Votre site se comporte bizarrement ? Vous avez reçu un mail de Google signalant du contenu suspect ? Un client vous a appelé parce qu’il avait été redirigé vers un site douteux en voulant vous rendre visite ? Pas de panique. Ce guide vous aide à faire le point, à confirmer (ou infirmer) le piratage, et à reprendre le contrôle.
Avant de lire la suite, sachez que si vous n’avez pas le temps ou l’envie (ou les deux) de corriger ce problème vous-même, on peut s’en occuper.
Rendez-vous ici 👇
Les signes qui ne trompent pas
Votre site se comporte de façon inhabituelle
Un site piraté ne se signale pas toujours par une page de hacker avec une tête de mort et un message menaçant. La plupart du temps, les pirates travaillent en toute discrétion. Ce sont souvent des détails qui mettent la puce à l’oreille.
Des redirections vers des sites inconnus : vos visiteurs arrivent sur votre site et se retrouvent envoyés vers une boutique en ligne douteuse, un site pharmaceutique ou pire. Souvent, ces redirections ne s’affichent que sur mobile ou uniquement pour les visiteurs arrivant depuis Google, ce qui les rend difficiles à détecter de votre côté.
Du contenu que vous n’avez pas écrit : des liens vers des sites tiers apparaissent dans vos pages, parfois en texte blanc sur fond blanc, invisibles pour vous mais parfaitement lisibles par les moteurs de recherche. C’est ce qu’on appelle du « black hat SEO » : le pirate utilise votre site pour améliorer le référencement de ses propres pages.
Des pages ou des utilisateurs inconnus dans votre tableau de bord. Si vous découvrez un compte administrateur que vous n’avez pas créé, c’est un signal d’alarme très sérieux. Très sérieux.
Google et votre hébergeur vous alertent
Parfois, c’est votre hébergeur ou Google qui détecte le problème avant vous. Vous pouvez recevoir un e-mail de votre hébergeur signalant une activité suspecte ou un envoi massif d’e-mails depuis votre serveur. De son côté, Google peut afficher un avertissement dans les résultats de recherche : « Ce site est peut-être piraté » ou « Ce site pourrait endommager votre ordinateur ». Ce genre de message fait fuir les visiteurs instantanément et peut durer plusieurs semaines même après le nettoyage, si vous n’effectuez pas une demande de réexamen.
Une chute soudaine de votre trafic
Si vos statistiques de visites s’effondrent sans raison apparente, il peut s’agir d’une pénalité Google liée à du contenu malveillant détecté sur votre site. Un site piraté peut aussi être mis sur liste noire par les antivirus, ce qui décourage les navigateurs d’y accéder. Dans ce cas, vos visiteurs voient une page d’avertissement avant même d’arriver chez vous.
Comment confirmer le piratage
Utilisez des outils de scan en ligne
Avant d’examiner les fichiers de votre serveur, il existe des outils en ligne qui permettent de faire un premier diagnostic rapide. Sucuri SiteCheck (sitecheck.sucuri.net) est gratuit et analyse votre site à la recherche de malwares connus, de redirections suspectes ou d’une présence sur des listes noires. C’est un bon point de départ pour avoir une idée de la situation en quelques secondes.
Google Search Console est également une ressource précieuse. Dans la section « Problèmes de sécurité », Google vous indique clairement si des pages de votre site ont été signalées comme malveillantes. Si vous n’avez pas encore configuré la Search Console pour votre site, c’est le moment de le faire, c’est gratuit et les informations qu’elle fournit sont irremplaçables.
Installez un plugin de sécurité pour scanner vos fichiers
Si vous avez encore accès à votre tableau de bord WordPress, installez un plugin de sécurité reconnu comme SecuPress, Wordfence ou Sucuri Security, ou faites réaliser un audit de sécurité complet et lancez un scan complet. Ces outils comparent vos fichiers WordPress avec les fichiers officiels et signalent tout ce qui a été modifié ou ajouté sans raison légitime. Les fichiers wp-config.php et .htaccess sont souvent les premières cibles des pirates.
Truc de pro : même si votre site semble parfaitement normal depuis votre ordinateur, testez-le depuis votre téléphone en désactivant le Wi-Fi, donc en passant par les données mobiles. Certains malwares ne redirigent que les visiteurs mobiles, ce qui les rend particulièrement difficiles à détecter.
Comment nettoyer votre site piraté
Étape 1 : mettez votre site en mode maintenance
La première chose à faire, c’est de limiter les dégâts en mettant votre site hors ligne le temps du nettoyage. Cela évite que vos visiteurs continuent d’être exposés à du contenu malveillant pendant que vous travaillez. Votre hébergeur propose généralement une option de mise en maintenance directement depuis son panneau de gestion.
Étape 2 : changez tous vos mots de passe
Avant même de commencer le nettoyage, changez immédiatement tous les accès : le mot de passe de votre compte WordPress administrateur, le mot de passe FTP, le mot de passe de la base de données (dans wp-config.php) et le mot de passe de votre hébergeur. Si le pirate a encore accès à l’un de ces points d’entrée, votre nettoyage ne servira à rien. Il reviendra par la fenêtre pendant que vous fermez la porte.
