Votre site WordPress piraté peut provoquer une panique immédiate.
Mais peut-être vous n’êtes pas sûr qu’il soit piraté.
Un site WordPress piraté peut entraîner des redirections vers des sites douteux, une alerte rouge affichée par votre navigateur, des emails de clients paniqués…
Vous n’êtes pas seul. Chaque jour, de milliers de sites WordPress sont victimes de cyberattaques.
La bonne nouvelle : il est possible de reprendre le contrôle.
La mauvaise nouvelle : cela peut être long (quelques heures éprouvantes) parce qu’on se retrouve dans une situation qui ressemble à du développement d’urgence de site internet en entier.
Dans ce guide, vous allez découvrir :
- Comment reconnaître les signes d’un piratage.
- Les immédiates pour limiter les dégâts (je pense que de toute façon, le maximum a déjà été fait).
- Le processus pour nettoyer et restaurer un WordPress piraté (une décision pourrait devoir être désagréable à prendre).
- Pourquoi le nettoyage peut prendre du temps mais garantit un retour en ligne sain.
- Comment sécuriser durablement pour réduire le risque de rechute (une protection 100% n’existe pas).
1. Reconnaître les signes d'un piratage WordPress
Un piratage peut être discret (son but est d’aspirer vos données pour les revendre sur le dark web ou les utiliser) ou brutal. Voici les symptômes les plus courants :
Redirections suspectes : vos visiteurs sont redirigés vers des sites de casino, pornographie ou arnaques.
Contenu ajouté à votre insu : pages cachées, articles en langue étrangère, liens vers des sites tiers.
Alertes de sécurité : votre navigateur affiche un avertissement « site dangereux », votre hébergeur vous contacte.
Blocage d’accès : vous ne pouvez plus vous connecter à l’administration WordPress
Consommation serveur anormale : pics de CPU, mails sortants massifs (spam) (certains hébergeurs suspendent votre hébergement et filtre les emails envoyés), disque plein.
Il existe sans doute d’autres cas ou simplement vous pensez que quelque chose ne va pas. Je pense que les dégâts côté site WordPress sont déjà importants donc il n’est plus utile de paniquer de ce point de vue là MAIS une seule chose reste à faire en urgence est l’impact du piratage du site sur votre indexation Google, une perte de clients, une réputation ruinée.
2. Isoler le site pour limiter la propagation et surtout bloquer Google avant son indexation
Le premier réflexe est de mettre le site sous quarantaine lorsque vous découvrez un site WordPress piraté :
- Activer le mode maintenance, code de retour HTTP 503, pour signaler aux moteurs de recherche de patienter au lieu de désindexer votre site. Cela se fait via une extension WordPress, via un fichier htaccess ou bêtement un fichier index.php temporaire.
- Coupez l’accès public en déplaçant/renommant le dossier WordPress côté hébergement pour qu’il ne soit plus accessible en ligne.
- Changez immédiatement tous vos mots de passe (administration WordPress, FTp ou SSH, base de données, votre hébergeur email, votre poste de travail). Vérifiez que votre propre antivirus est à jour si vous travaillez sur un système hautement vulnérable tel que windows (un pirate peut avoir utiliser votre poste de travail pour atteindre votre hébergement web).
Le but de l’isolation n’est pas de réparer tout de suite mais bien de stopper le problème. Le travail long commence après.
3. Sauvegarder l'état actuel
Même compromis, il est important de faire une sauvegarder avant toute manipulation. Normalement, vous avez déjà des sauvegardes mais il faut en faire une de plus :
- Exportez la base de données (via phpMyAdmin la plupart du temps sinon en ligne de commande sur l’hébergement avec la commande mysqldump).
Téléchargez tous les fichiers du site (par FTP ou SSH).
Conservez également les logs serveur (accès, erreurs) si disponibles.
Ces éléments sont utiles pour :
Analyser l’attaque (identifier la faille exploitée).
Constituer une preuve légale (si litige ou plainte)
Éviter de perdre du contenu pendant le nettoyage
4. Restaurer une version saine
Selon la situation, par exemple, un site vitrine sans base de données qui bouge beaucoup, il peut être judicieux de restaurer la sauvegarde avant piratage afin de traiter le problème plus rapidement (virus/piratage pas encore déployé).
Donc si vous disposez d’une sauvegarde récente et non infectée de votre site WordPress, vous pouvez envisager une restauration :
- Supprimez complètement le site compromis (après sauvegarde).
- Restaurer une version antérieure au piratage des fichiers et de la base de données.
- Mettez immédiatement à jour WordPress, thèmes et plugins.
