Site WordPress piraté : que faire dans la première heure (et les jours qui suivent)

Une page d'accueil défigurée, une redirection vers un site de paris, un avertissement rouge dans Chrome, un email de votre hébergeur : quel que soit le symptôme, la première heure décide de la suite. Bien menée, elle limite les dégâts, conserve les preuves et évite la réinfection. Mal menée, elle efface les traces et laisse la porte ouverte. Ce guide suit la chronologie d'un incident, des dix premières minutes aux sept premiers jours, avec pour chaque étape le geste à faire et, pour les administrateurs, la commande exacte.

Reconnaître un site WordPress piraté

La documentation officielle de WordPress liste les indicateurs de compromission les plus fréquents : site signalé par Google ou Bing, désactivé par l'hébergeur, visiteurs dont l'antivirus le bloque, actions non autorisées comme la création d'utilisateurs, ou piratage visible à l'écran. D'autres signes sont plus discrets : pages en japonais ou de pharmacie dans les résultats Google, redirection uniquement sur mobile, envois massifs d'emails depuis le serveur, fichier PHP inconnu dans wp-content/uploads/.

Deux vérifications gratuites : l'outil Safe Browsing de Google indique si le site est actuellement classé dangereux, et le rapport « Problèmes de sécurité » de la Search Console précise le type de problème détecté : contenu piraté, logiciel malveillant ou ingénierie sociale. Notre article sur les alertes de sécurité de la Search Console explique comment les lire.

Les dix premières minutes : préserver et isoler

Ne pas paniquer, ne rien supprimer

Le réflexe le plus courant est de supprimer les fichiers suspects ou de restaurer une sauvegarde. Les deux sont prématurés : supprimer un fichier efface une preuve qui aurait permis de dater l'intrusion et de trouver la faille ; restaurer sans connaître la date de compromission remet souvent en ligne une copie déjà infectée, avec la même faille. La documentation WordPress le résume en deux mots d'ordre : « Stay calm », puis « Document ».

Capturer des preuves

Notez ce que vous voyez et à quelle heure (avec le fuseau horaire), faites des captures d'écran du symptôme, de l'avertissement Google ou du message de l'hébergeur, et copiez les URL concernées. Listez ce qui a changé récemment : extension installée, thème modifié, nouveau prestataire avec un accès. Ces notes forment le début du rapport d'incident, utile à l'hébergeur, à l'équipe qui nettoiera le site, à votre assureur et à la CNIL si des données personnelles sont touchées.

Mettre le site en maintenance

Tant que le site sert du code malveillant, chaque visiteur est une victime potentielle et Google continue de le constater. Trois options :

• l'outil de mise hors ligne ou de protection par mot de passe du panneau de votre hébergeur ;
• un fichier .maintenance à la racine de WordPress : le site affiche « Briefly unavailable for scheduled maintenance » à tous les visiteurs. WordPress l'ignore au bout de dix minutes ; pour une coupure plus longue, recréez-le ou choisissez une autre méthode ;
• une règle dans .htaccess qui n'autorise que votre adresse IP.

# Fichier .maintenance à la racine du site
<?php $upgrading = time(); ?>

# .htaccess : n'autoriser que votre adresse IP (Apache 2.4)
Require ip 203.0.113.10

Ne désactivez pas les extensions et ne changez pas de thème pour l'instant : cela modifie l'état du site avant sa sauvegarde et brouille l'analyse.

La première heure : couper les accès du pirate

Sauvegarder l'état compromis

Cela paraît contre-intuitif, mais c'est la recommandation officielle de WordPress : avant de nettoyer, prendre une copie supplémentaire de l'environnement, « even if it's infected ». Exportez les fichiers (SFTP ou gestionnaire de fichiers de l'hébergeur) et la base de données (phpMyAdmin ou wp db export) dans une archive datée, conservée hors du serveur : référence pour l'analyse, filet de sécurité si le nettoyage tourne mal.

# Depuis la racine du site, en SSH
wp db export etat-compromis-$(date +%F).sql
tar -czf ../etat-compromis-$(date +%F).tar.gz .

Changer tous les mots de passe, pas seulement celui de WordPress

Le pirate a peut-être obtenu vos identifiants par une fuite, un logiciel espion sur votre ordinateur ou une attaque par force brute. La documentation WordPress insiste : le changement concerne « all access points », c'est-à-dire FTP et SFTP, l'administration WordPress, le panneau de l'hébergeur et MySQL, pour tous les utilisateurs de l'environnement. Ajoutez la messagerie du compte administrateur, par laquelle passent les réinitialisations. Si vous changez le mot de passe de la base, reportez-le dans wp-config.php. Utilisez des mots de passe longs et uniques, produits par un gestionnaire.

