Site WordPress piraté : que faire, et dans quel ordre

Sommaire8 sections

Votre site affiche une page qui n’est pas la vôtre, Google prévient vos visiteurs qu’il est dangereux, ou votre hébergeur l’a suspendu. Le premier réflexe est souvent de tout supprimer et de réinstaller. Vous perdez alors les traces qui montrent par où le pirate est entré, et la faille reste ouverte.

Les étapes qui suivent vont de la première heure jusqu’au retrait de l’alerte de Google. Elles reprennent la documentation officielle de WordPress, les guides de Google pour les sites piratés et la fiche réflexe de Cybermalveillance.gouv.fr, le site public d’assistance en sécurité numérique. Les sources sont citées en fin d’article.

01Les signes d’un site WordPress piraté

Dans son rapport 2024, Sucuri a analysé 70,8 millions de sites et en a trouvé 1 176 701 infectés. Parmi eux, 74,7 % contenaient un malware ou des redirections, et 38,4 % du spam destiné aux moteurs de recherche. Les pages défigurées, le piratage que tout le monde voit, ne concernaient que 0,8 % des sites infectés.

• Malware et redirections74,7 %
• Spam pour les moteurs de recherche38,4 %
• Vol de cartes bancaires1,7 %
• Publicités indésirables1,5 %
• Page défigurée0,8 %

Source : Sucuri, SiteCheck Malware Trends Report 2024 (70,8 millions d’analyses, 1 176 701 sites infectés).

Comment lire ce graphique. Un même site peut cumuler plusieurs infections : le total dépasse donc 100 %.

Ce qui se voit

La documentation de WordPress cite les signes qui ne trompent pas :

• Google ou Bing signale le site comme dangereux, par une mention dans les résultats ou par une page d’alerte plein écran dans le navigateur.
• Votre hébergeur a coupé le site.
• Les antivirus de vos visiteurs bloquent le site.
• On vous prévient que votre site sert à attaquer d’autres sites.
• Des utilisateurs que vous n’avez pas créés apparaissent dans WordPress.
• Le piratage se voit en ouvrant le site : page changée, messages ou images qui ne sont pas les vôtres.

Ce qui ne se voit pas

Le spam caché est plus difficile à repérer. Google en décrit un cas courant au nom curieux : le « piratage par mots-clés japonais ». Il touche des sites du monde entier, en français comme en anglais. Le pirate ajoute à votre site des pages en japonais, générées automatiquement dans des dossiers aux noms tirés au hasard, avec des liens vers des boutiques de fausses marques. Elles apparaissent dans Google, mais pas forcément pour vous. Le pirate peut réserver le spam au robot de Google, et vous montrer une page normale ou une erreur 404 : on appelle cela le « cloaking ».

Pour vérifier, tapez « site:votresite.fr » dans Google et parcourez quelques pages de résultats. Des adresses que vous ne connaissez pas, ou des titres dans une autre langue, sont un mauvais signe. Dans la Search Console, le rapport « Problèmes de sécurité » liste ce que Google a trouvé, et l’outil d’inspection d’URL montre une page telle que Google la voit. Un e-mail qui annonce un nouveau propriétaire de votre site dans la Search Console doit aussi vous alerter : le pirate s’ajoute parfois lui-même, pour changer vos réglages.

Autre signe discret : vos e-mails arrivent en spam chez vos clients. Un site piraté peut servir à envoyer du spam. L’adresse IP du serveur finit alors sur des listes noires, et vos e-mails sont bloqués eux aussi s’ils partent du même serveur.

02Les premiers gestes, dans l’ordre

Noter ce que vous voyez, puis copier le site tel quel

Avant de toucher à quoi que ce soit, notez ce que vous voyez, l’heure, et vos derniers changements : une extension installée, un thème modifié, un réglage. La documentation de WordPress en fait la première étape. Ces notes servent de base au rapport d’incident, que vous répariez vous-même ou qu’un professionnel s’en charge.

Faites ensuite une copie complète du site piraté, fichiers et base de données, sans rien nettoyer. Sauvegarder un site infecté paraît étrange, mais WordPress, Google et Cybermalveillance le conseillent tous les trois. Cette copie garde les traces de l’attaque, et vous pouvez y revenir si le nettoyage casse quelque chose.

