Site WordPress piraté : que faire immédiatement pour récupérer et sécuriser son site ?
Un site WordPress qui redirige soudainement vers une page inconnue, affiche du contenu que vous n’avez jamais publié ou devient inaccessible peut avoir été compromis.
Et lorsqu’on découvre un site WordPress piraté, le premier réflexe est souvent le même : supprimer les fichiers suspects, restaurer une sauvegarde ou réinstaller WordPress le plus rapidement possible.
Pourtant, intervenir trop vite peut parfois compliquer l’analyse.
Avant de nettoyer un site compromis, il faut comprendre ce qui s’est passé, contenir l’incident, protéger les visiteurs et empêcher l’attaquant de conserver un accès caché.
Dans ce guide DigitalBoxTech, nous allons voir comment réagir étape par étape lorsqu’un site WordPress est piraté, comment identifier la porte d’entrée probable et surtout comment renforcer votre installation pour éviter qu’une nouvelle attaque ne se produise.
Comment savoir si un site WordPress a été piraté ?
Un piratage WordPress n’est pas toujours spectaculaire.
Un site peut continuer à fonctionner normalement alors qu’un attaquant a déjà :
- ajouté un compte administrateur ;
- injecté du code ;
- créé des pages invisibles ;
- installé une backdoor ;
- modifié la base de données ;
- ajouté des redirections ;
- détourné le site pour du spam SEO.
Certains symptômes doivent néanmoins vous alerter.
Les signes les plus fréquents
Un site WordPress piraté peut présenter :
- des redirections vers des sites inconnus ;
- des pages ou articles que vous n’avez jamais créés ;
- des publicités indésirables ;
- de nouveaux comptes administrateurs ;
- des ralentissements inhabituels ;
- des fichiers inconnus ;
- des extensions installées sans votre accord ;
- des erreurs répétées ;
- des alertes provenant de l’hébergeur ;
- des emails envoyés depuis votre domaine sans votre autorisation ;
- des résultats Google affichant du spam ;
- une alerte de Google Search Console ;
- une impossibilité soudaine de vous connecter à WordPress.
Il est également possible qu’un pirate cherche à rester discret.
Dans ce cas, la page d’accueil peut sembler parfaitement normale.
Pourquoi un site WordPress piraté peut sembler fonctionner normalement
Certains logiciels malveillants ciblent uniquement :
- les moteurs de recherche ;
- certains visiteurs ;
- certains pays ;
- certains appareils ;
- certaines pages.
Un pirate peut par exemple injecter des centaines d’URL destinées au référencement de produits frauduleux sans modifier visiblement votre site.
On parle souvent de SEO spam ou de spam injection.
D’autres attaquants installent une backdoor, c’est-à-dire un accès caché permettant de revenir plus tard même après un premier nettoyage.
C’est pourquoi vérifier uniquement la page d’accueil ne permet jamais de confirmer qu’un site est sain.
Site WordPress piraté : les 10 étapes à suivre immédiatement
1. Ne supprimez pas immédiatement tous les fichiers suspects
Vous venez de découvrir un fichier étrange ?
Ne commencez pas automatiquement par tout supprimer.
Les fichiers modifiés peuvent contenir des indices précieux sur :
- la date de l’attaque ;
- la méthode utilisée ;
- les fichiers touchés ;
- les actions réalisées.
Dans la mesure du possible, créez d’abord une copie complète du site compromis.
Sauvegardez :
- fichiers WordPress ;
- base de données ;
wp-config.php;- journaux d’accès ;
- journaux d’erreurs ;
- éventuels logs de sécurité.
Attention : cette copie n’est pas une sauvegarde propre destinée à être restaurée.
Elle constitue une photographie de l’incident utile pour l’analyse.
2. Protégez immédiatement les visiteurs
Si votre site :
- diffuse du malware ;
- redirige vers des pages frauduleuses ;
- affiche du contenu malveillant ;
- compromet les utilisateurs ;
il peut être nécessaire de le placer temporairement en maintenance.
L’objectif est double :
- éviter d’exposer vos visiteurs ;
- empêcher l’incident de continuer à se propager.
Si plusieurs sites WordPress utilisent le même hébergement, contrôlez-les également.
Une compromission peut parfois toucher plusieurs installations partageant :
- le même compte FTP ;
- le même hébergement ;
- des droits de fichiers similaires ;
- des extensions vulnérables communes.
