble du site.
Les premières minutes : contenir sans effacer les preuves
1. Protéger les visiteurs et limiter les mouvements
Si le site diffuse un malware, vole des identifiants ou redirige les visiteurs, restreignez rapidement son accès public avec l’aide de l’hébergeur. Une page de maintenance statique hébergée à part peut être préférable à une extension exécutée dans le WordPress compromis. Ne supprimez pas encore les fichiers suspects : vous risqueriez de perdre des indices sur le point d’entrée ou la période concernée.
2. Figer un état exploitable
Conservez une copie horodatée des fichiers, de la base de données, de la configuration et des journaux disponibles. Notez l’heure de découverte, les symptômes observés, les actions effectuées et les personnes intervenues. Cette copie n’est pas une sauvegarde saine destinée à la remise en production ; elle sert à comprendre l’incident et, si nécessaire, à documenter les démarches auprès de l’hébergeur, de l’assureur, des autorités ou des personnes concernées.
3. Alerter les bons interlocuteurs
Contactez l’hébergeur, la personne chargée du site et le responsable de la protection des données s’il existe. Sur un hébergement mutualisé, plusieurs sites ou comptes peuvent partager le même périmètre technique. La FAQ officielle de WordPress invite justement à vérifier les autres sites associés au compte et à travailler avec l’hébergeur pour déterminer l’étendue réelle de la compromission.
Vous avez un doute sur l’ordre des actions ?
Pixel Info peut vous aider à qualifier l’incident, préserver ce qui doit l’être et définir un plan de remise en ligne cohérent, sans promesse irréaliste avant diagnostic.
Une chronologie d’intervention pour ne rien oublier
| Période | Objectif | Actions prioritaires |
|---|---|---|
| 0 à 30 minutes | Limiter l’exposition | Restreindre l’accès si les visiteurs sont menacés, prévenir l’hébergeur, consigner les symptômes et éviter toute suppression précipitée. |
| 30 minutes à 2 heures | Préserver et cadrer | Copier fichiers, base et journaux ; recenser les sites, comptes, domaines, boîtes e-mail et services reliés ; identifier les derniers changements légitimes. |
| 2 à 8 heures | Retrouver une base saine | Comparer avec les sources officielles, choisir restauration ou reconstruction, corriger la faille, supprimer les accès inconnus et tester hors production. |
| Après nettoyage | Éviter la récidive | Mettre à jour, renouveler tous les secrets, activer la double authentification, surveiller les journaux, remettre en ligne progressivement et demander les réexamens nécessaires. |
Nettoyer ou restaurer : comment choisir la bonne méthode ?
Restaurer la veille n’est pertinent que si l’on sait que la sauvegarde précède l’intrusion et si la cause est corrigée avant la remise en ligne. Dans le cas contraire, le site peut revenir avec la même porte d’entrée ou contenir déjà le code malveillant. Une sauvegarde WordPress réellement utile doit donc être externe, versionnée et testée par une restauration.
| Situation observée | Approche raisonnable | Point de vigilance |
|---|---|---|
| Sauvegarde saine datée d’avant l’incident | Restauration contrôlée sur un environnement isolé, puis mises à jour et tests | Identifier et fermer la faille avant toute réouverture |
| Date de compromission inconnue | Reconstruire le cœur, les extensions et les thèmes depuis des sources fiables ; analyser contenus et médias | Une ancienne sauvegarde peut déjà être contaminée |
| Plusieurs sites sur le même hébergement | Étendre l’inventaire à tous les sites, comptes et accès associés | Un seul site oublié peut réinfecter les autres |
| Boutique ou données personnelles concernées | Préserver davantage de traces, vérifier les transactions et réaliser une analyse de risque | Disponibilité, intégrité et confidentialité doivent être évaluées séparément |
« La meilleure remise en ligne n’est pas la plus rapide à afficher une page d’accueil. C’est celle qui permet d’expliquer ce qui s’est passé, ce qui a été corrigé et pourquoi le site ne devrait pas retomber de la même manière. »
Axel Arnaud, Pixel Info
Éliminer la cause et sécuriser tous les accès
Repartir de composants de confiance
Comparez les fichiers avec les versions officielles de WordPress, des extensions et des thèmes. Lorsque l’intégrité est douteuse, remplacez les composants plutôt que de corriger quelques lignes visibles. Supprimez les extensions abandonnées et les thèmes inutilisés. Les versions téléchargées depuis des sources non officielles ou dont la provenance ne peut pas être vérifiée ne doivent pas servir de base à la reconstruction.