Fermer toutes les sessions ouvertes

Changer un mot de passe ne ferme pas les sessions existantes : un pirate connecté reste connecté. Régénérez les clés secrètes de wp-config.php avec le générateur de WordPress.org : tous les cookies de connexion deviennent invalides. Avec WP-CLI, vous pouvez aussi détruire les sessions de chaque utilisateur :

# Toutes les sessions de tous les utilisateurs
wp user list --field=ID | xargs -n 1 wp user session destroy --all

Sans WP-CLI, chaque utilisateur dispose dans son profil du bouton « Se déconnecter partout ailleurs », présent depuis WordPress 4.1.

Passer en revue les comptes administrateurs

Listez les administrateurs et comparez avec ce que vous connaissez : compte inconnu, adresse email étrangère, date de création récente sont des signes forts. Ne vous contentez pas de le supprimer, un code malveillant le recrée souvent. Notre guide sur l'administrateur inconnu apparu dans WordPress explique comment vérifier la base, repérer un compte caché et révoquer les mots de passe d'application.

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Si vous n'avez plus accès à l'administration

Le pirate a changé votre mot de passe ou votre adresse email ? L'accès se reprend par la base de données, par WP-CLI ou par un fichier temporaire, sans passer par l'écran de connexion : voir notre article pour reprendre la main sur un WordPress dont le mot de passe admin a été changé.

Prévenir l'hébergeur

Sur un hébergement mutualisé, le piratage peut venir d'un autre site du même compte, ou s'y propager. WordPress recommande de contacter l'hébergeur : il peut confirmer qu'il s'agit d'un piratage et non d'une panne, vérifier les autres sites, et il détient les journaux du serveur. Ouvrez un ticket avec vos captures et l'heure de découverte, et demandez les journaux d'accès et d'erreur des trente derniers jours.

Les 24 premières heures : nettoyer et rétablir

Nettoyer le site, ou le faire nettoyer

Le nettoyage consiste à remettre chaque composant dans un état connu et sain : cœur de WordPress, thèmes et extensions réinstallés depuis leurs sources officielles, puis inspection de ce qui ne peut pas être réinstallé (wp-config.php, .htaccess, uploads, mu-plugins, contenu de la base). WP-CLI permet un premier tri en comparant les fichiers avec les sommes de contrôle de WordPress.org :

wp core verify-checksums
wp plugin verify-checksums --all
# Fichiers modifiés depuis sept jours
find . -type f -mtime -7 -not -path "./wp-content/cache/*"

La documentation WordPress conseille de réinstaller /wp-admin et /wp-includes par SFTP plutôt que par le bouton de réinstallation, qui écrase les fichiers existants sans supprimer ceux que le pirate a ajoutés, et de surveiller particulièrement .htaccess, index.php, header.php, footer.php et functions.php. La méthode complète est dans notre guide pour nettoyer un site WordPress piraté.

Si vous n'avez ni le temps ni les accès techniques, faites intervenir un professionnel dès ce stade. Notre service de nettoyage de site WordPress piraté commence par un diagnostic gratuit sous 12 heures, puis un nettoyage sous 48 heures au prix fixe de 350 €, annoncé avant intervention et remboursé si elle échoue.

Vérifier auprès de Google et demander le réexamen

Une fois le site propre, et seulement à ce moment, ouvrez le rapport « Problèmes de sécurité » de la Search Console et cliquez sur « Demander un examen ». Google demande trois choses : expliquer précisément le problème, décrire les mesures prises, documenter le résultat. Le traitement « peut prendre plusieurs jours, voire plusieurs semaines », et une demande faite alors que le problème persiste ne fait que prolonger le signalement. À titre indicatif : quelques jours pour un logiciel malveillant, environ un jour pour du phishing, jusqu'à plusieurs semaines pour du spam.

Données personnelles : évaluer l'obligation de notification

Si le site collecte des données personnelles (formulaire de contact, comptes clients, commandes), un piratage peut constituer une violation de données au sens du RGPD : perte de disponibilité, d'intégrité ou de confidentialité. La CNIL demande alors une notification « dans les meilleurs délais », avec une notification initiale dans un délai de 72 heures à la suite de la constatation (article 33), et l'information des personnes concernées quand le risque pour elles est élevé (article 34). Dans tous les cas, documentez l'incident en interne. En cas de doute, la CNIL recommande de la notifier : elle indiquera s'il faut informer les personnes. Notre article sur les obligations RGPD après un piratage WordPress détaille les cas concrets.