3. Changez immédiatement les accès sensibles
Lorsqu’un site WordPress est piraté, il faut considérer que certains identifiants ont potentiellement été compromis.
Changez les mots de passe de :
- WordPress ;
- hébergement ;
- FTP ou SFTP ;
- panneau d’administration serveur ;
- base de données si nécessaire ;
- messagerie liée au domaine ;
- services connectés.
Utilisez des mots de passe :
- longs ;
- uniques ;
- générés aléatoirement ;
- jamais réutilisés sur plusieurs services.
Un gestionnaire de mots de passe est fortement recommandé.
4. Activez l’authentification à deux facteurs
Le mot de passe ne devrait plus être la seule protection d’un compte administrateur WordPress.
L’authentification à deux facteurs, ou 2FA, ajoute une deuxième validation.
Même si un mot de passe est volé, l’attaquant doit encore disposer du second facteur.
Activez la 2FA au minimum sur :
- comptes WordPress administrateurs ;
- compte d’hébergement ;
- principales adresses email ;
- comptes cloud ;
- outils permettant de modifier votre site.
Pour un site professionnel, cette mesure devrait être considérée comme un standard minimum de sécurité.
5. Vérifiez tous les utilisateurs WordPress
Dans votre tableau de bord :
Utilisateurs → Tous les utilisateurs
Examinez en priorité les comptes ayant le rôle :
Administrateur
Pour chaque compte, vérifiez :
- le nom ;
- l’adresse email ;
- la date de création si disponible ;
- la nécessité réelle de posséder les droits administrateur.
Si vous découvrez un compte inconnu, conservez d’abord les informations utiles à l’analyse avant de le supprimer.
Profitez-en pour appliquer le principe du moindre privilège.
Un rédacteur n’a généralement pas besoin d’être administrateur.
6. Identifiez la véritable porte d’entrée
C’est probablement l’étape la plus importante.
Supprimer le malware visible ne suffit pas si vous ne corrigez pas la faille utilisée.
Un site WordPress piraté peut avoir été compromis de plusieurs façons.
Mot de passe compromis
Le mot de passe peut avoir été :
- trop faible ;
- réutilisé ailleurs ;
- exposé dans une fuite de données ;
- volé par un logiciel malveillant.
Plugin vulnérable
Les extensions WordPress représentent une surface d’attaque importante.
Un plugin contenant une faille critique peut parfois être exploité sans connaître vos identifiants.
Thème vulnérable
Un thème ancien, abandonné ou téléchargé depuis une source non officielle peut contenir des vulnérabilités.
WordPress non mis à jour
Le cœur WordPress doit également être maintenu à jour.
Compte d’hébergement compromis
Dans certains cas, WordPress n’est pas directement responsable.
Un accès FTP, SFTP ou au panneau de contrôle peut avoir été compromis.
Plugin ou thème nulled
Les extensions premium téléchargées illégalement peuvent contenir directement :
- backdoors ;
- scripts malveillants ;
- injecteurs de liens ;
- logiciels espions.
Le faible coût apparent peut alors devenir extrêmement cher.
Ordinateur administrateur infecté
Si votre ordinateur contient un malware capable de voler :
- mots de passe ;
- cookies ;
- sessions ;
- identifiants FTP ;
vous pouvez nettoyer WordPress autant de fois que vous voulez : l’attaquant pourra potentiellement revenir.
7. Contrôlez tous les plugins et thèmes
Faites l’inventaire complet :
Plugins actifs
Plugins désactivés
Thèmes installés
Thème actif
Supprimez ce qui n’est plus nécessaire.
Une extension inactive reste présente sur le serveur.
Si elle contient une vulnérabilité exploitable, la désactivation seule peut ne pas être suffisante.
Pour chaque extension, vérifiez :
- date de dernière mise à jour ;
- compatibilité avec votre version WordPress ;
- réputation de l’éditeur ;
- existence éventuelle de vulnérabilités connues ;
- origine du téléchargement.
La sécurité WordPress doit être considérée comme un processus permanent, pas comme une opération réalisée uniquement lorsqu’un problème apparaît.
8. Analysez les fichiers WordPress
Certains emplacements doivent être contrôlés attentivement.
Le dossier wp-content/uploads
Il contient normalement :
- images ;
- PDF ;
- documents ;
- médias.
La présence de fichiers PHP inconnus dans ce répertoire mérite une attention particulière.
Elle n’est pas automatiquement synonyme de malware, mais elle doit être vérifiée.
wp-config.php
Ce fichier contient des informations critiques sur votre site.