Contrôler aussi la base de données et les contenus
Le malware n’est pas toujours limité aux fichiers. Vérifiez les utilisateurs, rôles, pages, articles, options, redirections, tâches planifiées et contenus injectés. Sur une boutique, contrôlez également les comptes clients, commandes, moyens de paiement configurés et webhooks. Cette revue doit se faire sur une copie isolée, avec un journal des éléments supprimés ou modifiés.
Renouveler les secrets au bon moment
Changez les mots de passe de l’hébergement, SFTP/SSH, base de données, WordPress, registrar, CDN, messagerie et services tiers depuis un appareil sain. Révoquez les sessions et clés inutiles. Un premier renouvellement peut limiter l’incident ; un second, après nettoyage, évite qu’un secret saisi pendant la compromission reste exposé. Activez la double authentification pour les comptes privilégiés et appliquez le principe du moindre privilège.
Mettre à jour, tester, puis surveiller
Mettez à jour WordPress, les extensions, les thèmes et l’environnement serveur après avoir retrouvé une base saine. Testez les formulaires, connexions, paiements, e-mails, redirections, droits utilisateurs et sauvegardes sur un environnement isolé. Une fois le site rouvert, surveillez les journaux, les comptes, les changements de fichiers, les volumes d’e-mails et Search Console pendant plusieurs jours.
Pourquoi restaurer une sauvegarde ne suffit pas toujours
Une restauration remet des données dans un état antérieur ; elle ne prouve ni la date exacte de l’intrusion ni la disparition du point d’entrée. Si un mot de passe a été volé, si un autre site du compte reste compromis ou si une extension vulnérable est réinstallée, l’attaquant peut revenir. C’est pourquoi la restauration doit être associée à une analyse du périmètre, à la correction de la cause et au renouvellement des accès.
Google, données personnelles et obligations après l’incident
Faire retirer un avertissement Google
Nettoyez d’abord l’ensemble du problème, vérifiez les variantes du site, puis demandez un réexamen dans Search Console. Google précise qu’une demande prématurée peut ralentir la résolution et qu’un examen peut prendre de quelques jours à plusieurs semaines selon le type de problème. La démarche officielle est détaillée dans l’aide consacrée aux avertissements de site dangereux.
Évaluer une éventuelle violation de données
Un piratage WordPress n’entraîne pas automatiquement une notification à la CNIL. Il faut documenter l’incident et déterminer si des données personnelles ont été détruites, perdues, altérées, divulguées ou rendues accessibles sans autorisation. Si la violation présente un risque pour les droits et libertés des personnes, la CNIL indique qu’elle doit être notifiée si possible dans les 72 heures. En cas de risque élevé, les personnes concernées peuvent aussi devoir être informées. Faites valider l’analyse par votre DPO ou votre conseil juridique.
Sept erreurs qui aggravent souvent un site WordPress piraté
- Supprimer immédiatement les fichiers suspects sans conserver de copie ni de journaux.
- Restaurer la dernière sauvegarde sans vérifier sa date ni corriger le point d’entrée.
- Changer uniquement le mot de passe WordPress en oubliant l’hébergement, le domaine, la messagerie et les services tiers.
