Site WordPress piraté : que faire, dans quel ordre, et combien ça coûte.

En treize ans, j'ai nettoyé quelques dizaines de sites WordPress piratés : des vitrines d'artisans, des boutiques WooCommerce, un intranet. Le scénario est presque toujours le même : personne ne regardait le site depuis des mois, un plugin n'avait pas été mis à jour, et un robot a trouvé la porte ouverte. La bonne nouvelle, c'est qu'un piratage WordPress est rarement un travail ciblé — c'est de l'automatisation industrielle, et ça se répare avec de la méthode.

Cet article est la procédure que j'applique. Si votre site est piraté en ce moment, allez directement à la section « les 3 premières choses à faire », puis revenez pour le reste.

Reconnaître les signes d'un piratage

Un site WordPress piraté ne ressemble pas toujours à une page de défiguration avec un crâne. Le plus souvent, le pirate veut rester discret pour exploiter votre site le plus longtemps possible. Les symptômes que je rencontre, du plus fréquent au plus rare :

• Redirections malveillantes : vos visiteurs (souvent uniquement sur mobile, ou uniquement depuis Google) atterrissent sur un site de casino, de pharmacie ou de « félicitations, vous avez gagné un iPhone ». Vous, connecté en admin, ne voyez rien.
• Pages spam dans Google : en tapant site:votredomaine.fr dans Google, vous découvrez des centaines de pages en japonais, en russe ou vantant des médicaments. C'est le fameux Japanese keyword hack, très courant.
• Alerte Google : la mention « Ce site peut avoir été piraté » sous votre résultat, ou pire, l'écran rouge « Le site que vous allez ouvrir est dangereux » dans Chrome.
• E-mail de votre hébergeur : envoi massif de spam, phishing hébergé sur votre espace, consommation CPU anormale. IONOS et OVH suspendent le compte sans préavis dans ces cas-là.
• Page blanche ou erreur 500 après qu'un script malveillant a cassé un fichier.
• Accès admin impossible, mot de passe « incorrect » alors qu'il n'a pas changé, ou nouveaux comptes administrateurs inconnus dans Utilisateurs.
• Antivirus ou pare-feu d'entreprise qui bloque votre propre site chez vos clients.
• Fichiers inconnus à la racine ou dans wp-content/uploads (des .php dans un dossier d'images, c'est toujours mauvais signe).

Pour confirmer sans toucher à rien : passez l'URL dans Sucuri SiteCheck et dans Google Safe Browsing, puis regardez la rubrique Sécurité et actions manuelles de votre Search Console.

Les 3 premières choses à faire (et à ne pas faire)

L'ordre compte. La plupart des dégâts durables que je vois ne viennent pas du pirate, mais des premières réactions de panique.

1. Isoler le site, sans le supprimer

Mettez le site hors ligne pour vos visiteurs le temps du nettoyage : page de maintenance via l'hébergeur, ou protection par mot de passe du dossier via .htaccess. Objectif : stopper les redirections, l'envoi de spam et l'exposition de vos visiteurs. Ne supprimez rien : vous avez besoin des fichiers infectés pour comprendre par où le pirate est entré.

2. Changer tous les mots de passe — vraiment tous

• Tous les comptes WordPress ayant un rôle Administrateur ou Éditeur.
• Accès FTP / SFTP et SSH.
• Base de données (puis mise à jour de wp-config.php).
• Espace client de l'hébergeur et du registrar (le nom de domaine).
• Adresses e-mail liées au site, surtout celle de l'admin principal.

Si un pirate a un accès admin, il peut aussi réinitialiser des mots de passe par e-mail. Et si vous utilisez le même mot de passe ailleurs… vous savez ce qu'il vous reste à faire.

3. Sauvegarder l'état infecté, puis identifier la dernière sauvegarde saine

Faites une copie complète (fichiers + base) du site tel qu'il est : c'est votre pièce à conviction et votre filet de sécurité. Ensuite, cherchez quand le problème a commencé (date de modification des fichiers suspects, premières pages spam dans Search Console) pour savoir quelle sauvegarde est antérieure à l'infection.