Recherchez :
- lignes inconnues ;
- code ajouté ;
- inclusions suspectes ;
- modifications inexpliquées.
Plugins et thèmes
Lorsque cela est possible, comparez leurs fichiers avec une copie officielle propre.
Fichiers du cœur WordPress
Certains outils de sécurité permettent de vérifier l’intégrité des fichiers du cœur WordPress en les comparant aux versions officielles.
Attention toutefois :
ne supprimez jamais un fichier uniquement parce que son nom vous paraît suspect.
Une mauvaise suppression peut rendre le site totalement inutilisable.
9. Vérifiez la base de données WordPress
Le malware n’est pas toujours présent dans les fichiers.
La base de données peut également contenir :
- scripts injectés ;
- redirections ;
- options modifiées ;
- utilisateurs inconnus ;
- pages cachées ;
- contenu de spam ;
- liens malveillants.
Inspectez notamment :
- utilisateurs ;
- options WordPress ;
- articles ;
- pages ;
- widgets ;
- réglages du site.
Attention au SEO spam
Les attaques SEO représentent un risque important.
Un attaquant peut générer :
- centaines de pages ;
- milliers d’URL ;
- contenus pharmaceutiques ;
- casino ;
- crypto ;
- faux produits.
Google peut indexer ces pages avant même que vous ne remarquiez leur existence.
Après nettoyage :
- vérifiez Google Search Console ;
- recherchez votre domaine sur Google ;
- contrôlez les pages indexées ;
- demandez éventuellement une nouvelle exploration.
10. Analysez les journaux du serveur
Les logs sont extrêmement utiles pour comprendre une attaque.
Selon votre hébergement, recherchez :
- logs d’accès ;
- logs d’erreurs ;
- historique FTP ;
- historique de connexion ;
- événements de sécurité ;
- logs d’un plugin de sécurité.
Cherchez notamment :
- connexions inhabituelles ;
- requêtes répétitives ;
- appels vers des fichiers inconnus ;
- nombreuses tentatives de connexion ;
- modifications simultanées de fichiers ;
- IP suspectes.
Les journaux permettent parfois de déterminer approximativement quand et comment le piratage a commencé.
Site WordPress piraté : faut-il restaurer une sauvegarde
Oui, mais uniquement si la sauvegarde est antérieure à la compromission.
Restaurer une sauvegarde infectée ne résout rien.
Et même une sauvegarde propre ne suffit pas toujours.
Exemple :
Une extension vulnérable a permis l’attaque.
Vous restaurez une sauvegarde de la veille.
Le malware disparaît…
mais l’extension vulnérable revient également.
L’attaquant peut donc recommencer.
Une restauration doit être accompagnée de :
- mise à jour WordPress ;
- mise à jour des plugins ;
- mise à jour du thème ;
- changement des mots de passe ;
- contrôle des utilisateurs ;
- correction de la vulnérabilité ;
- suppression des composants inutiles.
Régénérez les clés de sécurité WordPress
WordPress utilise des clés et salts dans wp-config.php afin de sécuriser notamment les cookies d’authentification.
Après un piratage, les renouveler permet d’invalider les sessions existantes.
Cela peut être particulièrement utile si l’attaquant dispose encore d’une session administrateur active.
Mais attention :
régénérer les clés ne remplace pas le changement des mots de passe.
Les deux actions sont complémentaires.
Désactiver XML-RPC : bonne ou mauvaise idée ?
xmlrpc.php permet à WordPress de communiquer avec certains services externes.
Cette fonctionnalité peut également être utilisée dans certaines attaques automatisées.
Si votre site ne l’utilise pas, la désactiver ou la restreindre peut réduire la surface d’attaque.
Mais il ne faut pas appliquer aveuglément la règle :
XML-RPC = dangereux.
Certains services peuvent encore en dépendre.
La bonne logique est :
si une fonctionnalité n’est pas utilisée, évitez de l’exposer inutilement.
Installer un plugin de sécurité WordPress
Une solution de sécurité WordPress peut apporter :
- pare-feu ;
- protection contre le brute force ;
- scans de fichiers ;
- alertes ;
- historique d’activité ;
- blocage d’IP ;
- authentification 2FA ;
- surveillance des modifications.
Mais aucun plugin ne protège un site à 100 %.
