Site WordPress piraté : que faire, dans quel ordre ?

Si votre site WordPress est piraté, agissez dans cet ordre : conserver des preuves, couper l’accès de l’attaquant (mots de passe, comptes, éventuellement mise hors ligne), restaurer ou nettoyer à partir d’une source saine, corriger la faille d’origine, puis surveiller. Si des données personnelles sont concernées, vérifiez sans attendre si une notification à la CNIL est nécessaire : le délai de référence est de 72 heures après la constatation.

Les signes d’un piratage sont variés : page d’accueil modifiée, redirections vers d’autres sites, alertes du navigateur ou de Google, e-mails de spam envoyés depuis votre domaine, comptes administrateurs inconnus, site lent ou inaccessible. Ce guide décrit les étapes, sans prétendre couvrir tous les cas : si l’incident est complexe, faites-vous aider.

Comment savoir si mon site est vraiment piraté ?

Avant de réagir, confirmez le problème. Vérifiez la page d’accueil et plusieurs autres pages, y compris depuis un autre appareil et en navigation privée (certains piratages ne s’affichent qu’aux visiteurs venant d’un moteur de recherche). Regardez la liste des utilisateurs de l’administration, les fichiers modifiés récemment si votre hébergeur le permet, et les messages de votre hébergeur ou de la Search Console de Google.

Ne supprimez rien tant que vous n’avez pas fait de copie : le contenu piraté est une preuve. Les ressources publiques de Cybermalveillance.gouv.fr et sa fiche réflexe sur la défiguration d’un site recommandent de conserver les éléments de preuve, de corriger les failles et de changer tous les mots de passe avant la remise en ligne.

Quelles sont les premières actions à mener, dans l’ordre ?

1. Prévenir les personnes concernées en interne (direction, hébergeur, prestataire) et désigner un responsable de l’incident.
2. Conserver les preuves : captures d’écran, copie des fichiers et de la base dans l’état piraté, journaux de l’hébergeur. Stockez-les hors du site.
3. Couper l’accès de l’attaquant : changer les mots de passe de l’administration WordPress, de l’hébergement, de la base de données, du FTP/SFTP et de la messagerie associée. Supprimer les comptes administrateurs inconnus. Faites ces changements depuis un poste que vous savez sain.
4. Mettre le site en maintenance ou hors ligne si des visiteurs sont exposés (redirections malveillantes, vol de saisies). Une page de maintenance simple vaut mieux qu’un site qui diffuse des logiciels malveillants.
5. Informer l’hébergeur : il peut fournir des journaux, isoler le compte et aider à identifier l’entrée de l’attaquant.
6. Déposer plainte si le préjudice le justifie. Voir plus bas.

Faut-il restaurer une sauvegarde ou nettoyer le site ?

La restauration depuis une sauvegarde antérieure au piratage est souvent la voie la plus sûre, à condition de savoir à quelle date l’infection a commencé. Une sauvegarde faite après l’intrusion peut contenir la porte dérobée de l’attaquant. Si la date est incertaine, remontez plus loin et acceptez de perdre quelques contenus récents, que vous pourrez réintégrer avec prudence.

Le nettoyage manuel (retrait de fichiers suspects) est possible, mais risqué : des portes dérobées se cachent dans les thèmes, les extensions, les fichiers de configuration ou la base de données. Une méthode plus fiable consiste à reconstruire :

• réinstaller WordPress proprement à partir de la source officielle ;
• réinstaller thèmes et extensions depuis leurs sources officielles, uniquement ceux qui sont nécessaires et maintenus ;
• réimporter les contenus (articles, pages, médias) après contrôle, sans reprendre de fichiers exécutables ;
• recréer les comptes avec de nouveaux mots de passe.

Une fois le site remis en état, faites passer les mises à jour avant la remise en ligne. Remettre en ligne la même version vulnérable expose au même piratage.

Comment trouver la cause du piratage ?