⚠️ Là encore, cela ne signifie pas que votre site sera opérationnel en une heure. Une restauration doit être suivie d’un audit complet, sinon le problème peut réapparaître.
5. Nettoyer le site WordPress piraté
C’est l’étape la plus complexe et la plus longue. Si vous devez payer un prestataire pour nettoyer un site WordPress piraté, il faut compter de 6 à 8h de travail minimum, selon la gravité : fichiers corrompus, base de données infectée, création de comptes pirates, contenus cachés indexés par Google…
Option 1 : vous le faites vous-même
- Comparez les fichiers WordPress avec une version saine.
- Supprimez les fichiers suspects.
- Réinstallez le cœur WordPress, les thèmes et plugins depuis leurs sources officielles.
- Vérifiez les comptes utilisateurs.
- Scannez le site avec un outil de sécurité.
Option 2 : vous n’êtes pas technique
Dans ce cas, confiez la tâche à un expert en sécurité de sites WordPress. ou prenez un hébergement WordPress infogéré avec nettoyage inclus.
Un nettoyage incomplet est le scénario le plus dangereux : le pirate peut avoir laissé des portes dérobées invisibles qui réinfecteront le site après quelques jours.
6. Sécuriser pour éviter que ça recommence
Un site déjà piraté devient une cible privilégiée. Les pirates retestent régulièrement les mêmes failles. Donc si vous restaurez sans régler la cause, votre site sera de nouveau piraté le lendemain ou dans les prochains jours.
Après nettoyage du site WordPress piraté, vous devez mettre en place :
- Mises à jour régulières (une fois par semaine ou immédiatement selon l’urgence) de WordPress, plugins et thèmes.
- Pare-feu applicatif (WAF) pour bloquer les attaques courantes (par exemple avec SecuPress PRO, extension include avec notre infogérance WordPress).
- Surveillance des fichiers pour détecter toute modification suspecte.
- Backups externes fiables et vérifiés
- Audit de configuration serveur pour éviter les erreurs critiques (permissions, PHP obsolète, SSL manquant)
7. Préserver votre SEO après piratage
Un piratage peut détruire des mois d’efforts SEO. Pour limiter l’impact :
- Utilisez Google Search Console pour signaler le nettoyage et demander une révision.
- Supprimez les redirections malveillantes et corrigez votre sitemap.
- Analysez votre contenu avec des outils SEO pour supprimer les pages parasites.
- Surveillez votre trafic et vos positions les semaines suivantes.
8. Quelles sont les conséquences financières d'un site WordPress piraté ?
Le coût d’un piratage ne se limite pas au nettoyage technique :
- Perte de chiffre d’affaires (site e-commerce indisponible, clients qui partent et ne reviendront jamais).
- Perte de confiance (image dégradée, avis négatifs).
- Risques légaux (fuite de données personnelles, sanctions RGPD).
- SEO détruit (Google peut maintenir son alerte plusieurs semaines)
👉 Le plus cher n’est pas l’intervention technique, mais les conséquences si le problème traîne.
9. Cas pratiques
- Agence de communication : site vitrine redirigé vers un site porno. Nettoyage en profondeur en deux jours, reprise SEO en quelques semaines.
- Boutique WooCommerce : trois backdoors découvertes dans les fichiers PHP, assainissement complet et reprise des ventes.
- Startup : piratage via un plugin obsolète, restauration plus migration vers un serveur infogéré = sérénité retrouvée
10. Conclusion : agir vite et en même temps accepter que le nettoyage prenne du temps
Plus vous attendez et hésitez et plus le risque d’indexation Google est imminent.
Il faut être méthodique dans la résolution du problème pour éviter que le piratage reprenne.
En résumé :
- Isoler le site immédiatement pour limiter les dégâts.
- Sauvegarder l’état actuel pour analyse et preuves.
- Nettoyer en profondeur, même si cela prend du temps.
- Sécuriser durablement pour que cela ne se reproduise plus.
Nous protégeons votre site internet s’il est hébergé et infogéré chez nous (service inclus dans l’infogérance).
Nous ne prenons pas les prestations d’intervention ponctuelles uniquement mais nous pouvons procéder à une prestation en deux étapes : une migration vers nos serveurs et un nettoyage.
Nous proposons dans le cadre de la mise en place de l’infogérance WordPress, un service SOS WordPress piraté, une prestation facturée à 50% de sa valeur :
- Mise en quarantaine immédiate
- Nettoyage complet (fichiers, base de données, utilisateurs)
- Restauration puis sécurisation avancée
- Accompagnement vers une infogérance complète pour que vous n’ayez plus jamais à gérer seul ce type de crise
Contactez-nous dès maintenant pour une intervention d’urgence.