WordPress piraté : que faire, étape par étape (2026)

Reconnaître un WordPress piraté avant que Google ne le fasse

Dans la majorité des cas, le propriétaire apprend l’infection par quelqu’un d’autre. Ces signaux permettent de la voir plus tôt.

Les symptômes qui ne trompent pas

Un piratage se manifeste rarement par une page d’accueil défigurée. Les attaques modernes cherchent la discrétion : plus l’infection reste invisible, plus elle rapporte. Les signes à surveiller sont donc indirects. Les résultats Google de votre site affichent des titres en japonais, en russe ou des mots comme « casino », « viagra », « crypto », alors que vos pages n’ont pas changé. Des visiteurs vous signalent une redirection vers un site de paris ou de rencontres, parfois seulement depuis un téléphone, jamais depuis votre ordinateur. La Search Console envoie un message « Problèmes de sécurité détectés ». Votre hébergeur coupe l’envoi d’emails parce que le serveur expédie du spam. Un antivirus bloque votre page. Dans wp-admin, un administrateur que vous n’avez jamais créé apparaît dans la liste des utilisateurs, ou une extension inconnue s’est installée seule. Le site devient lent sans raison, ou le quota disque explose à cause de milliers de fichiers HTML générés dans un sous-dossier. Chacun de ces signes, pris isolément, peut avoir une autre explication ; deux d’entre eux ensemble suffisent à considérer le site comme un WordPress piraté et à passer à la vérification sans attendre. Le pire scénario est celui où personne ne regarde : l’infection vit des mois, Google déclasse le site page après page, et l’on découvre le problème quand le chiffre d’affaires a déjà baissé.

WordPress piraté ou faux positif : vérifier en dix minutes

Avant de toucher quoi que ce soit, confirmez le diagnostic depuis l’extérieur. Tapez dans Google site:votredomaine.fr et parcourez les résultats : des pages que vous n’avez jamais écrites signent une injection SEO. Ouvrez votre site depuis un téléphone, en navigation privée, en passant par un résultat Google plutôt qu’en tapant l’adresse, car beaucoup de redirections ne se déclenchent que dans ce cas. Consultez la Search Console, onglet Sécurité et actions manuelles. Passez l’adresse dans un scanner externe comme Sucuri SiteCheck ou VirusTotal. Côté serveur, regardez la date de modification des fichiers : un wp-config.php, un index.php ou un .htaccess modifié récemment sans intervention de votre part est quasi certainement touché. Listez les utilisateurs administrateurs et les extensions actives, et comparez avec ce que vous connaissez. Notez tout dans un document : dates, fichiers, symptômes, captures d’écran. Ce relevé servira à trois choses : prouver l’incident à l’hébergeur, demander le réexamen à Google après nettoyage, et comprendre la porte d’entrée pour la fermer. À ce stade, ne supprimez rien, ne lancez pas de mise à jour, ne changez pas de thème : vous risqueriez d’effacer les traces utiles au nettoyage.

Les six étapes pour réparer un WordPress piraté

L’ordre compte. Nettoyer avant de bloquer l’accès, c’est nettoyer deux fois.

Étape 1 et 2 : isoler, puis sauvegarder l’état infecté

La première action consiste à couper l’accès aux attaquants pendant que vous travaillez. Activez un mode maintenance au niveau du serveur, pas via une extension WordPress qui pourrait elle-même être compromise. Changez immédiatement tous les mots de passe : comptes administrateurs WordPress, FTP ou SFTP, base de données, panneau d’hébergement, et l’adresse email reliée au compte admin. Si l’hébergeur propose un verrouillage temporaire du compte, utilisez-le. Deuxième action, contre-intuitive : sauvegardez le site tel qu’il est, infecté. Fichiers et base de données, dans une archive datée, conservée hors du serveur. Cette copie n’est pas destinée à être restaurée ; elle permet de revenir en arrière si le nettoyage casse quelque chose, et de comparer les fichiers avant et après. Récupérez ensuite les sauvegardes antérieures : celles de l’hébergeur, celles de votre extension de sauvegarde, et identifiez la dernière version dont vous êtes sûr qu’elle était saine. Attention, sur un WordPress piraté depuis plusieurs semaines, la plupart des sauvegardes automatiques contiennent déjà l’infection. Une sauvegarde de trois mois propre vaut mieux qu’une sauvegarde d’hier contaminée, à condition de pouvoir réinjecter le contenu publié entre-temps.

