Site WordPress piraté : que faire pendant la première heure ?

Avant de lancer le chrono, vérifie que le site est bien compromis

Un site en panne n’est pas forcément piraté. Une mise à jour ratée peut produire une page blanche et un souci d’hébergement peut le rendre inaccessible. En revanche, une redirection vers un domaine inconnu, des pages de spam dans Google, un compte administrateur que personne ne reconnaît ou une alerte de logiciel malveillant sont des signes beaucoup plus sérieux.

Note ce que tu vois, l’heure de la découverte et les derniers changements effectués sur le site. Fais quelques captures d’écran sans multiplier les visites. Ces informations t’aideront à distinguer une simple panne d’un site WordPress compromis et à retrouver plus facilement l’origine du problème.

Une capture suffit. Le tourisme sur un site potentiellement infecté reste une activité assez peu rentable.

De 0 à 10 minutes, isole le site et conserve les preuves

Coupe l’accès public sans effacer le site

La première urgence n’est pas de nettoyer WordPress. Il faut d’abord empêcher le site de rediriger, tromper ou infecter tes visiteurs. Dans ton hébergement, sélectionne le domaine concerné et cherche une option comme « Suspendre le site », « Désactiver l’hébergement », « Mode maintenance » ou « Protection par mot de passe ».

Cette « coupure » ne doit supprimer ni les fichiers ni la base de données. Une fois l’option activée, ouvre le site dans une fenêtre de navigation privée. Ton site WordPress ne doit plus apparaître. Tu dois voir la page de l’hébergeur ou une demande de mot de passe.

Tu ne trouves pas le réglage ou plusieurs sites partagent le même hébergement ? C’est là que le support de ton hébergeur devient utile. Demande-lui d’isoler uniquement le domaine concerné et de conserver les journaux techniques.

Évite en revanche l’extension de maintenance installée dans un WordPress compromis. Le site continuerait à fonctionner en arrière-plan, ce qui n’est pas vraiment l’effet recherché.

La fiche réflexe de Cybermalveillance.gouv.fr reprend les précautions utiles en cas de piratage. Le principe est simple, on met le site à l’écart avant de commencer le ménage.

Conserve une copie avant de nettoyer

Avant de supprimer quoi que ce soit, garde une trace de ce que tu as découvert. Un simple dossier daté sur ton ordinateur suffit pour réunir les éléments utiles :

• les captures d’écran des alertes ou des pages inhabituelles ;
• les adresses des pages concernées ;
• l’heure de la découverte et les derniers changements réalisés ;
• les courriels ou notifications reçus.

Conserve aussi le site dans son état actuel. Depuis l’hébergement, télécharge les fichiers, exporte la base de données et récupère les journaux disponibles. Stocke cette copie hors de ton hébergement. Elle pourra t’aider à comprendre l’intrusion, mais elle n’est pas destinée à être remise en ligne puisqu’elle contient probablement encore le problème.

De 10 à 20 minutes, sécurise les accès

Reprends les comptes qui t’appartiennent

L’adresse e-mail passe en premier, car elle permet souvent de réinitialiser WordPress et l’hébergement. Depuis un ordinateur sain, change son mot de passe, ferme les autres sessions si le service le permet et active la double authentification. Fais ensuite la même vérification sur ton compte d’hébergement, sans oublier l’adresse utilisée pour récupérer l’accès.

Dans WordPress, ouvre « Comptes », puis « Tous les comptes ». La liste doit correspondre aux personnes qui travaillent réellement sur le site. Si un administrateur t’est inconnu, garde une capture de son nom et de son adresse e-mail, puis supprime-le.

Ton propre mot de passe se change dans « Comptes », puis « Profil ». Profites-en pour activer la double authentification si ton outil de sécurité la propose. Après le nettoyage, tu pourras mieux protéger la connexion à WordPress et la page /wp-admin.

Un administrateur surprise au prochain café n’a rien d’une fonctionnalité attendue.

N’oublie pas les accès moins visibles

Le mot de passe WordPress n’est qu’une des clés du site. Les accès SFTP ou SSH servent à gérer ses fichiers, tandis que Cloudflare ou un autre CDN peut agir sur le trafic avant même qu’il arrive sur WordPress. Si tu utilises ces services, renouvelle leurs mots de passe ou leurs clés et ferme les sessions encore actives.