Prévenir l’hébergeur et mettre le site en maintenance

Prévenez votre hébergeur. Sur un hébergement mutualisé, un piratage peut toucher d’autres sites du même serveur, et l’hébergeur peut aussi confirmer s’il s’agit bien d’un piratage ou d’une simple panne. Demandez-lui aussi les journaux du serveur (les « logs ») : ils serviront à comprendre comment le pirate est entré. Cybermalveillance conseille de déconnecter le site d’internet si possible, ou de demander à l’hébergeur de prendre les mesures nécessaires. Une page de maintenance, ou un mot de passe sur tout le site, évite à vos visiteurs de tomber sur une page piégée pendant le nettoyage.

Changer tous les accès, et déconnecter tout le monde

Avant de changer les mots de passe, passez votre ordinateur à l’antivirus, avec une analyse complète. WordPress le rappelle : l’attaque part souvent de l’ordinateur du propriétaire, quand un cheval de Troie y vole les accès FTP ou wp-admin. S’il est toujours là, il volera aussi les nouveaux mots de passe. Certains virus savent se cacher de l’antivirus installé : essayez-en un autre si vous le pouvez.

Changez ensuite tous les mots de passe qui ouvrent le site : WordPress, l’espace client de l’hébergeur, le FTP ou SFTP et la base de données (MySQL). Cela vaut pour chaque utilisateur, en commençant par les administrateurs. Choisissez des mots de passe longs et uniques, créés par un gestionnaire de mots de passe, et activez la double authentification là où elle existe.

Il faut aussi fermer les sessions déjà ouvertes. Pour cela, remplacez les clés secrètes du fichier wp-config.php par de nouvelles, tirées du générateur officiel de WordPress. Tout le monde est déconnecté, vous compris.

Si le pirate a changé votre mot de passe d’administrateur, passez par la base de données. Votre hébergeur fournit souvent phpMyAdmin : changez l’adresse e-mail de votre compte dans la table des utilisateurs (wp_users par défaut), puis cliquez sur « Mot de passe oublié » depuis la page de connexion.

Données personnelles : prévenir la CNIL sous 72 heures

N’attendez pas la fin du nettoyage pour penser aux données personnelles. Un site WordPress en garde souvent : comptes clients, commandes d’une boutique WooCommerce, abonnés à une lettre d’information, messages du formulaire de contact quand le site les enregistre. Si le pirate a pu y accéder, c’est une violation de données. En France, la CNIL demande qu’on la lui notifie dans les meilleurs délais, si possible sous 72 heures après la découverte, dès que l’incident présente un risque pour la vie privée des personnes. En cas de doute, elle conseille de notifier. Si le risque est élevé, il faut aussi prévenir les personnes concernées.

Même sans notification, la CNIL demande de garder une trace écrite de l’incident. Vos notes de la première heure en sont le point de départ.

03Restaurer une sauvegarde ou nettoyer ?

Avec une sauvegarde saine

Si vous avez une sauvegarde d’avant le piratage, la restaurer remet le site dans son état d’avant, et c’est le chemin le plus court. Encore faut-il savoir quand le piratage a commencé. Un piratage discret peut passer inaperçu longtemps, et la sauvegarde d’hier peut déjà être infectée. Plus votre historique de sauvegardes remonte loin, plus vous avez de chances d’en trouver une saine.

Restaurer ne ferme pas la porte d’entrée : une extension vulnérable revient avec la sauvegarde, et un mot de passe volé reste valable. Juste après la restauration, mettez donc à jour WordPress, le thème et les extensions, changez les mots de passe et cherchez la porte d’entrée (partie 4). Sinon, le pirate peut revenir par le même chemin.

Sans sauvegarde : le nettoyage complet

Commencez par un scan. Une extension comme Wordfence ou Sucuri Security cherche le code malveillant depuis l’intérieur du site, et un scanner en ligne comme Sucuri SiteCheck ou VirusTotal regarde le site de l’extérieur, comme un visiteur. Les deux se complètent.

Remplacez ensuite le cœur de WordPress, c’est-à-dire les dossiers wp-admin et wp-includes : supprimez-les, puis remettez ceux d’une copie neuve de la même version que votre site. WordPress conseille de le faire par FTP ou SFTP, sans le bouton de réinstallation du tableau de bord. Ce bouton écrase les fichiers existants, mais laisse en place ceux que le pirate a ajoutés. Faites de même pour le thème et les extensions, téléchargés depuis leur source officielle.

