Par Geoffrey Medina, fondateur de PandiWeb, développeur web fullstack depuis 2015
TL;DR : Un site WordPress piraté se répare dans un ordre précis. Avant de nettoyer, copiez les fichiers, la base et les journaux pour garder les traces. Réinitialisez tous les accès dans l’heure (mots de passe, comptes administrateurs, clés de sécurité). Traitez le vecteur d’entrée, pas seulement les symptômes. Vérifiez vos obligations légales : une fuite de données personnelles à risque se notifie à la CNIL sous 72 heures. Enfin, préparez la demande de réexamen Google, qui peut prendre de quelques jours à quelques semaines.
Cinq heures. C’est le délai médian entre la divulgation d’une faille et son exploitation massive pour les failles les plus exploitées, selon le rapport Patchstack sur l’état de la sécurité WordPress en 2026. Un WordPress piraté ne se répare donc pas « la semaine prochaine » : pendant que l’on hésite, la backdoor se consolide, l’avertissement Google s’installe et le délai de signalement à la CNIL se rapproche.
Dans un incident de piratage, l’ordre des gestes compte plus que la liste des outils. Voici la procédure que nous recommandons, heure par heure.
Comment savoir si votre site WordPress est piraté
Un site WordPress piraté ne ressemble presque jamais à un écran de hacker. Dans la plupart des cas, le visiteur ne voit rien, et le propriétaire non plus : le contenu malveillant est servi uniquement aux robots des moteurs de recherche ou aux internautes qui arrivent depuis Google.
Le rapport 2023 de Sucuri sur les sites compromis en donne la mesure : 49,21 % des sites nettoyés hébergeaient au moins une backdoor, et le SEO spam touchait 20,30 % des sites remédiés (Sucuri, 2023). Un site piraté est d’abord un site qui continue à fonctionner normalement, d’où une détection qui vient souvent d’ailleurs.
Le vocabulaire utile en 60 secondes
Un malware WordPress est un code malveillant inséré dans vos fichiers ou votre base de données pour exécuter une action non désirée : redirection, vol de données, envoi de courrier, injection publicitaire.
Une backdoor est un accès dérobé laissé volontairement par l’attaquant pour revenir après le nettoyage, souvent un fichier PHP anodin dans un dossier d’uploads ou un compte administrateur fantôme.
Le cloaking est une technique de camouflage : le serveur affiche une page saine aux humains et un contenu de spam aux robots d’indexation.
Le SEO spam est l’injection de pages ou de liens promotionnels dans votre site pour capter du trafic sur des requêtes sans rapport avec votre activité. Google cite le spam pharmaceutique dans son aide sur le rapport Problèmes de sécurité.
Les clés de sécurité (salts) sont les valeurs aléatoires du fichier wp-config.php qui signent les cookies d’authentification. Les changer invalide toutes les sessions en cours, y compris celles de l’attaquant.
Les signaux qui ne trompent pas
Trois indices doivent déclencher la procédure immédiatement : un message dans le rapport Problèmes de sécurité de la Search Console, une bannière d’avertissement devant votre site dans les résultats de recherche, ou un pic de trafic anormal sur des requêtes qui ne sont pas les vôtres.
S’y ajoutent des symptômes plus discrets : un compte administrateur inconnu, des fichiers PHP dans le dossier uploads, des dates de modification récentes sur des fichiers que personne n’a touchés, des redirections vers un domaine inconnu depuis Google, ou un site nettement plus lent sans cause serveur identifiable.
Deux vérifications prennent cinq minutes. Tapez site:votredomaine.fr dans Google et regardez les titres qui remontent : c’est le contrôle que Google recommande pour repérer du contenu injecté. Passez ensuite l’URL dans un scanner externe comme Sitecheck de Sucuri ou VirusTotal, qui détectent le contenu servi aux robots sans rien installer.
Scannez aussi votre ordinateur. La FAQ officielle WordPress sur les sites piratés le recommande : un malware qui a récupéré vos identifiants FTP réinfectera le site une fois le nettoyage terminé.