Étape 3 : nettoyer les fichiers et la base

Le nettoyage le plus fiable n’est pas la chasse au fichier suspect, c’est le remplacement. Téléchargez une version neuve de WordPress depuis wordpress.org et remplacez intégralement les dossiers wp-admin et wp-includes, ainsi que tous les fichiers de la racine sauf wp-config.php et .htaccess, que vous relisez ligne par ligne. Faites de même pour chaque extension et chaque thème : supprimez le dossier, réinstallez depuis la source officielle. Ce qui n’a pas de source officielle, ou que vous n’utilisez plus, disparaît. Il reste alors wp-content/uploads, qui ne devrait contenir aucun fichier PHP : cherchez-les et supprimez-les, en vérifiant d’abord qu’il ne s’agit pas d’un fichier de cache légitime d’une extension. Le tableau suivant résume les emplacements où les infections se cachent le plus souvent.

Emplacement	Ce qu’on y trouve	Action
`wp-content/uploads/*.php`	Portes dérobées déposées via une faille d’upload	Supprimer, puis interdire le PHP dans ce dossier
`wp-content/mu-plugins`	Extensions chargées automatiquement, invisibles dans la liste classique	Vérifier chaque fichier, ne garder que le connu
`.htaccess` et `index.php`	Redirections conditionnelles vers des sites de spam	Remplacer par la version d’origine
Table `wp_options`	Scripts injectés dans les options du thème ou des widgets	Chercher `<script`, `eval(`, `base64`
Table `wp_posts`	Milliers d’articles de spam, iframes dans les contenus	Supprimer en masse par date et auteur
Table `wp_users`	Administrateurs créés par l’attaquant	Supprimer, réattribuer les contenus

Étape 4 à 6 : fermer la porte, vérifier, demander le réexamen

Un WordPress piraté nettoyé sans correction de la cause est réinfecté dans les 48 heures, parce que le robot qui l’a trouvé repasse. Identifiez la porte d’entrée à l’aide des journaux d’accès du serveur autour de la date du premier fichier suspect : une requête POST vers un fichier d’extension juste avant l’apparition de la porte dérobée désigne le coupable. Mettez à jour WordPress, toutes les extensions et le thème. Supprimez les comptes inconnus. Régénérez les clés de sécurité dans wp-config.php pour invalider toutes les sessions ouvertes. Ensuite, vérifiez : relancez le scanner externe, contrôlez les résultats site:, testez la redirection depuis un téléphone, surveillez les fichiers modifiés pendant une semaine. Si Google avait marqué le site, demandez le réexamen depuis la Search Console en décrivant ce qui a été fait ; la levée prend de quelques heures à quelques jours. Si l’hébergeur avait suspendu le compte, envoyez-lui le relevé de nettoyage. Enfin, prévenez vos visiteurs si des données personnelles ont pu fuiter : en Europe, une notification à la CNIL peut être obligatoire sous 72 heures. Cette liste de contrôle finale évite l’oubli le plus fréquent, celui des mots de passe réutilisés ailleurs.

Tous les mots de passe changés, y compris la base de données
Clés de sécurité régénérées, sessions invalidées
Scanner externe propre, résultats Google sans pages inconnues
Réexamen demandé, hébergeur informé
Surveillance des fichiers active pour les 30 prochains jours

Ce qui fait qu’un site se fait pirater, et comment l’éviter

Comprendre la cause est la seule façon de ne pas revivre la même semaine dans six mois.