- Intervenir depuis un ordinateur potentiellement infecté ou réutiliser les mêmes mots de passe.
- Se limiter à la page d’accueil alors que des pages de spam ou des redirections conditionnelles restent actives.
- Demander trop tôt un réexamen à Google avant d’avoir corrigé toutes les variantes du problème.
- Remettre le site en ligne sans surveillance ni test de restauration, puis considérer le silence comme une preuve de sécurité.
Prévenir une nouvelle compromission : la checklist durable
- conserver plusieurs sauvegardes externes, versionnées et chiffrées lorsque nécessaire ;
- tester régulièrement une restauration complète, pas seulement l’existence des fichiers ;
- appliquer les mises à jour de sécurité avec une procédure de test et de retour arrière ;
- supprimer les extensions, thèmes, comptes et clés devenus inutiles ;
- activer la double authentification et limiter le nombre d’administrateurs ;
- séparer les sites sensibles et éviter qu’une seule compromission expose tout l’hébergement ;
- surveiller les changements de fichiers, les connexions, les erreurs serveur et les alertes Search Console ;
- documenter les accès, responsables, prestataires et gestes d’urgence avant qu’un incident arrive.
La sécurité ne repose pas sur une extension miracle. Elle associe une conception WordPress maintenable, des mises à jour maîtrisées, des sauvegardes restaurables, des accès bien gérés et une surveillance adaptée au risque métier.
FAQ : site WordPress piraté
Comment savoir si mon site WordPress est piraté ?
Les signaux les plus sérieux sont les redirections inconnues, pages de spam, comptes administrateurs non reconnus, fichiers modifiés, envois d’e-mails inhabituels et alertes de l’hébergeur ou de Google Search Console. Un diagnostic doit toutefois distinguer une intrusion d’une panne d’extension, de serveur ou de DNS.
Restaurer une sauvegarde suffit-il à nettoyer WordPress ?
Non. La sauvegarde peut être postérieure à l’intrusion, et la faille d’origine peut rester ouverte. Il faut vérifier la date et l’intégrité de la sauvegarde, corriger le point d’entrée, renouveler les accès et contrôler l’ensemble du périmètre avant la remise en ligne.
Quand faut-il changer les mots de passe ?
Un premier changement depuis un appareil sain peut limiter l’accès pendant le confinement. Renouvelez ensuite tous les secrets concernés après le nettoyage, révoquez les sessions actives et activez la double authentification. Pensez aussi à l’hébergement, au domaine, au SFTP/SSH, à la base, à la messagerie et aux services tiers.
Combien de temps faut-il pour nettoyer un site piraté ?
Il n’existe pas de durée fiable sans diagnostic. Elle dépend du nombre de sites et de comptes, de la qualité des sauvegardes, des journaux disponibles, du type de malware, des données concernées et de la cause. Une promesse de délai avant analyse doit être considérée avec prudence.
Comment supprimer l’avertissement de sécurité Google ?
Corrigez complètement les problèmes listés dans Search Console, vérifiez les autres URL et variantes, puis demandez un réexamen. Google annonce un délai variable, de quelques jours à plusieurs semaines selon le problème. Ne demandez pas la vérification tant que le nettoyage n’est pas terminé.
Retrouver un site sain, puis une exploitation normale
Face à un site WordPress piraté, la priorité est de contenir l’incident sans détruire les preuves, puis de mesurer le périmètre avant de choisir entre nettoyage, restauration et reconstruction. La remise en ligne vient après la correction de la cause, le renouvellement des accès et des tests sérieux. Cette discipline protège mieux les visiteurs, l’entreprise et le référencement qu’une correction superficielle réalisée dans l’urgence.
Besoin d’un diagnostic avant d’agir ?
Expliquez les symptômes observés à Pixel Info. Nous vous aiderons à cadrer l’urgence, les sauvegardes disponibles, les accès concernés et la méthode de remise en état adaptée à votre site.