Les 5 premières actions dans l'heure
Cinq gestes, dans cet ordre, avant même de chercher la faille. L’objectif de la première heure n’est pas de réparer : il est d’arrêter l’hémorragie et de garder des preuves exploitables.
1. Préserver les preuves et isoler le site
Toute manipulation détruit des traces. La fiche réflexe de Cybermalveillance sur la défiguration de site demande de conserver les journaux et de réaliser une copie complète de la machine compromise avant toute remédiation.
Concrètement : exportez les journaux d’accès et d’erreurs des dernières 72 heures, faites une archive complète des fichiers et un export SQL de la base, puis prenez des captures d’écran horodatées des pages infectées et du rapport Google. Cette archive servira au diagnostic, à la demande de réexamen et, si nécessaire, à la plainte.
2. Réinitialiser tous les accès
Considérez que tous les mots de passe de votre site sont déjà connus de l’attaquant. Passez par « mot de passe oublié » pour reprendre la main sur le compte administrateur si nécessaire, puis réinitialisez les comptes un par un, en commençant par les administrateurs.
Changez ensuite les clés de sécurité de wp-config.php, ce qui déconnecte toutes les sessions actives, puis les identifiants FTP, SSH, base de données et hébergement. Refaites la rotation des clés une fois le site assaini.
3. Scanner le site avec deux outils différents
Aucun scanner ne détecte tout, d’où la comparaison. La FAQ WordPress cite plusieurs scanners adaptés : Wordfence, Sucuri, Quttera ou GOTMLS pour l’analyse des fichiers, plus un contrôle externe par VirusTotal et Sitecheck.
Croisez au moins deux résultats : un fichier infecté repéré par l’un et ignoré par l’autre est fréquent sur les injections encodées.
4. Ouvrir le rapport Problèmes de sécurité de la Search Console
Google est souvent le premier à savoir que votre site est infecté. Le rapport Problèmes de sécurité signale le contenu piraté, les malwares et l’ingénierie sociale, page par page.
Notez les URL exactes signalées, la date de détection et le type de problème. Ces éléments orientent le nettoyage et constitueront la base de votre demande de réexamen. Ne cliquez pas encore sur « Demander un réexamen ».
5. Vérifier le volet RGPD et juridique
Un site piraté est potentiellement une violation de données personnelles. La CNIL impose une notification dans un délai maximum de 72 heures après en avoir pris connaissance, dès lors que la violation présente un risque pour les personnes.
La fiche de Cybermalveillance recommande aussi de déposer plainte auprès de la police ou de la gendarmerie, de contacter l’hébergeur et de solliciter un appui qualifié. Les intrusions dans un système informatique relèvent des articles 323-1 et suivants du Code pénal.
Nettoyer : fichiers, base de données, .htaccess, utilisateurs
| Zone | Ce qu’on cherche | Action |
|---|---|---|
| Fichiers | PHP dans uploads, noms aléatoires, code encodé (base64, eval), dates de modification incohérentes | Remplacer le cœur, supprimer thèmes et extensions inutilisés |
| Base de données | Balises script, iframes, liens masqués, utilisateurs frauduleux, options chargées automatiquement | Inspecter l’export SQL, purger le contenu injecté |
| .htaccess et configuration | Règles de réécriture, redirections conditionnelles, lignes ajoutées dans wp-config.php | Comparer à la version par défaut de WordPress |
| Utilisateurs | Comptes administrateurs inconnus, rôles trop larges | Supprimer ce qui n’est rattaché à personne, refaire la rotation des accès |
Les fichiers
Le cœur de WordPress ne se nettoie pas, il se remplace. La FAQ WordPress recommande de supprimer puis de réinstaller les dossiers wp-admin et wp-includes par SFTP, à partir d’une archive officielle de la même version.