Prévenir vos clients et vos partenaires

Au-delà de l'obligation légale, prévenir vaut mieux que laisser découvrir : ce qui s'est passé, ce qui a été fait, ce que la personne doit faire (changer son mot de passe, se méfier d'un email inhabituel envoyé en votre nom). Si du spam ou du phishing est parti depuis votre serveur, dites-le aussi à votre hébergeur et à votre prestataire de messagerie.

Les sept premiers jours : durcir et surveiller

Un site nettoyé sans durcissement est réinfecté en quelques jours, par la même faille ou par une autre. Dans la semaine qui suit :

• Mettre à jour WordPress, thèmes et extensions, et supprimer tout ce qui n'est pas utilisé : une extension désactivée reste une porte d'entrée.
• Changer les mots de passe une deuxième fois : WordPress est explicite, ceux saisis pendant l'infection ont pu être capturés.
• Reprendre les comptes : un administrateur par personne, des rôles minimaux, l'authentification à deux facteurs pour tous ceux qui publient ou administrent.
• Verrouiller les fichiers : dossiers en 755, fichiers en 644, wp-config.php en 400 ou 440, et define( 'DISALLOW_FILE_EDIT', true ); pour retirer l'éditeur de code du tableau de bord.
• Surveiller : scan quotidien, alerte à chaque fichier modifié et à chaque nouvel utilisateur, contrôle hebdomadaire de la Search Console et de Safe Browsing.
• Sauvegarder à nouveau, site propre, vers un emplacement externe, et vérifier que la sauvegarde se restaure.
• Comprendre comment le pirate est entré : journaux, dates de modification des fichiers, extensions vulnérables à la date de l'intrusion. Sans cette réponse, le durcissement reste général.

Si vous préférez déléguer cette surveillance, notre offre Assurance & maintenance à 50 € par mois couvre les mises à jour, le contrôle régulier et l'intervention en cas de nouvelle infection.

Site WordPress piraté : ce qu'il faut faire et ne pas faire

À faire	À ne pas faire
Noter l'heure, faire des captures, conserver les messages reçus	Supprimer les fichiers suspects avant de les avoir sauvegardés
Mettre le site en maintenance ou restreindre l'accès à votre IP	Laisser le site en ligne « le temps de voir »
Sauvegarder l'état compromis, fichiers et base	Restaurer une sauvegarde sans connaître la date de l'intrusion
Changer tous les mots de passe : WordPress, FTP, hébergeur, base, messagerie	Changer seulement le mot de passe WordPress
Régénérer les clés secrètes et détruire les sessions	Supposer que le pirate est déconnecté parce que le mot de passe a changé
Nettoyer complètement, puis demander le réexamen Google	Demander le réexamen avant d'avoir nettoyé
Évaluer l'obligation RGPD dans les 72 heures	Décider seul que « rien n'a fuité » sans avoir vérifié
Chercher la faille d'entrée et la fermer	Se contenter d'un scan « propre » d'une extension de sécurité

Quand faire appel à un professionnel

Trois situations justifient de ne pas nettoyer seul : vous n'avez plus d'accès (administration, FTP ou hébergeur), le site est une boutique ou traite des données clients, ou il a déjà été « nettoyé » une fois et le problème est revenu. Notre équipe répare et sécurise des sites WordPress piratés depuis 2016 : envoyez l'adresse du site et vos captures via le formulaire de réparation de site. Diagnostic gratuit sous 12 heures, prix fixé avant toute intervention.

Sources

• « FAQ My site was hacked », WordPress.org, mis à jour le 26 juillet 2026 : wordpress.org/documentation/article/faq-my-site-was-hacked/
• « Hardening WordPress », WordPress.org : developer.wordpress.org/advanced-administration/security/hardening/
• « wp_is_maintenance_mode() », WordPress.org Code Reference : developer.wordpress.org/reference/functions/wp_is_maintenance_mode/
• « wp core verify-checksums », « wp plugin verify-checksums », « wp user session destroy », « wp user list », WP-CLI : developer.wordpress.org/cli/commands/
• « WordPress 4.1 “Dinah” », WordPress.org, 18 décembre 2014 : wordpress.org/news/2014/12/dinah/
• « Rapport sur les problèmes de sécurité », Aide Google Search Console : support.google.com/webmasters/answer/9044101
• « Request a review », web.dev (Google) : web.dev/articles/request-a-review
• « Safe Browsing site status », Google Transparency Report : transparencyreport.google.com/safe-browsing/search
• « Notifier une violation de données personnelles », CNIL : cnil.fr/fr/notifier-une-violation-de-donnees-personnelles
• « How to Clean a Hacked WordPress Site », Sucuri Guides : sucuri.net/guides/how-to-clean-hacked-wordpress/

Pages consultées le 6 septembre 2026.