Nettoyer un site WordPress infecté, étape par étape

Voici la méthode que j'applique, dans l'ordre. Elle suppose un accès SFTP ou SSH à l'hébergement — si vous n'en avez pas, votre hébergeur peut vous le fournir.

Étape 1 — Scanner pour cartographier l'infection

Un scan avec Wordfence (gratuit) ou MalCare donne une première liste de fichiers modifiés ou suspects. Je complète toujours par une recherche manuelle des fichiers modifiés récemment et des motifs classiques d'obfuscation (base64_decode, eval(, gzinflate, str_rot13) dans tout l'espace web — les scanners en ratent une partie.

Étape 2 — Vérifier l'intégrité du cœur de WordPress

Avec WP-CLI, wp core verify-checksums compare chaque fichier de WordPress à la version officielle et liste les fichiers modifiés ou ajoutés. Tout fichier inconnu dans wp-admin ou wp-includes est à supprimer. Puis on réinstalle le cœur proprement.

Étape 3 — Réinstaller thème et plugins depuis les sources officielles

On ne « nettoie » pas un plugin, on le supprime et on le réinstalle depuis wordpress.org ou l'éditeur. Les plugins et thèmes « nulled » (versions premium piratées) partent définitivement : c'est l'un des vecteurs d'infection les plus courants, le malware est livré dedans. Les plugins inutilisés aussi — un plugin désactivé reste une surface d'attaque.

Étape 4 — Inspecter les fichiers sensibles

• wp-config.php : lignes ajoutées, includes vers des fichiers étranges.
• .htaccess : règles de redirection conditionnelles (par user-agent, par referer Google) — la signature typique des redirections mobiles.
• wp-content/uploads : aucun fichier .php ne devrait s'y trouver, jamais.
• index.php à la racine et dans le thème : du code injecté en première ligne.
• Les dossiers hors WordPress sur le même hébergement : vieux sites de test, anciennes installations — souvent le vrai point d'entrée.

Étape 5 — Nettoyer la base de données

Les utilisateurs inconnus (wp user list), les valeurs siteurl et home dans wp_options, les tâches cron injectées, les articles ou pages créés par le pirate, et les scripts insérés dans le contenu des pages ou dans les options du thème. Les pages spam du Japanese keyword hack sont parfois générées à la volée par un fichier PHP, parfois stockées en base : il faut vérifier les deux.

Étape 6 — Régénérer les clés et fermer les sessions

Nouvelles clés de sécurité (salts) dans wp-config.php : cela déconnecte toutes les sessions, y compris celles du pirate. Puis contrôle des permissions de fichiers (644 pour les fichiers, 755 pour les dossiers, 600 pour wp-config.php).

Étape 7 — Re-scanner, remettre en ligne, surveiller

Un second scan complet, un test sur mobile depuis une recherche Google (les redirections ciblent souvent ce cas précis), un contrôle des e-mails sortants. Puis on rouvre le site et on surveille les fichiers pendant 7 jours : si quelque chose réapparaît, c'est qu'une porte dérobée a échappé au nettoyage.

Pourquoi votre site a été piraté

Comprendre la cause est indispensable, sinon le nettoyage ne tient pas. Selon le rapport annuel de Patchstack, plus de 95 % des vulnérabilités WordPress recensées concernent des plugins, moins de 4 % les thèmes, et une fraction infime le cœur de WordPress lui-même. Dans la pratique, voici ce que je trouve :

Vous remarquerez que la liste ne contient pas « un hacker m'en voulait ». Les attaques sur les sites de PME sont automatisées : un robot scanne des millions de sites à la recherche d'une version précise d'un plugin vulnérable. Être une petite entreprise ne protège de rien ; être à jour protège de presque tout.

