Pour un site WordPress piraté, mettez-le hors ligne, sauvegardez son état actuel à part, puis changez tous les accès : hébergeur, FTP, base de données et administrateurs. Supprimez les administrateurs inconnus, réinstallez le noyau, remplacez les plugins douteux, cherchez les fichiers PHP cachés, puis demandez un nouvel examen à Google. Sans sauvegarde saine, le nettoyage est risqué.
Les signes les plus fréquents : une redirection vers un site de jeux, de médicaments ou d’escroquerie, des pages en langue étrangère que vous n’avez pas créées, un avertissement du navigateur ou de Google, un compte administrateur inconnu, une suspension par l’hébergeur. Les portes d’entrée habituelles : un plugin ou un thème non mis à jour, un mot de passe faible ou réutilisé, une extension piratée téléchargée hors des circuits officiels.
Si vous visitez un site qui vous redirige de façon étrange, fermez l’onglet, ne saisissez aucun identifiant ni numéro de carte, et prévenez l’éditeur. Les étapes ci-dessous s’adressent à la personne dont le site est touché.
Mettre le site à l’abri des visiteurs
Si vous visitez un site. Quittez la page et n’acceptez aucune installation ni notification proposée. Si vous avez saisi un mot de passe, changez-le. Si votre navigateur affiche ensuite des fenêtres ou des alertes inhabituelles, analysez votre ordinateur avec son antivirus.
Si c’est votre site. Affichez une page de maintenance statique ou suspendez le site depuis l’hébergeur, pour ne plus exposer vos visiteurs. Vérifiez d’abord votre ordinateur avec un antivirus : un poste infecté peut avoir volé vos accès.
Sauvegarder l’état actuel, sans écraser la dernière bonne copie
Si c’est votre site. Téléchargez les fichiers et exportez la base de données telles qu’elles sont, dans un dossier daté à part. Conservez aussi les journaux d’accès de l’hébergeur : ils servent d’éléments de preuve. Repérez la dernière sauvegarde antérieure au piratage : c’est elle qui rend un nettoyage fiable. Sans sauvegarde saine, on ne peut jamais garantir qu’une porte dérobée n’a pas échappé au nettoyage.
Changer tous les accès
Si c’est votre site. Depuis un ordinateur sain, changez dans cet ordre : le compte de l’hébergeur, l’adresse e-mail liée, les accès FTP et SSH, le mot de passe de la base de données (puis mettez à jour wp-config.php), et enfin tous les comptes WordPress. Remplacez aussi les clés de sécurité (salts) de wp-config.php : cela déconnecte toutes les sessions ouvertes.
Vérifier les administrateurs et le noyau de WordPress
Si c’est votre site. Dans Utilisateurs > Tous les utilisateurs, filtrez les administrateurs et supprimez tout compte que vous ne reconnaissez pas. Contrôlez ensuite l’intégrité du noyau : avec WP-CLI, la commande wp core verify-checksums compare vos fichiers à ceux de la version officielle et liste les différences. Sans accès SSH, passez par Tableau de bord > Mises à jour et utilisez Réinstaller maintenant, ou remplacez à la main wp-admin et wp-includes par des copies téléchargées sur wordpress.org.
Remplacer les plugins et thèmes douteux
Si c’est votre site. Supprimez toute extension « nulled », c’est-à-dire une copie piratée d’un plugin ou thème payant : elle contient très souvent le code malveillant. Réinstallez les autres depuis wordpress.org ou le site de leur éditeur, et supprimez celles que vous n’utilisez plus. Avec WP-CLI, wp plugin verify-checksums --all signale les plugins du répertoire dont les fichiers ont été modifiés.
Chercher les fichiers cachés et les modifications
Si c’est votre site. Contrôlez ces endroits dans cet ordre :
wp-content/uploads: il ne doit contenir aucun fichier.php, hors cas rarissimes..htaccessetwp-config.php: repérez les redirections inconnues et le code obscur utilisantevaloubase64_decode.- Le dossier
wp-content/mu-plugins, que l’administration n’affiche pas toujours. - Les tâches planifiées :
wp cron event listmontre les événements, dont ceux ajoutés par un pirate. - La base de données : cherchez des balises
<script>ou<iframe>inconnues dans les articles et les options.
Supprimez ou remplacez ce qui est suspect, mais gardez une copie à part. Le pirate laisse souvent plusieurs accès : un seul oublié rouvre la porte.
Faire analyser le site
Si c’est votre site. Le diagnostic en ligne Sucuri SiteCheck examine les pages publiques et signale logiciels malveillants, listes noires et redirections. Il ne voit pas l’intérieur des fichiers : un résultat vierge ne prouve pas que le site est sain. Si le site est professionnel, Cybermalveillance.gouv.fr recommande aussi de déposer plainte.
Faire retirer l’avertissement Google
Si c’est votre site. Dans la Search Console, ouvrez le rapport sur les problèmes de sécurité. Il liste les pages signalées, par exemple pour « contenu piraté ». Une fois le site nettoyé, demandez un examen en décrivant ce que vous avez corrigé. Tant qu’un code malveillant subsiste, la demande est refusée.
Durcir le site pour éviter une récidive
Si c’est votre site. Mettez à jour le noyau, les plugins et le thème sans attendre, activez l’authentification à deux facteurs pour les administrateurs, limitez les tentatives de connexion, passez en 755 et 644 les permissions, et programmez des sauvegardes conservées hors du serveur.
Questions fréquentes
Comment savoir si mon site WordPress est piraté ?
Les indices sont une redirection inattendue, des pages ou liens que vous n’avez pas créés, des administrateurs inconnus, un avertissement de Google ou du navigateur, une suspension par l’hébergeur ou un ralentissement sans cause. Un diagnostic en ligne et la comparaison des fichiers du noyau avec la version officielle permettent de confirmer.
Pourquoi mon site WordPress redirige-t-il vers un autre site ?
Un code malveillant, injecté dans .htaccess, dans un fichier du thème, dans un plugin ou dans la base de données, renvoie certains visiteurs ailleurs, souvent ceux qui arrivent depuis un moteur de recherche. Il épargne souvent l’administrateur connecté, d’où l’intérêt de tester depuis un téléphone, en navigation privée.
Peut-on nettoyer un site piraté soi-même ?
C’est possible si le piratage est simple et que vous disposez d’une sauvegarde saine : on restaure, on met tout à jour et on change les accès. Sans sauvegarde propre, c’est risqué, car il reste souvent une porte dérobée. Demandez alors une aide technique : nous établissons le devis, gratuit, avant d’intervenir.
Faut-il restaurer une sauvegarde ou nettoyer les fichiers ?
La restauration d’une sauvegarde antérieure au piratage est la méthode la plus fiable, à condition de corriger aussi la faille d’origine, sinon le site sera repiraté. Sans sauvegarde saine, le nettoyage manuel exige de tout vérifier : fichiers, base de données et accès.
Sources
- FAQ My site was hacked — WordPress.org
- Défiguration de site Internet, que faire ? — Cybermalveillance.gouv.fr
- wp core verify-checksums — WP-CLI
- Security issues report — Search Console Help