Pour le reste, traquez les anomalies : fichiers PHP dans wp-content/uploads, noms de fichiers aléatoires, code encodé en base64 ou en eval, fichiers plus récents que votre dernière mise à jour. Les extensions et thèmes inutilisés se suppriment, ils ne se désactivent pas.
La base de données
La base est la zone la plus souvent oubliée, et la plus révélatrice. D’après Sucuri, 55 % des sites dont la base contenait du code malveillant hébergeaient aussi au moins un utilisateur administrateur frauduleux.
Inspectez la table des utilisateurs (rôles, dates d’inscription, adresses suspectes), les options chargées automatiquement, les widgets, les réglages de thème et les articles ou pages non publiés. Recherchez les balises script, les iframes, les liens masqués et les appels à des domaines inconnus. Un export SQL ouvert dans un éditeur de texte suffit pour un premier balayage.
Le fichier .htaccess et la configuration
Le .htaccess est le point de pivot préféré des redirections malveillantes. Comparez-le à la version par défaut de WordPress et cherchez des règles de réécriture, des redirections conditionnelles, des gestionnaires PHP personnalisés ou des blocages d’IP.
Vérifiez aussi index.php à la racine, wp-config.php (lignes ajoutées en fin de fichier, require suspects) et les fichiers de fonctions du thème actif.
Les utilisateurs
Un compte administrateur inconnu est une porte laissée ouverte. Listez tous les comptes, y compris ceux sans article publié, et supprimez ce que vous ne pouvez pas rattacher à une personne de votre organisation. Contrôlez les rôles : un compte « abonné » n’a pas besoin d’accéder aux réglages.
Relancez ensuite la rotation des mots de passe et des clés, comme le prévoit la procédure de durcissement officielle de WordPress. Pour la prévention en amont, notre article sur l’importance de bien sécuriser WordPress détaille les réglages à poser.
Restaurer une sauvegarde saine ou nettoyer ?
La sauvegarde fait gagner des heures, à deux conditions : elle est antérieure à l’intrusion et la faille d’entrée est corrigée. Sinon, vous restaurez un site propre qui sera réinfecté.
Trois contrôles. Datez l’intrusion à partir des journaux serveur et des dates de modification de fichiers, puis remontez à une sauvegarde strictement antérieure. Vérifiez que la faille n’est pas déjà dans cette sauvegarde : une extension vulnérable y est toujours présente. Restaurez enfin dans un environnement de test avant la mise en production.
Le nettoyage manuel reste préférable quand la sauvegarde est trop ancienne, par exemple si elle ferait perdre des commandes ou plusieurs semaines de publications. Le compromis habituel : récupérer la base via une sauvegarde saine, et réinstaller le cœur, les thèmes et les extensions depuis les dépôts officiels. Sans sauvegarde ni journaux exploitables, la reconstruction peut être la seule option raisonnable.
Pour savoir comment sauvegarder et restaurer correctement un site, voyez aussi notre guide de la maintenance WordPress, qui rend une restauration réellement possible le jour où elle compte.
Fermer la porte : mots de passe, clés de sécurité, mises à jour, 2FA
La remédiation sans durcissement se solde presque toujours par une réinfection. Les données Patchstack 2026 expliquent pourquoi la mise à jour n’est pas un détail : 11 334 nouvelles vulnérabilités WordPress ont été publiées en 2025, soit 42 % de plus qu’en 2024, dont 91 % dans des extensions. Par ailleurs, 46 % n’avaient pas de correctif disponible au moment de la divulgation publique (Patchstack).
Quatre chantiers à boucler dans la semaine qui suit le nettoyage :
- Mettre à jour le cœur, les thèmes et toutes les extensions actives, puis supprimer celles qui ne servent plus.
- Activer l’authentification multifacteur sur tous les comptes administrateurs et éditeurs. L’ANSSI publie un guide sur l’authentification multifacteur et les mots de passe.
