Réparer un site WordPress piraté : prix, délais et étapes
Votre site WordPress redirige vers un casino, Google affiche un avertissement rouge à vos visiteurs, ou votre hébergeur l’a suspendu. Vous voulez savoir trois choses : combien coûte la réparation d’un site WordPress piraté, combien de temps ça prend, et si vous allez tout perdre.
Réponse courte à la dernière question : presque jamais. Pour les deux autres, ça dépend de quelques éléments que vous pouvez vérifier vous-même avant d’appeler quelqu’un.
Ce qui fait varier le prix
Deux sites piratés peuvent demander une heure ou deux jours de travail. Voilà ce qui fait la différence.
Avez-vous une sauvegarde d’avant le piratage ? C’est la question la plus importante. Avec une sauvegarde saine, on peut repartir d’une base propre et rapatrier les contenus récents. Sans sauvegarde, il faut nettoyer le site tel qu’il est, fichier par fichier, ce qui prend beaucoup plus de temps.
Depuis quand le site est-il touché ? Un piratage découvert le jour même est souvent limité à quelques fichiers. Un piratage qui tourne depuis des mois a eu le temps de s’installer partout : dans les fichiers, dans la base de données, parfois dans des comptes administrateurs cachés.
Qu’est-ce que le pirate fait de votre site ? Une redirection, des milliers de pages de spam en japonais, l’envoi de mails en masse depuis votre serveur, ou du vol de données de paiement sur une boutique : ce ne sont pas les mêmes dégâts, ni le même travail derrière.
Google et les autres vous ont-ils déjà repéré ? Si Google affiche un avertissement, ou si l’adresse de votre serveur est sur une liste noire de spam, il faut en plus demander le retrait de ces signalements. Ce n’est pas long à faire, mais il faut attendre leur réponse.
Combien de temps ça prend
Il y a deux délais, et on les confond souvent.
Le nettoyage du site se compte en heures, parfois en un ou deux jours pour les cas lourds. C’est le temps de comprendre par où le pirate est entré, de retirer tout ce qu’il a ajouté et de fermer la porte.
Le retour à la normale côté Google prend plus de temps, et il ne dépend plus de personne. Une fois le site propre, on demande un réexamen dans la Search Console. Google indique quelques jours pour un logiciel malveillant, et jusqu’à plusieurs semaines quand le site a servi à publier du spam. Pendant ce temps, l’avertissement peut rester affiché.
Les pages de spam créées par le pirate, elles, disparaissent des résultats de recherche au fil du passage de Google. On peut accélérer leur retrait, mais pas le rendre instantané.
Les étapes d’une réparation sérieuse
Si vous faites appel à quelqu’un, voilà ce qu’il doit faire. Si l’une de ces étapes manque, posez la question.
- Une sauvegarde complète avant de toucher à quoi que ce soit, même du site infecté. Elle permet de revenir en arrière si le nettoyage casse quelque chose, et de comprendre après coup ce qui s’est passé.
- Trouver par où le pirate est entré. Une extension pas à jour, un mot de passe volé, un thème téléchargé sur un site douteux. Nettoyer sans fermer cette porte, c’est se faire pirater de nouveau dans la semaine.
- Comparer les fichiers à ceux d’origine. WordPress, les extensions et les thèmes ont des fichiers officiels. Tout ce qui diffère ou qui n’a rien à faire là doit être expliqué ou retiré.
- Nettoyer la base de données, pas seulement les fichiers. C’est là que se cachent souvent les redirections, les liens de spam et les comptes administrateurs ajoutés.
- Changer tous les accès : administrateurs WordPress, hébergement, FTP, base de données, et les clés de sécurité du fichier de configuration, ce qui déconnecte tout le monde, pirate compris.
- Remettre les choses en ordre côté Google : demande de réexamen, nouveau plan du site, suivi des pages de spam qui restent dans les résultats.
- Un compte rendu écrit de ce qui a été trouvé et de ce qu’il faut faire pour que ça ne recommence pas.
Méfiez-vous d’une intervention qui se résume à installer une extension de sécurité et à lancer un scan. Ces outils sont utiles, mais un scan qui ne trouve rien ne prouve pas que le site est propre. Il faut aussi regarder à la main.
Ce que vous pouvez faire tout de suite, gratuitement
En attendant une intervention, trois gestes limitent les dégâts : changer le mot de passe de votre administration WordPress et de votre hébergement, prévenir votre hébergeur, et ne rien supprimer à l’aveugle. Le détail est dans l’article site WordPress piraté : que faire en urgence.
Si le site affiche seulement une page blanche ou une erreur, ce n’est peut-être pas un piratage du tout. L’article site WordPress en panne vous aide à faire la différence.
Mon intervention, et son prix
Le nettoyage d’un site WordPress piraté démarre à 390 €. Je supprime l’infection, je ferme la faille par laquelle le pirate est entré, et je fais la demande de réexamen auprès de Google. Le prix final dépend de l’étendue de l’infection. Tout est détaillé sur la page sécurité WordPress.
Si vous voulez d’abord savoir où vous en êtes, le diagnostic sécurité WordPress à 149 € contrôle l’intégrité du site, cherche les portes dérobées et passe en revue les accès. Vous recevez un rapport en français, et si tout va bien, je vous le dis.
Votre site est simplement tombé, sans signe de piratage (page blanche, erreur 500) ? Dans ce cas, c’est le dépannage WordPress en urgence à 190 €, avec remise en ligne sous 48 heures ouvrées. Si je découvre pendant le dépannage que le site a en fait été piraté, je vous le dis avant d’aller plus loin, et les 190 € déjà réglés sont déduits du prix du nettoyage.
Et pour éviter que ça arrive sur un nouveau site, voici les réglages de sécurité à faire dès le premier jour.