Le fichier .htaccess, à la racine du site, est l’un des plus souvent modifiés, quel que soit le type d’attaque, et d’autres dossiers peuvent en contenir un. Remplacez-le par une version propre. Regardez aussi index.php, et les fichiers header.php, footer.php et functions.php du thème : modifiés, ils touchent toutes les pages du site. Dans le reste des fichiers, cherchez ceux qui n’ont rien à faire là, ceux qui ont changé récemment, ou ceux remplis de code illisible (base64_decode, eval).

Dans WordPress, supprimez les utilisateurs que vous n’avez pas créés. Dans la Search Console, retirez les propriétaires inconnus et leur fichier de validation. Vérifiez enfin votre plan du site (le sitemap) : il ne doit lister que vos propres pages.

Le nettoyage doit être complet, en une seule fois. Une seule porte dérobée oubliée, un petit fichier qui rouvre l’accès au pirate, suffit pour qu’il revienne.

04Trouver la porte d’entrée

Cybermalveillance le résume ainsi : identifiez la source de l’intrusion, et prenez les mesures pour qu’elle ne puisse pas se reproduire. Les journaux du serveur et vos notes de la première heure servent ici.

Les extensions, la première piste

WordPress fait tourner 39,6 % des sites web (W3Techs, octobre 2026), et une faille dans une extension répandue touche tous les sites qui l’utilisent. Patchstack a recensé 11 334 nouvelles failles WordPress en 2025, 42 % de plus qu’en 2024. 91 % viennent des extensions, pas de WordPress lui-même, et 46 % n’avaient pas de correctif au moment où elles ont été rendues publiques.

Reprenez donc la liste de vos extensions. Repérez celles qui n’étaient pas à jour, celles que leur auteur ne suit plus et celles qui ne servent plus. Le temps presse : d’après Rapid7, les premières attaques arrivent en 5 heures (délai médian) sur une faille très exploitée. Une mise à jour faite « à la fin du mois » laisse des semaines aux attaquants.

Les autres pistes

Vérifiez ensuite les mots de passe faibles ou réutilisés, et les extensions ou thèmes « nulled » : des versions payantes piratées, distribuées gratuitement hors du site de l’éditeur, que personne ne contrôle. Pensez aussi à l’ordinateur infecté qui a laissé fuir vos accès. Sur un hébergement mutualisé, demandez à l’hébergeur si d’autres sites du serveur sont touchés.

Le serveur lui-même : PHP

WordPress fonctionne grâce à PHP, le langage installé sur le serveur, et une faille dans PHP touche tous les sites qu’il fait tourner. Sur un hébergement mutualisé, c’est l’hébergeur qui installe les correctifs de PHP. Demandez-lui si les derniers sont en place, et regardez quelle version de PHP est choisie dans votre espace client : une version que le projet PHP ne suit plus ne reçoit plus de correctif.

C’est arrivé en octobre 2026, avec deux failles critiques surnommées PHP2Shell et corrigées le 21 octobre. Ce qui s’est passé, et comment vérifier votre site : Faille PHP2Shell : votre site WordPress est-il concerné ?

05Après le nettoyage : Google et la plainte

Changer les mots de passe une deuxième fois

Une fois le site propre, changez à nouveau tous les mots de passe. WordPress le demande expressément si vous ne les avez changés qu’au moment de la découverte. Vous pouvez aussi changer l’utilisateur et le mot de passe de la base de données, en les reportant dans wp-config.php. Puis mettez à jour WordPress, le thème et les extensions.

Demander à Google de retirer l’alerte

Si Google a signalé votre site, ouvrez le rapport « Problèmes de sécurité » de la Search Console et demandez un réexamen. Il faut que le site y soit validé. Décrivez le problème, ce que vous avez corrigé et le résultat. Attendez que toutes les pages soient propres et la faille corrigée : Google prévient qu’une demande trop tôt prolonge la période où votre site est signalé comme dangereux. N’envoyez pas de nouvelle demande avant d’avoir reçu la réponse à la première.

