Site WordPress piraté : que faire en urgence

Votre site redirige vers une page inconnue, affiche des liens que vous n’avez jamais écrits, ou Google prévient vos visiteurs que « ce site peut être piraté ». Voici quoi faire, dans l’ordre, en commençant maintenant. Les premières heures comptent : plus l’infection reste en ligne, plus les dégâts sur votre référencement sont longs à réparer.

À faire tout de suite, avant tout le reste

Trois actions, dans cet ordre, avant même de chercher d’où vient le problème.

1. Changez tous les mots de passe

Administrateur WordPress, hébergement (cPanel), FTP/SSH, et base de données. Depuis un autre appareil que celui que vous utilisez d’habitude, au cas où il serait lui aussi compromis.

2. Déconnectez toutes les sessions

Changer le mot de passe ne suffit pas : une session déjà ouverte reste active. Dans WordPress, allez dans votre profil et cliquez sur « Se déconnecter partout ailleurs ».

3. Faites une sauvegarde — même infectée

Cela paraît contre-intuitif, mais c’est essentiel. Cette copie sert de pièce à conviction : elle permet de comprendre par où l’attaquant est entré. Sans elle, vous nettoyez à l’aveugle et l’infection revient.

Ce qu’il ne faut surtout pas faire

Ne restaurez pas immédiatement une ancienne sauvegarde en pensant que c’est réglé. Si la faille d’origine est toujours là — une extension vulnérable, un mot de passe faible — vous serez repiraté en quelques jours, parfois en quelques heures.

Êtes-vous vraiment piraté ?

Certains symptômes ressemblent à un piratage sans en être un. Voici les signes qui ne trompent pas.

Redirection vers un autre site

C’est le cas le plus fréquent. Votre site renvoie vers une page de publicité, de paris ou de contrefaçon — souvent uniquement sur mobile, ou uniquement pour les visiteurs venant de Google. C’est délibéré : l’attaquant veut que vous, propriétaire, ne voyiez rien en tapant votre adresse directement.

Des pages que vous n’avez pas créées

Cherchez votre nom de domaine sur Google avec la commande site:votredomaine.fr. Si des dizaines de pages inconnues apparaissent (souvent en japonais, en russe, ou autour de médicaments), votre site sert de relais à du spam.

Un avertissement de Google

« Ce site peut être piraté » dans les résultats, ou un message dans la Search Console, section Sécurité. C’est le signal le plus grave : Google a confirmé l’infection et prévient vos visiteurs.

Un compte administrateur inconnu

Regardez la liste des utilisateurs. Un compte administrateur que vous n’avez pas créé signifie que l’attaquant a une porte d’entrée permanente.

Votre site est devenu très lent

Un site infecté sert souvent à envoyer du spam ou à attaquer d’autres sites. Cette activité consomme vos ressources — et votre hébergeur peut finir par suspendre votre compte.

Pourquoi c’est arrivé (ce n’est pas personnel)

Une idée fausse tenace : « mon site est trop petit pour intéresser quelqu’un ». Les attaques ne visent personne en particulier — ce sont des robots qui balaient le web en permanence à la recherche d’une porte ouverte.

Un chiffre concret, pris sur mon propre serveur : 4 235 requêtes d’attaque en un mois, venant de 1 060 adresses IP différentes. Dont 1 603 tentatives de forcer la page de connexion, et des centaines de scans cherchant des fichiers de configuration ou des identifiants. Sur un site de consultant SEO, sans aucun enjeu particulier. Votre site reçoit la même chose.

Les portes d’entrée sont presque toujours les mêmes : une extension ou un thème non mis à jour, un mot de passe faible ou réutilisé, une extension téléchargée sur un site de « versions premium gratuites », ou un hébergement mutualisé où un voisin infecté contamine les autres.

Le nettoyage : ce que ça implique vraiment

C’est là que beaucoup de gens se trompent : supprimer le fichier suspect ne suffit presque jamais.

L’infection est rarement à un seul endroit

Un piratage sérieux dissémine plusieurs éléments : du code injecté dans des fichiers légitimes du thème, une porte dérobée dans un dossier d’uploads, une tâche planifiée qui réinstalle le tout, parfois du code stocké directement en base de données. Vous en supprimez un, les autres le remettent en place.

Il faut comparer aux fichiers d’origine

La méthode fiable consiste à remplacer le cœur de WordPress, les thèmes et les extensions par les versions officielles, et à examiner ce qui reste : les uploads, la base de données, les fichiers de configuration. Ce qui ne correspond à rien de connu est suspect.

Et il faut fermer la porte

Nettoyer sans identifier le point d’entrée, c’est repousser le problème de quelques jours. C’est pour ça que la sauvegarde infectée et les journaux du serveur sont précieux : ils montrent par où c’est passé.

Le vrai risque

Un site nettoyé à moitié donne l’illusion que c’est réglé — jusqu’à la prochaine réinfection, souvent plus discrète. C’est la situation la plus coûteuse, parce qu’on la découvre tard, quand Google a déjà sanctionné.

Réparer les dégâts côté Google

Une fois le site propre, il reste à récupérer votre visibilité.

Dans la Search Console, section Sécurité et actions manuelles, vous pouvez demander un réexamen une fois le nettoyage terminé. Il faut décrire ce qui a été fait — une demande vague est refusée.

Vérifiez ensuite avec la commande site:votredomaine.fr que les pages de spam ont disparu de l’index. Celles qui restent doivent renvoyer une erreur 404 ou 410 pour que Google les retire.

Comptez plusieurs semaines pour retrouver vos positions. C’est précisément pourquoi la vitesse de réaction compte : un piratage laissé en ligne trois semaines coûte bien plus cher à réparer qu’un piratage traité en 48 heures. À ce sujet, un site sanctionné perd aussi sur d’autres critères — voir comment Google évalue votre site.

Éviter que ça recommence

La prévention tient en peu de choses, mais elles doivent être tenues dans la durée.

Mettre à jour WordPress, les thèmes et les extensions régulièrement, pas une fois par an. Supprimer ce qui ne sert pas — chaque extension inactive reste une porte potentielle. Utiliser des mots de passe uniques et l’authentification à deux facteurs sur le compte administrateur. Installer un pare-feu applicatif. Et surtout : disposer de sauvegardes automatiques stockées ailleurs que sur le serveur — une sauvegarde qui vit sur le serveur infecté ne vous sauvera pas.

Si vous voulez de l’aide

Un piratage se traite dans l’ordre, et le faire à moitié coûte plus cher que de ne rien faire. Si vous avez simplement un doute, je fais un pré-diagnostic express offert : je regarde et je vous réponds honnêtement, même si la réponse est « tout va bien ».

Si le site est réellement touché, j’interviens sur ma page sécurité WordPress : diagnostic complet à 149 € pour savoir exactement où vous en êtes, nettoyage et durcissement dès 390 € (suppression de l’infection, fermeture de la faille, demande de réexamen Google), et maintenance sécurité à 90 €/mois pour que ça ne se reproduise pas.

Dans tous les cas, ne restez pas dessus plusieurs jours en espérant que ça passe. Écrivez-moi, je réponds sous 24 h.