Un plugin de sécurité doit compléter :
- mises à jour ;
- sauvegardes ;
- mots de passe robustes ;
- 2FA ;
- permissions correctes ;
- hébergement sécurisé ;
- surveillance.
Désactivez l’éditeur de fichiers WordPress
WordPress peut permettre à certains administrateurs de modifier les fichiers d’un thème ou plugin depuis l’administration.
Sur certains sites professionnels, il peut être pertinent de désactiver cette fonctionnalité.
Ainsi, même si un compte administrateur est compromis, l’attaquant perd une méthode simple permettant d’injecter du code directement depuis le back-office.
Cette mesure ne remplace évidemment pas la sécurisation globale.
Sauvegardes WordPress : ne les stockez pas uniquement sur le serveur
Une sauvegarde stockée uniquement sur le même hébergement peut être :
- supprimée ;
- chiffrée ;
- compromise ;
- rendue inutilisable.
Une stratégie plus robuste utilise :
- plusieurs sauvegardes ;
- plusieurs dates ;
- stockage externe ;
- test de restauration.
Vous pouvez appliquer une logique proche de la règle 3-2-1 :
- plusieurs copies ;
- différents supports ;
- au moins une copie séparée.
Testez réellement vos sauvegardes
Une sauvegarde n’a de valeur que si vous pouvez la restaurer.
Testez régulièrement :
- archive des fichiers ;
- export base de données ;
- procédure de restauration ;
- accès aux sauvegardes.
Attendre le jour du piratage pour découvrir que la sauvegarde est corrompue est évidemment la pire situation possible.
Site WordPress piraté : faut-il prévenir la CNIL ?
Un piratage WordPress peut également devenir une violation de données personnelles.
C’est notamment le cas si votre site contient :
- formulaires de contact ;
- comptes clients ;
- WooCommerce ;
- inscriptions ;
- newsletters ;
- adhérents ;
- données professionnelles.
Il faut déterminer si certaines données ont pu être :
- consultées ;
- copiées ;
- modifiées ;
- supprimées ;
- divulguées.
Lorsqu’une violation présente un risque pour les droits et libertés des personnes concernées, une notification auprès de la CNIL peut devenir obligatoire.
Le RGPD prévoit notamment une notification dans les meilleurs délais et, lorsque cela est possible, dans les 72 heures après avoir pris connaissance de la violation.
En cas de risque élevé, les personnes concernées peuvent également devoir être informées.
Après nettoyage : la surveillance est indispensable
Ne considérez pas votre intervention comme terminée dès que la page d’accueil fonctionne à nouveau.
Pendant les jours suivants, surveillez :
- connexions ;
- utilisateurs ;
- fichiers modifiés ;
- emails sortants ;
- logs ;
- scans ;
- Search Console ;
- sauvegardes.
Si un administrateur inconnu réapparaît ou si de nouveaux fichiers suspects sont créés, une backdoor peut encore être présente.
Comment éviter qu’un site WordPress soit piraté à nouveau ?
Mettez WordPress à jour
Le cœur, les thèmes et les extensions doivent rester à jour.
Supprimez les plugins inutilisés
Moins de composants signifie généralement moins de surface d’attaque.
Activez la 2FA
Au minimum pour les administrateurs.
Utilisez des mots de passe uniques
Jamais le même mot de passe pour :
- WordPress ;
- hébergement ;
- email ;
- FTP.
Effectuez des sauvegardes automatiques
Avec une copie externe.
Utilisez uniquement des extensions fiables
Évitez les thèmes ou plugins nulled.
Limitez les droits utilisateurs
Chaque personne doit avoir uniquement les permissions nécessaires.
Surveillez les modifications
Les alertes permettent parfois d’intervenir avant que les dégâts deviennent importants.
Checklist DigitalBoxTech : site WordPress piraté
Voici la procédure synthétique à conserver.
- Mettre le site en maintenance si nécessaire.
- Créer une copie de l’état compromis.
- Sauvegarder les logs.
- Changer les mots de passe.
- Régénérer les sessions.
- Vérifier les administrateurs.
- Identifier la porte d’entrée.
- Contrôler plugins et thèmes.
- Scanner les fichiers.
- Vérifier la base de données.
- Nettoyer ou restaurer une sauvegarde saine.
- Corriger la vulnérabilité.
- Activer la 2FA.
- Mettre tous les composants à jour.
- Vérifier Search Console.
- Évaluer les éventuelles données personnelles touchées.
- Surveiller le site après remise en ligne.
FAQ – Site WordPress piraté
