Mon site WordPress est piraté : que faire ?

Découvrir que son site est piraté, c’est un coup de stress — mais dans la grande majorité des cas, tout se récupère. Le plus important dans les premières heures : ne pas paniquer, sécuriser les accès, et éviter les gestes qui aggravent la situation (comme tout supprimer). Voici, dans l’ordre, ce qu’il faut faire.

Comment savoir si mon site est vraiment piraté ?

Certains signes ne trompent pas, d’autres sont plus discrets. Les plus fréquents :

• Des redirections inattendues vers des sites douteux (pharmacie, paris, contenus pour adultes), souvent uniquement depuis Google ou sur mobile.
• Des pages ou pop-ups de spam que vous n’avez jamais créées, ou du texte étrange injecté dans vos pages.
• Un avertissement de Google (« Ce site peut être piraté ») dans les résultats de recherche, ou une alerte dans la Search Console.
• Votre hébergeur qui suspend le site ou signale l’envoi de spam depuis votre serveur.
• Des comptes administrateurs inconnus, ou l’impossibilité de vous connecter alors que le mot de passe est bon.
• Un site soudainement très lent, ou des fichiers récemment modifiés que vous n’avez pas touchés.

Un doute ne suffit pas toujours à confirmer : un simple scan de sécurité permet de trancher. Mais si vous cumulez plusieurs de ces signes, considérez que le site est compromis et agissez.

Les 6 premiers réflexes, dans l’ordre

1. Mettez le site en maintenance (ou hors ligne) pour protéger vos visiteurs et votre référencement pendant l’intervention.
2. Changez tous les mots de passe : comptes administrateurs WordPress, espace hébergeur, base de données, comptes FTP/SFTP. Un seul accès resté ouvert et le pirate revient.
3. Faites une sauvegarde de l’état actuel (fichiers + base) avant toute suppression. Même infectée, elle sert de preuve et de filet de sécurité.
4. Repérez l’étendue : comptes administrateurs suspects, fichiers modifiés récemment, extensions/thèmes inconnus, tâches planifiées douteuses.
5. Nettoyez : supprimez le code malveillant, remplacez le cœur de WordPress et les extensions par des versions saines, retirez ce qui a été injecté.
6. Mettez tout à jour (WordPress, thème, extensions, PHP) puis rescannez pour vérifier qu’il ne reste rien.

Comment un site WordPress se fait pirater ?

Contrairement à une idée reçue, ce n’est presque jamais WordPress lui-même qui est en cause, mais son entretien. Les portes d’entrée les plus courantes :

Nettoyer soi-même ou faire appel à un pro ?

Pour un petit site vitrine, un blog personnel et si vous êtes à l’aise techniquement, un nettoyage guidé par une extension de sécurité peut suffire. En revanche, faites appel à un professionnel si : le site est lié à votre activité (boutique, prise de rendez-vous, leads), s’il traite des données personnelles, si le piratage revient après nettoyage, ou si vous n’êtes tout simplement pas sûr d’avoir tout retiré. Un nettoyage incomplet, c’est un site qui se re-fait pirater dans la semaine.

Éviter que ça recommence

• Des mises à jour régulières de WordPress, du thème et des extensions — c’est 80 % de la prévention.
• La double authentification sur les comptes administrateurs et un mot de passe unique par service.
• Des sauvegardes automatiques testées, stockées ailleurs que sur le serveur du site.
• Le minimum d’extensions, uniquement issues de sources officielles, et la suppression (pas seulement la désactivation) de ce qui ne sert plus.
• Une surveillance et un pare-feu applicatif pour bloquer les attaques automatisées.

La plupart de ces réflexes tiennent dans un contrat de maintenance : c’est bien moins cher qu’un nettoyage d’urgence — et surtout, ça évite l’interruption d’activité.

Questions fréquentes

En clair : un site piraté n’est pas une fatalité, mais chaque heure compte. Sécurisez les accès, ne supprimez rien à l’aveugle, et faites-vous aider dès que l’enjeu dépasse le simple blog. Mieux vaut une intervention propre qu’un site rafistolé qui rechute.