Faire lever l'alerte Google et la suspension de l'hébergeur

Côté Google

1. Vérifiez que le site est 100 % propre (un examen refusé rallonge les délais).
2. Dans la Search Console, rubrique Sécurité et actions manuelles → Problèmes de sécurité, cliquez sur « Demander un examen » et décrivez les actions réalisées, honnêtement et précisément.
3. Supprimez les URL spam de l'index : outil de suppression temporaire pour les plus visibles, et laissez les pages renvoyer une vraie erreur 404 ou 410 pour le reste. Google les désindexera progressivement.
4. Soumettez à nouveau votre sitemap.

Comptez 24 à 72 h pour la disparition de l'alerte, parfois une semaine. Les pages spam mettent plus longtemps à sortir de l'index (quelques semaines), mais elles ne nuisent plus une fois en 404.

Côté hébergeur

Répondez au ticket avec un compte rendu factuel : point d'entrée identifié, fichiers supprimés, mots de passe changés, mesures de prévention. Les équipes abuse d'IONOS, OVH ou o2switch réactivent généralement sous 24 h quand elles voient un nettoyage sérieux. Si l'adresse IP de votre hébergement a été blacklistée pour spam (vérifiable sur MXToolbox), la demande de délistage se fait auprès de chaque liste — ou l'hébergeur s'en charge.

Sécuriser pour que ça ne se reproduise pas

Le nettoyage, c'est la moitié du travail. Un site nettoyé mais pas durci est réinfecté dans les semaines qui suivent dans une proportion que je n'ose pas chiffrer tellement elle est élevée. Le minimum vital :

• Mises à jour régulières du cœur, du thème et des plugins — hebdomadaires, avec sauvegarde avant.
• Pare-feu applicatif (WAF) : Wordfence en version gratuite, ou Cloudflare devant le site, qui filtre une grande partie des attaques automatisées avant qu'elles n'arrivent au serveur.
• Double authentification sur tous les comptes admin, et limitation des tentatives de connexion.
• Sauvegardes quotidiennes externalisées (pas sur le même hébergement), avec une restauration testée au moins une fois.
• Moins de plugins : chaque plugin supprimé est une faille potentielle en moins.
• PHP 8.x, édition de fichiers désactivée dans l'admin (DISALLOW_FILE_EDIT), XML-RPC désactivé si inutilisé.
• Surveillance : alerte en cas de modification de fichier, de nouvel administrateur ou d'indisponibilité.

J'ai détaillé tout cela dans le guide complet de sécurité WordPress et dans ma sélection de plugins essentiels (et ceux à éviter). Si vous ne voulez pas y penser, c'est exactement ce que couvre un contrat de maintenance WordPress.

Combien coûte le nettoyage d'un site piraté ?

Les tarifs du marché sont très dispersés : de 150 € pour un « nettoyage automatique » en ligne (qui ne corrige pas la cause) à plusieurs milliers d'euros en agence. Mes repères :

À mettre en regard d'un contrat de maintenance annuel entre 600 et 1 800 € HT par an, qui inclut les mises à jour, la supervision, les sauvegardes et l'intervention d'urgence. Dans la quasi-totalité des cas que je vois, le piratage aurait été évité par un simple suivi des mises à jour. Le tarif détaillé est sur la page tarifs.

Le faire soi-même ou faire appel à un pro ?

Si vous êtes à l'aise avec SSH, WP-CLI et la lecture de code PHP, la méthode ci-dessus vous suffit — prévoyez un week-end et une vraie rigueur sur la recherche des portes dérobées. Dans tous les autres cas, faire appel à quelqu'un dont c'est le métier est plus rapide et, au final, moins cher : le coût réel d'un piratage, ce n'est pas le nettoyage, c'est le site hors ligne pendant dix jours, les clients qui tombent sur un écran rouge, et le référencement qui décroche.

Ce que vous devez exiger de la personne qui intervient : un diagnostic écrit du point d'entrée, la liste des actions réalisées, les mesures de durcissement mises en place, et une surveillance de quelques jours après la remise en ligne. Si on vous propose « un nettoyage » sans vous expliquer d'où venait le problème, méfiez-vous.

Questions fréquentes