Problème signalé	Délai indiqué par Google
Hameçonnage (phishing)	Environ un jour
Logiciel malveillant	Quelques jours
Spam ajouté par le pirate	Jusqu’à plusieurs semaines

Source : Google, Request a review · Google, rapport « Problèmes de sécurité », consultés le 21 octobre 2026.

Google n’est pas le seul à tenir une liste noire. WordPress conseille d’inscrire aussi le site dans les outils pour webmasters de Bing et de Norton, et de vérifier que les antivirus de vos visiteurs ne le bloquent plus.

Porter plainte

En France, pirater un site est un délit. Cybermalveillance.gouv.fr conseille de porter plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, avec toutes les preuves en votre possession, dont vos notes, la copie du site piraté et les journaux du serveur. Le code pénal (articles 323-1 à 323-7) prévoit, selon les cas, de 2 à 7 ans de prison et de 60 000 à 300 000 € d’amende.

06Réparer soi-même ou appeler un professionnel

WordPress le dit lui-même : trouver et retirer tout ce que le pirate a laissé est la partie la plus difficile, et la façon de s’y prendre dépend de votre aisance technique. Comprendre par où il est entré est souvent hors de portée d’un propriétaire de site, faute de connaissances ou de données. Avec une sauvegarde saine et un peu d’habitude, vous pouvez suivre ces étapes vous-même. Les forums de WordPress.org, aux étiquettes « hacked » et « malware », sont un bon recours si le budget est serré, et Cybermalveillance.gouv.fr référence des professionnels de la sécurité informatique.

Si vous confiez le nettoyage, posez ces questions avant de signer :

1. Cherchez-vous la porte d’entrée, ou seulement le code malveillant ?
2. Vérifiez-vous les fichiers et la base de données ?
3. Mettez-vous à jour WordPress, le thème et les extensions après le nettoyage ?
4. Faites-vous la demande de réexamen auprès de Google ?
5. Que se passe-t-il si le site est piraté à nouveau après votre intervention ?
6. Recevrai-je un rapport de ce qui a été fait ?

Côté prix, un repère : chez Sucuri, spécialiste de la sécurité des sites, les formules de protection avec nettoyage coûtent de 229 à 549 dollars par an. Notre maintenance WordPress, dès 69 € HT par mois, couvre tout l’entretien du site : mises à jour testées, sauvegardes hors du serveur, pare-feu, surveillance et rapport chaque mois. La réparation en cas de piratage y est incluse, sans frais. Pour un site que nous ne suivons pas encore, la réparation urgente (diagnostic, nettoyage et remise en ligne) se fait sur devis.

07Éviter que ça recommence

Votre hébergeur protège son serveur, pas votre WordPress. Dans un test à grande échelle de Patchstack, ses protections classiques n’ont arrêté que 12 % des attaques visant des failles WordPress connues. La prévention passe par quelques habitudes :

• Mettre à jour WordPress, le thème et les extensions dès qu’un correctif sort, après une sauvegarde.
• Une version de PHP encore suivie, avec ses derniers correctifs : à vérifier avec votre hébergeur.
• Retirer les extensions qui ne servent plus, et celles que leur auteur ne suit plus.
• Garder des sauvegardes hors du serveur, sur plusieurs semaines, pour en avoir une saine le jour où il faut restaurer.
• Des mots de passe longs et uniques, un compte par personne, et la double authentification pour les administrateurs.
• Un pare-feu avec correctifs virtuels, qui bloque une faille connue avant que l’extension soit corrigée, y compris parmi les 46 % de failles publiées sans correctif.
• Une surveillance qui vous prévient quand un fichier change ou quand Google signale le site.

C’est le travail d’une maintenance WordPress. Ce qu’elle coûte, poste par poste, est détaillé dans notre guide du prix d’un site WordPress.

Conclusion : garder les traces, puis fermer la porte

Face à un site WordPress piraté, l’ordre des gestes compte. Notez et copiez avant de nettoyer, changez les accès et prévenez la CNIL si des données ont pu être lues. Restaurez ou nettoyez, trouvez la faille, puis changez les mots de passe une deuxième fois. Viennent ensuite le réexamen par Google et la plainte.

Votre site est piraté, ou vous avez un doute ? Décrivez-nous ce qui se passe : nous intervenons en urgence, sur devis si vous n’êtes pas encore client.