Les clés de sécurité enregistrées dans le fichier `wp-config.php` méritent aussi d’être remplacées. Elles permettront notamment de déconnecter les sessions WordPress qui seraient encore ouvertes. La documentation officielle sur les clés de sécurité WordPress explique leur rôle. Ce fichier demande simplement un peu d’attention, car une erreur peut rendre le site inaccessible.

Garde une petite note avec l’heure et le compte modifié. Elle t’évitera de changer trois fois le même accès tout en oubliant celui qui compte vraiment.

De 20 à 40 minutes, mesure l’étendue du piratage

Regarde ce que WordPress et Google te montrent

Google Search Console peut déjà t’indiquer les pages repérées comme dangereuses. Tu les trouveras dans « Sécurité et actions manuelles », puis « Problèmes de sécurité ». Garde la date de l’alerte et les exemples fournis par Google. Le réexamen viendra plus tard, lorsque le nettoyage sera terminé.

Dans WordPress, les menus « Comptes », « Extensions » et « Apparence » donnent une première vue de ce qui a changé. Un administrateur inconnu, une extension que tu n’as jamais utilisée ou un thème ajouté récemment méritent d’être regardés de plus près. Fais une capture avant de supprimer quoi que ce soit. L’élément peut être malveillant, mais il peut aussi avoir une explication parfaitement normale.

Ton ordinateur fait également partie de l’histoire. Une analyse complète avec ton antivirus permet de vérifier que le mot de passe n’a pas été volé avant même d’arriver sur WordPress. Si ton ordinateur affiche lui aussi des alertes, coupe sa connexion le temps de le contrôler.

Enfin, garde un peu de recul face aux outils qui analysent le site depuis une page web. Certains codes se montrent seulement aux visiteurs venus de Google, sur mobile ou lorsque personne n’est connecté.

Un voyant vert est rassurant. Ce n’est pas encore un certificat de bonne conduite.

Regarde un peu plus loin que le fichier infecté

Trouver un fichier malveillant est une première piste, mais ce n’est pas encore la fin de l’enquête. L’important est de comprendre comment il est arrivé. Sinon, tu le supprimes aujourd’hui et il revient demain.

Compare le core WordPress, tes extensions et ton thème avec des copies propres récupérées auprès de leurs éditeurs. Les fichiers apparus récemment ou modifiés sans raison méritent toute ton attention. Garde simplement une copie de ce que tu trouves avant de commencer le nettoyage.

La base de données peut elle aussi contenir des traces de priatage. Un compte administrateur inconnu, une redirection ajoutée dans un réglage ou une tâche automatique inhabituelle peuvent permettre au pirate de revenir. L’idée n’est donc pas seulement de retirer ce qui se voit, mais aussi de chercher ce qui pourrait le réinstaller.

Les journaux de l’hébergement t’aideront à aller un peu plus loin. Ils enregistrent notamment les connexions, les erreurs et certaines requêtes envoyées au site. S’ils ne sont pas disponibles dans ton espace, demande-les à ton hébergeur. Profites-en pour lui demander si un autre site présent sur le même hébergement a été touché.

La porte d’entrée peut finalement être une extension vulnérable, un thème abandonné, un mot de passe volé ou un autre site infecté.

Tant que cette porte reste ouverte, supprimer le fichier malveillant revient surtout à passer un coup de balai avec la fenêtre grande ouverte.

De 40 à 55 minutes, reconstruis sur une base propre

Repars de composants auxquels tu peux faire confiance

Une mise à jour ne suffit pas toujours à nettoyer le site. Elle remplace les fichiers prévus par WordPress, l’extension ou le thème, mais elle ne retire pas forcément ceux que l’attaquant a ajoutés à côté. Le site peut alors sembler propre tout en conservant une porte ouverte cachée.

Le plus sûr consiste à remplacer le cœur de WordPress, les extensions et le thème par des copies officielles auprès de leurs éditeurs. Tes médias et ta base de données demandent davantage de prudence, car ils contiennent tes images, tes contenus, tes réglages et parfois tes commandes. Ils se contrôlent séparément au lieu d’être effacés en bloc.

C’est aussi le bon moment pour retirer les extensions et les thèmes qui ne servent plus. Moins tu conserves de composants oubliés, moins tu laisses de portes à surveiller ensuite.