Sans cause identifiée, l’attaque se reproduit. Les entrées les plus fréquentes sur un site WordPress sont :

• une extension ou un thème non mis à jour ou abandonné ;
• un mot de passe faible ou réutilisé, volé ailleurs ;
• un compte d’ancien prestataire jamais supprimé ;
• un thème ou une extension piratés téléchargés hors des sources officielles ;
• un accès FTP ou hébergement compromis ;
• un poste d’administrateur infecté.

Les journaux de l’hébergeur indiquent souvent l’heure et l’adresse des premières requêtes suspectes. Notre checklist d’audit de sécurité suit ces points. Pour un incident important, un audit de sécurité permet de confirmer l’étendue et la cause.

Faut-il prévenir la CNIL après un piratage ?

Cela dépend. La CNIL indique qu’une notification est requise lorsque trois conditions sont réunies : un traitement de données personnelles, une violation (perte de disponibilité, d’intégrité ou de confidentialité, accidentelle ou illicite) et un risque pour les personnes concernées. La notification se fait dans les meilleurs délais et, si possible, au plus tard 72 heures après avoir pris connaissance de la violation, via le téléservice de la CNIL. Si toutes les informations ne sont pas disponibles, une notification initiale puis complémentaire est possible. Si le risque est élevé, les personnes concernées doivent aussi être informées.

Un site qui conserve des messages de contact, des comptes clients ou des commandes traite des données personnelles : l’obligation peut donc s’appliquer. En cas de doute, la CNIL recommande de lui notifier l’incident. Consignez dans tous les cas l’incident et vos décisions dans un registre interne. Pour les bases côté site, voir mentions légales, RGPD et cookies.

Quand porter plainte, et à qui s’adresser ?

Le piratage d’un site est une infraction. Porter plainte est recommandé lorsque le préjudice est réel : données volées, rançon, perte de chiffre d’affaires, atteinte à l’image. Munissez-vous des preuves conservées. Le service 17Cyber, accessible en ligne à toute heure, permet de diagnostiquer la situation et d’échanger avec un policier ou un gendarme. Notre article premiers réflexes face à une cyberattaque donne le détail.

Comment éviter que cela se reproduise ?

• Mettre à jour WordPress, les thèmes et les extensions, et supprimer ceux qui sont inutiles.
• Activer la double authentification pour l’administration (guide).
• Limiter les comptes administrateurs et supprimer ceux des anciens intervenants.
• Sauvegarder fichiers et base, hors de l’hébergement principal, et tester la restauration.
• Surveiller le site (disponibilité, modifications de fichiers, alertes de l’hébergeur).
• Prévoir un contrat de maintenance et sécurité qui précise qui fait quoi. Notre article sur la maintenance d’un site liste les points à demander.

Aucune mesure ne rend un site invulnérable : l’objectif est de réduire la probabilité d’un nouvel incident et la durée de remise en route.

Questions fréquentes après un piratage

Mon référencement Google sera-t-il touché ?

C’est possible : si des pages ou des redirections malveillantes ont été indexées, des avertissements peuvent apparaître. Une fois le site nettoyé, suivez les alertes de la Google Search Console et demandez un réexamen si elle l’indique. Voir aussi notre checklist d’audit SEO.

Dois-je changer d’hébergeur ?

Pas nécessairement. Le problème vient souvent d’un composant du site ou d’un mot de passe, pas de l’hébergeur. Si celui-ci n’a pas pu fournir de journaux ni aucune aide, ou si les sauvegardes manquent, la question se pose.

Vaut-il mieux refaire le site ?

Si le site repose sur un thème et des extensions abandonnés, une refonte du site est souvent plus durable que des réparations répétées. Conservez les URL pour préserver le référencement (guide de refonte).

Si vous êtes en pleine crise, contactez-nous en décrivant les symptômes ; ne transmettez pas de mot de passe. Notre page cybersécurité présente les accompagnements possibles.