Un matin, votre site redirige vers une boutique en ligne douteuse. Ou votre hébergeur vous écrit qu’il a suspendu votre compte. Ou Google affiche un avertissement rouge avant d’y accéder. Un site WordPress piraté, cela arrive aux petites structures comme aux grandes. L’important est de réagir dans le bon ordre.
Les signes qui doivent vous alerter
- Des redirections vers d’autres sites, parfois uniquement sur mobile ou pour les visiteurs venant de Google.
- Des pages ou des articles que vous n’avez pas créés, souvent dans une autre langue, visibles dans les résultats de recherche.
- Un avertissement du navigateur ou de Google signalant un site dangereux.
- Un message de votre hébergeur : envoi massif de courriels, fichiers suspects, compte suspendu.
- Des comptes administrateurs inconnus dans WordPress.
- Un site subitement très lent, ou qui affiche des erreurs sans que vous ayez rien modifié.
- Une chute brutale du trafic ou des alertes dans la Search Console.
La première heure : limiter les dégâts
- Ne supprimez rien dans la précipitation. Effacer des fichiers au hasard complique le diagnostic et peut casser le site.
- Mettez le site en maintenance ou demandez à votre hébergeur de le suspendre, pour protéger vos visiteurs.
- Changez les mots de passe : comptes WordPress, hébergement, FTP, base de données, et la messagerie liée au site.
- Prévenez votre hébergeur. Il dispose de journaux d’accès et peut vous indiquer la date probable de l’intrusion.
- Faites une copie du site tel qu’il est, même infecté. Elle servira à comprendre ce qui s’est passé.
- Vérifiez vos sauvegardes : de quand date la dernière, et où est-elle stockée ?
Nettoyer le site
Option 1 : restaurer une sauvegarde saine
C’est la méthode la plus rapide, à condition d’avoir une sauvegarde antérieure à l’intrusion. Attention : restaurer ne suffit pas. Si la faille d’origine n’est pas corrigée, le site sera de nouveau piraté, parfois dans les heures qui suivent.
Option 2 : nettoyer manuellement
Sans sauvegarde exploitable, il faut tout passer en revue :
- réinstaller WordPress, le thème et les extensions à partir de sources officielles ;
- rechercher les fichiers ajoutés ou modifiés, notamment dans le dossier des médias, qui ne devrait contenir aucun fichier PHP ;
- inspecter la base de données : comptes utilisateurs, contenus injectés, réglages modifiés ;
- contrôler les fichiers de configuration et les tâches planifiées ;
- supprimer les extensions et thèmes inutilisés.
C’est un travail minutieux. Les pirates laissent presque toujours une porte dérobée pour revenir, et il suffit d’en oublier une.
Après le nettoyage
- Mettez tout à jour : WordPress, thème, extensions, version de PHP.
- Changez à nouveau tous les mots de passe, ainsi que les clés de sécurité de WordPress pour déconnecter toutes les sessions.
- Demandez un réexamen à Google depuis la Search Console si le site a été signalé comme dangereux.
- Vérifiez les pages indexées et faites retirer celles créées par le pirate.
- Surveillez le site de près pendant plusieurs semaines.
Si des données personnelles ont pu être consultées ou dérobées (comptes clients, commandes, formulaires), le RGPD impose de le signaler à la CNIL dans les 72 heures suivant la découverte, et dans certains cas d’informer les personnes concernées.
Comment les pirates sont-ils entrés ?
Dans la grande majorité des cas, par l’une de ces portes :
- une extension ou un thème non mis à jour comportant une faille connue ;
- un thème ou une extension premium téléchargé sur un site non officiel ;
- un mot de passe faible ou réutilisé ;
- un thème abandonné par son auteur, comme je l’explique dans cet article ;
- un autre site mal protégé hébergé sur le même compte.
Les attaques sont automatisées : personne ne vous a visé personnellement. Des robots parcourent le web à la recherche de sites vulnérables.
Éviter que cela recommence
- Des mises à jour régulières, testées.
- Des sauvegardes automatiques, conservées en dehors de l’hébergement.
- Des mots de passe uniques et la double authentification pour les administrateurs.
- Le minimum d’extensions, toutes issues de sources fiables.
- Une surveillance du site pour détecter une anomalie avant vos visiteurs.
C’est précisément ce que couvre une maintenance WordPress. Elle ne rend pas un site invulnérable, mais elle réduit fortement le risque et, surtout, elle garantit de pouvoir le remettre en ligne rapidement.
Votre site a été piraté, ou vous avez un doute ? Contactez-moi : je reprends aussi des sites que je n’ai pas créés.