Ton site WordPress a été piraté : quoi faire, dans l'ordre

Tu tapes l'adresse de ton site et tu tombes sur une pub pour un casino, une page blanche, ou un avertissement rouge de Google. Le réflexe, c'est la panique. Le bon réflexe, c'est une méthode. Un site WordPress piraté se récupère presque toujours, à condition de faire les choses dans le bon ordre et de ne pas aggraver la situation en bricolant.

Voici la marche à suivre qu'on applique quand un client nous appelle un dimanche soir parce que son site sert des liens douteux.

D'abord, ne casse rien de plus

La première erreur, c'est de vouloir « nettoyer vite fait » en supprimant des fichiers au hasard. Tu risques de casser le site pour de bon et de détruire les preuves qui t'aident à comprendre par où c'est entré.

Avant toute chose, fais une copie complète de l'état actuel : les fichiers et la base de données, même infectés. C'est ta photo de la scène de crime. Si le nettoyage tourne mal, tu peux repartir de là. Si tu as besoin de comprendre l'origine plus tard, tout est là.

Ensuite, mets le site en maintenance ou coupe-le. Un site piraté qui reste en ligne continue d'envoyer du spam, d'infecter des visiteurs et de creuser ta réputation auprès de Google. Mieux vaut une page « site en maintenance » pendant deux heures qu'un site vérolé pendant deux jours.

Change tous les accès, tout de suite

Tant que tu ne sais pas comment l'attaquant est entré, considère que tous tes mots de passe sont compromis. Change-les dans cet ordre :

• Le mot de passe de ton hébergement et du FTP/SFTP.
• Les comptes administrateurs WordPress. Vérifie surtout qu'aucun compte admin inconnu n'a été créé : c'est la porte dérobée numéro un.
• Le mot de passe de la base de données (et reporte-le dans wp-config.php).
• Les clés de sécurité (salts) dans wp-config.php, pour déconnecter toutes les sessions actives.

Si tu avais réutilisé le même mot de passe ailleurs, change-le partout aussi. Une fuite ne s'arrête jamais gentiment à un seul service.

Trouve l'origine avant de nettoyer

Nettoyer sans comprendre, c'est se faire repirater dans la semaine. Dans neuf cas sur dix, l'entrée est l'une de ces trois-là :

Une extension ou un thème pas à jour, avec une faille connue et déjà exploitée automatiquement par des robots. C'est de loin la cause la plus fréquente. Un plugin abandonné par son auteur est une bombe à retardement.

Un mot de passe faible ou fuité, forcé par un robot qui teste des milliers de combinaisons par minute sur la page de connexion.

Un hébergement mutualisé où le voisin s'est fait pirater et l'infection a traversé. Rare, mais ça arrive sur les offres bas de gamme.

Regarde la date de modification des fichiers : les fichiers modifiés récemment que tu n'as pas touchés sont suspects. Cherche aussi le code injecté classique dans les fichiers PHP, souvent une longue ligne illisible en début de fichier.

Nettoie proprement

Une fois l'origine identifiée, le nettoyage le plus fiable n'est pas de « désinfecter » un par un. C'est de repartir du propre :

• Réinstalle le cœur de WordPress depuis une version officielle et récente.
• Réinstalle les extensions et le thème depuis leurs sources officielles, jamais depuis les fichiers du site infecté.
• Supprime tout ce que tu ne reconnais pas : plugins nuls téléchargés sur des sites douteux, thèmes fantômes, fichiers orphelins.
• Inspecte la base de données, en particulier la table des utilisateurs et celle des options, où se logent souvent des scripts d'injection.

Si tu as une sauvegarde propre et datée d'avant l'infection, c'est ta meilleure option : tu restaures, puis tu mets tout à jour immédiatement pour boucher la faille d'origine. Sans faille corrigée, la restauration ne sert à rien.

Referme la porte, puis préviens Google

Le site est propre, mais il l'était aussi avant de se faire pirater. Ce qui change quelque chose, c'est ce que tu mets en place ensuite :

• Toutes les mises à jour appliquées, cœur, extensions et thème.
• La double authentification sur les comptes admin.
• Un pare-feu applicatif qui bloque les tentatives automatisées avant qu'elles n'atteignent WordPress.
• Le minimum de comptes administrateurs, avec des mots de passe uniques et longs.

Enfin, si Google avait signalé ton site comme dangereux, demande une réévaluation depuis la Search Console une fois le nettoyage terminé. Le drapeau rouge disparaît en général sous quelques jours, à condition que le site soit réellement propre.

Le vrai enseignement

Un piratage, ce n'est presque jamais de la malchance. C'est une mise à jour repoussée, une sauvegarde jamais testée, un mot de passe qui traînait. La bonne nouvelle, c'est que tout ça se prévient, et pour bien moins cher qu'une remise en état en urgence un dimanche soir.

Si tu n'es pas sûr de l'état de ton site aujourd'hui, tu peux le faire vérifier en deux minutes. On regarde les points par lesquels ces attaques passent, et on te dit lesquels te concernent avant que ça n'arrive.