Étape 3 : restaurez une sauvegarde saine (si vous en avez)
Si vous disposez de sauvegardes régulières, c’est le moment de les utiliser. Attention cependant : les pirates travaillent souvent en deux temps. Ils infectent d’abord votre site discrètement, puis attendent plusieurs jours ou semaines avant de passer à l’action. Il faut donc restaurer une sauvegarde antérieure à l’infection, ce qui n’est pas toujours facile à identifier avec précision. Si vous avez des sauvegardes datant de plusieurs semaines, remontez aussi loin que possible, puis vérifiez avec un scan que la version restaurée est propre avant de la remettre en ligne.
Étape 4 : nettoyez manuellement si vous n’avez pas de sauvegarde
Pas de sauvegarde ? Ce n’est pas la fin du monde. Juste un peu plus de travail. Voici la marche à suivre.
1. Téléchargez une version fraîche de WordPress depuis wordpress.org et remplacez tous les fichiers du cœur de WordPress sur votre serveur, tout sauf le dossier wp-content et le fichier wp-config.php, qui contiennent votre contenu et vos réglages.
2. Supprimez et réinstallez chaque plugin depuis des sources officielles. Ne réactivez pas un plugin depuis les fichiers déjà présents sur le serveur, ils peuvent être infectés. Désinstallez-les et retéléchargez-les depuis wordpress.org ou depuis l’éditeur officiel.
3. Faites de même avec votre thème. Si vous avez un thème enfant avec des personnalisations, sauvegardez uniquement les fichiers de personnalisation que vous avez vous-même créés et vérifiez-les à la loupe avant de les réutiliser.
4. Nettoyez la base de données. C’est l’étape la plus délicate. Les pirates injectent parfois du code directement dans la base de données, dans le contenu des articles, les options du site, etc. Un plugin comme WP-Optimize ou une vérification manuelle via phpMyAdmin peut aider à repérer des contenus suspects.
5. Relancez un scan complet une fois tout réinstallé pour vérifier qu’il ne reste aucune trace du malware.
Étape 5 : demandez un réexamen à Google
Si votre site était listé comme dangereux dans Google, une fois le nettoyage terminé, rendez-vous dans la Google Search Console et soumettez une demande de réexamen dans la section « Problèmes de sécurité ». Google réévaluera votre site sous quelques jours. Ne négligez pas cette étape : sans elle, l’avertissement peut rester affiché plusieurs semaines même si votre site est parfaitement propre.
Comment éviter que ça ne se reproduise
Les mises à jour, toujours les mises à jour
C’est répété à chaque article. Parce que c’est vrai. La grande majorité des piratages WordPress exploitent des failles de sécurité connues dans des plugins ou des thèmes non mis à jour. Dès qu’une vulnérabilité est découverte, elle est publiée et les pirates automatisent des scripts pour trouver tous les sites qui n’ont pas encore appliqué le correctif. Mettre à jour, c’est fermer la porte avant que quelqu’un n’y mette le pied.
Activez la double authentification
Un mot de passe, même solide, peut être compromis. La double authentification (2FA) ajoute une couche de protection supplémentaire : même si un pirate obtient votre mot de passe, il lui faudra aussi accéder à votre téléphone pour se connecter. Des plugins comme WP 2FA ou Google Authenticator permettent de la mettre en place en quelques minutes.
Faites des sauvegardes régulières, vraiment
Une sauvegarde récente, c’est une assurance tous risques. Si vous avez bien suivi ce guide, vous avez compris à quel point l’absence de sauvegarde complique et allonge le nettoyage d’un site piraté. Des plugins comme UpdraftPlus permettent d’automatiser des sauvegardes quotidiennes ou hebdomadaires vers un espace externe (Google Drive, Dropbox…). Gratuit, simple à configurer, et ça peut vous éviter des heures de sueurs froides.
Confiez votre site à des professionnels
Si tout cela vous semble technique, ou que vous n’avez simplement pas le temps de vous en occuper, la maintenance WordPress est faite pour vous. Si votre site est déjà compromis, notre service de dépannage WordPress intervient rapidement pour nettoyer et sécuriser votre installation. Un prestataire spécialisé surveille votre site, applique les mises à jour, gère les sauvegardes et intervient rapidement en cas de problème. C’est presque toujours moins coûteux que de gérer un piratage après coup, sans parler du stress et du temps perdu.
Pour aller plus loin sur la prévention, consultez notre article sur la sécurité WordPress et notre checklist complète. Un site WordPress piraté, ça arrive même aux meilleurs. Ce qui fait la différence, c’est la rapidité avec laquelle vous réagissez et la qualité des mesures préventives que vous avez mises en place. Avec les étapes de ce guide, vous avez toutes les cartes en main pour reprendre le contrôle.