Restaure uniquement une sauvegarde vérifiée

Le bouton « Restaurer » est tentant quand le site est hors ligne. Pourtant, une sauvegarde récente peut déjà contenir le piratage. Une copie trop ancienne peut faire disparaître des commandes, des formulaires reçus ou des contenus ajoutés depuis.

Choisis une copie antérieure aux premiers signes de l’intrusion et restaure-la dans un espace de test, souvent appelé staging. Tu peux ainsi l’analyser sans écraser le site actuel. Si ton hébergement ne propose pas cet espace, demande à l’hébergeur d’en créer un ou de réaliser la restauration à l’écart du site public.

La sauvegarde doit être contrôlée et la faille corrigée avant toute remise en ligne. Sinon, tu remontes une maison propre en conservant la fenêtre défaillante utilisée par l’intrus.

Cette méthode de sauvegarde et restauration WordPress reprend les éléments à conserver. Après un piratage, la date de la copie ne suffit plus. Il faut aussi vérifier son contenu et fermer la porte par laquelle il est entré.

De 55 à 60 minutes, teste avant de rouvrir

Contrôle ce que verra ton client

Le nettoyage terminé, regarde le site comme le ferait un client qui ne connaît rien à l’incident. Une fenêtre de navigation privée permet d’éviter que ta session WordPress masque encore un comportement étrange.

Pour ce dernier passage, quelques vérifications suffisent :

• la page d’accueil et les pages importantes s’ouvrent sans redirection ;
• les formulaires arrivent bien dans ta boîte de réception ;
• le site fonctionne aussi depuis ton téléphone en réseau mobile ;
• si tu utilises WooCommerce, le panier, la commande de test et les courriels fonctionnent normalement.

Ne te contente pas du rendu visible. Les comptes, les tâches automatiques, les fichiers et la base de données doivent eux aussi avoir été contrôlés. Un site réparé ne doit pas seulement être joli dans ton navigateur. Il doit rester propre quand tu as fermé l’onglet.

Ferme les derniers accès et prépare Google

Une fois le nettoyage validé, renouvelle une dernière fois les mots de passe de l’adresse e-mail, de WordPress et de l’hébergement. La première modification a coupé les accès connus pendant l’urgence. Celle-ci évite de conserver une clé qui aurait pu être trouvée alors que le site n’était pas encore fiable.

Si Search Console affiche toujours une alerte, retourne dans « Sécurité et actions manuelles », puis « Problèmes de sécurité ». Lorsque toutes les pages signalées ont été contrôlées, ouvre l’alerte et clique sur « Demander un examen ». Explique simplement la cause trouvée, ce qui a été nettoyé, les accès renouvelés et les vérifications réalisées.

Cette page explique pourquoi un site apparaît comme dangereux dans Google et ce qui se passe après la demande. Ne l’envoie pas tant qu’un doute subsiste.

Google apprécie rarement les visites de contrôle où la porte dérobée est encore dans le salon.

Ce qui continue après la première heure

À 60 minutes, tu dois avoir limité l’exposition, conservé les preuves et repris les principaux accès. Le travail ne s’arrête pas brutalement avec le chronomètre. Pendant les jours suivants, garde un œil sur les redirections, les nouveaux comptes, les fichiers modifiés et les alertes Search Console.

Si des données personnelles ont pu être consultées, copiées ou détruites, évalue rapidement le risque. Une notification à la CNIL peut être nécessaire dans les 72 heures lorsque les personnes concernées risquent de subir un préjudice. La page consacrée à la notification d’une violation de données t’aide à vérifier ta situation et à préparer la déclaration.

Garde enfin une trace de l’incident. Note la cause, les éléments touchés, les accès remplacés et ce qui a été corrigé pour éviter le retour du problème. Tu pourras ensuite t’appuyer sur ce plan d’entretien WordPress pour organiser la surveillance et tester réellement tes sauvegardes.

En conclusion

Un site WordPress piraté ne se récupère pas en supprimant le premier fichier suspect venu. Tu commences par le mettre à l’écart, tu gardes les éléments utiles, puis tu fermes les accès et tu recherches par où cela est arrivé. Ce rythme peut sembler moins spectaculaire qu’un grand bouton « Réparer » mais il évite surtout de recommencer le nettoyage quelques heures plus tard.