- Durcir la configuration :
DISALLOW_FILE_EDITà true danswp-config.php, renommage du compte admin par défaut, préfixe de tables personnalisé, droits de fichiers restrictifs, SFTP plutôt que FTP. - Filtrer le trafic avec un pare-feu applicatif, en frontal ou via un module ModSecurity chez l’hébergeur, comme le recommande le guide de durcissement WordPress.
Un audit WordPress gratuit permet de vérifier ces points sur l’existant, y compris les réglages serveur invisibles depuis l’administration.
Demander la levée des avertissements Google
Google ne lève pas l’avertissement parce que le site est propre, mais parce que la demande de réexamen est argumentée. La propreté est une condition, pas un argument.
La séquence est décrite dans l’aide de Google sur le rapport Problèmes de sécurité : corriger le problème sur l’ensemble du site et pas seulement sur les pages signalées, tester les pages concernées, puis sélectionner « Demander un réexamen ». Le réexamen prend de quelques jours à quelques semaines, et Google demande de ne pas soumettre une nouvelle demande tant que la précédente est en cours.
Soignez le dossier : date de détection, vecteur d’entrée identifié, fichiers et tables nettoyés, mesures de durcissement appliquées, preuve de la suppression du contenu injecté. Une demande qui explique le « pourquoi » de l’infection est plus convaincante qu’un simple « c’est réparé ». Surveillez aussi les pages orphelines indexées et le contenu servi en cloaking : la levée de l’avertissement ne supprime pas automatiquement ces traces.
Quand faire appel à un professionnel
Trois situations justifient de passer la main immédiatement : une réinfection après nettoyage, des données clients exposées, ou un site e-commerce en activité. Dans ces cas, chaque heure d’expérimentation coûte plus cher qu’une intervention.
Les autres signaux d’alerte : le malware revient après deux nettoyages, vous n’avez pas de sauvegarde antérieure à l’intrusion, les journaux ont été écrasés, ou vous découvrez du contenu injecté en cloaking impossible à localiser. Un prestataire apporte alors une méthode de diagnostic complète et une trace documentée, utile en cas de contrôle CNIL ou de contentieux.
Si votre site est aussi en panne ou affiche une erreur bloquante, notre guide de dépannage WordPress détaille les premiers réflexes, et notre équipe peut vous accompagner.
Questions fréquentes sur un WordPress piraté
Mon site WordPress est piraté, que faire en premier ?
Copiez les preuves, puis réinitialisez tous les accès. Exportez journaux, fichiers et base avant toute manipulation, puis changez les mots de passe administrateurs et les clés de sécurité de wp-config.php pour couper l’accès à l’attaquant.
Combien de temps faut-il pour nettoyer un site WordPress piraté ?
Comptez de quelques heures à plusieurs jours selon la profondeur de l’infection, à titre indicatif. Un fichier injecté se traite vite. Une backdoor résidente ou une base contaminée demande une analyse en plusieurs passes et un contrôle de réinfection sur plusieurs jours.
Peut-on nettoyer un site WordPress piraté sans sauvegarde ?
Oui, mais par reconstruction plutôt que par restauration. On réinstalle un cœur propre, on réimporte les contenus vérifiés, on recrée les comptes et les réglages, puis on contrôle chaque extension avant réactivation.
Pourquoi mon site réapparaît-il piraté après le nettoyage ?
Parce que le vecteur d’entrée n’a pas été corrigé ou qu’une backdoor subsiste. Une extension vulnérable non mise à jour, un compte administrateur oublié ou un fichier malveillant hors périmètre de scan suffisent à relancer l’infection.
Google affiche un avertissement sur mon site, combien de temps pour le retirer ?
De quelques jours à quelques semaines après une demande de réexamen complète, selon Google. Le délai dépend de la qualité du dossier et de l’étendue du nettoyage, et une nouvelle demande déposée pendant l’examen ne l’accélère pas.
Votre site WordPress est piraté ?
Ne touchez à rien avant d’avoir copié les preuves. Décrivez-nous ce que vous observez : nous vous disons par où commencer.