WordPress piraté : les causes réelles, chiffres à l’appui

Personne ne vise votre site en particulier. Les attaques sont menées par des programmes qui scannent des millions d’adresses, repèrent une version d’extension vulnérable et exploitent la faille en quelques secondes, puis vendent l’accès. Les rapports annuels des sociétés de nettoyage convergent : plus de la moitié des infections passent par une extension ou un thème non mis à jour, environ un cinquième par un mot de passe faible ou volé dans une fuite de données, un dixième par un hébergement mutualisé où un site abandonné contamine ses voisins, et le reste par des thèmes payants téléchargés sur des sites de contrefaçon, livrés avec une porte dérobée intégrée. Les failles du cœur de WordPress lui-même sont rares et corrigées en quelques heures. Autrement dit, un WordPress piraté est presque toujours un site qui n’avait pas été mis à jour depuis des mois, ou dont un compte utilisait le même mot de passe qu’un service piraté ailleurs. La bonne nouvelle est que ces deux causes se corrigent sans compétence technique : une mise à jour hebdomadaire et un gestionnaire de mots de passe sortent le site de la liste des cibles faciles. Les robots ne s’acharnent pas ; ils passent au suivant.

La routine qui protège vraiment

Une bonne protection tient en quelques habitudes régulières plutôt qu’en une extension de sécurité lourde. Voici la routine minimale pour un site d’entreprise.

Mises à jour chaque semaine : cœur, extensions, thème. Activez les mises à jour automatiques pour tout ce qui n’est pas critique, et testez les autres sur une copie.
Suppression de l’inutile : chaque extension désactivée mais toujours présente est une porte potentielle.
Comptes propres : un administrateur par personne, mots de passe uniques, double authentification, aucun compte « admin ».
Durcissement de base : édition de fichiers désactivée dans wp-admin, PHP interdit dans uploads, XML-RPC coupé s’il ne sert pas.
Sauvegardes testées : quotidiennes, conservées hors du serveur, et restaurées une fois par trimestre pour vérifier qu’elles fonctionnent.
Surveillance : alerte sur tout fichier PHP nouveau ou modifié, sur tout nouvel administrateur, sur tout changement de wp-config.php.

Le dernier point fait toute la différence entre un WordPress piraté découvert en une heure et une infection découverte par Google trois mois plus tard. C’est aussi celui que presque personne ne met en place, parce qu’il demande un outil qui regarde le site tous les jours.

WordPress piraté : quand faire appel à quelqu’un

Le nettoyage décrit plus haut est à la portée d’une personne à l’aise avec un client FTP et phpMyAdmin, pour un site simple. Il cesse de l’être dans plusieurs situations : une boutique WooCommerce avec des commandes à préserver, un site multilingue de plusieurs centaines de pages, une infection qui revient après chaque nettoyage, ou un hébergement sur lequel vous n’avez pas accès aux journaux. Dans ces cas, le coût d’une intervention professionnelle, généralement entre 150 et 600 euros selon la taille du site, est inférieur au coût d’une semaine de tâtonnements et d’un site hors ligne. Avant de signer, demandez ce qui est inclus : identification de la cause, nettoyage des fichiers et de la base, correction de la faille, demande de réexamen Google, et garantie en cas de réinfection dans le mois. Méfiez-vous des offres qui se contentent de lancer un scanner et de supprimer ce qu’il signale ; un scanner ne voit pas les comptes administrateurs ajoutés ni les options modifiées. Si vous gérez plusieurs sites, le vrai gain n’est pas dans l’intervention ponctuelle mais dans la surveillance continue : un outil qui compare chaque jour les fichiers à une empreinte connue, liste les administrateurs inattendus et pousse les mises à jour sur tout le parc transforme une urgence en notification de routine.

Questions fréquentes

Faut-il restaurer une sauvegarde ou nettoyer ? Restaurer est plus rapide si vous avez une sauvegarde sûrement saine et peu de contenu publié depuis. Sinon, nettoyer par remplacement des fichiers reste la méthode la plus fiable, et il faut corriger la cause dans les deux cas.

Une extension de sécurité aurait-elle empêché le piratage ? Elle aurait probablement bloqué les tentatives de connexion, pas l’exploitation d’une extension obsolète. Les mises à jour protègent davantage que le pare-feu.

Combien de temps prend un nettoyage complet ? De deux heures pour un site vitrine à deux jours pour une boutique avec une base contaminée, hors délai de réexamen par Google.

Google va-t-il pénaliser le site durablement ? Non, si le nettoyage est complet et le réexamen demandé. Le classement revient généralement en quelques semaines.