Mon site WordPress piraté : que faire, étape par étape

Publié le 6 novembre 2026 · L'équipe mitza.es

Découvrir que son site a été piraté est désagréable, mais cela se règle, et la solution commence presque toujours par ne rien faire dans la précipitation. Ce guide s'adresse aux propriétaires de sites WordPress dans les petites entreprises et aux indépendants : comment reconnaître le problème, que faire dans la première heure, comment nettoyer le site sans qu'il soit de nouveau infecté et quelles obligations vous avez si des données personnelles sont en jeu. Il ne remplace pas une analyse forensique dans les cas graves, mais il met de l'ordre dans les premières étapes.

Les signes que votre site a peut-être été piraté

Des redirections étranges : en ouvrant votre site depuis votre mobile ou depuis Google, vous atterrissez ailleurs (casinos, pharmacie, arnaques). Parfois, cela n'arrive qu'aux visiteurs qui viennent d'un moteur de recherche, c'est pourquoi le propriétaire ne le voit pas.
Des pages et des textes que vous n'avez pas créés : des centaines d'URL avec des annonces de médicaments, de montres ou des textes dans une autre langue. Cherchez-les avec site:votredomaine.com sur Google.
Des alertes de Google : « Ce site a peut-être été piraté », « Site trompeur » ou un message dans la section « Problèmes de sécurité » de la Search Console.
Des administrateurs que vous ne reconnaissez pas ou des modifications d'extensions et de réglages que personne n'a faites.
Votre hébergeur suspend le compte ou vous signale une consommation anormale, des envois massifs d'e-mails ou des fichiers suspects.
Les e-mails de votre domaine finissent dans les spams ou vous recevez des rebonds de messages que vous n'avez pas envoyés.
Le site est beaucoup plus lent ou se casse après une mise à jour, sans explication claire.

Aucun signe isolé ne constitue une preuve, mais plusieurs ensemble justifient d'agir. Si vous n'êtes toujours pas sûr qu'il s'agisse d'un piratage, un audit de sécurité web permet de le confirmer ou de l'écarter.

Que faire dans la première heure

Ne supprimez pas tout et ne réinstallez pas à l'aveugle. Si vous le faites, vous perdez les indices sur la manière dont ils sont entrés et ils risquent de revenir par le même chemin.
Faites une copie du site tel qu'il est (fichiers et base de données). Même infectée, elle vous servira à enquêter ensuite.
Mettez le site en mode maintenance ou protégez-le par un mot de passe pendant que vous travaillez, pour ne pas nuire à vos visiteurs ni à votre réputation.
Changez les identifiants depuis un ordinateur sain : administrateurs WordPress, panneau de l'hébergeur, accès SFTP/FTP, base de données et e-mail associé. Fermez toutes les sessions ouvertes. Si vous avez besoin de mots de passe robustes, notre générateur de mots de passe fonctionne dans votre navigateur sans rien envoyer.
Prévenez votre hébergeur. Il peut isoler le compte, consulter les journaux du serveur et vous dire si d'autres sites du même compte sont infectés, ce qui est très fréquent.
Analysez votre ordinateur avec un antivirus à jour : dans de nombreux cas, les mots de passe sont volés sur une machine infectée, pas sur le site.

Comment diagnostiquer par où ils sont entrés

Nettoyer sans savoir par où ils sont entrés est la première cause des réinfections. Voici les vérifications qui apportent le plus d'informations :

Les versions : le cœur de WordPress, le thème et les extensions étaient-ils à jour ? De nombreuses attaques exploitent des vulnérabilités déjà corrigées. C'est ce qui se passe avec des alertes comme celle de la faille de la 7.1.4.
Les extensions et thèmes « nulled » (copies piratées de versions payantes) : ils embarquent souvent des portes dérobées d'origine. Si vous en utilisez, supprimez-les.
L'intégrité des fichiers : si vous avez un accès par terminal, WP-CLI peut comparer les fichiers du cœur et des extensions du dépôt officiel avec les originaux : wp core verify-checksums et wp plugin verify-checksums --all. Les fichiers qui ne correspondent pas ou qui sont en trop sont suspects.
Les fichiers récemment modifiés : regardez ce qui a changé ces derniers jours, surtout à la racine, dans wp-content/uploads (où il ne devrait y avoir aucun fichier PHP) et dans wp-content/mu-plugins.
Les utilisateurs et la base de données : nouveaux administrateurs, scripts injectés dans les articles et les widgets, ainsi que les adresses siteurl et home dans la table des options.
Les journaux du serveur : requêtes étranges vers des fichiers PHP précis ou accès massifs à wp-login.php et xmlrpc.php.
Les tâches planifiées : les attaquants laissent souvent des tâches WordPress ou serveur (cron) qui recréent le malware toutes les quelques heures.

Comment nettoyer le site sans qu'il soit réinfecté

Il y a deux voies. La première est la plus sûre ; la seconde, plus rapide mais plus risquée :

Restaurer une copie saine antérieure à l'infection (si vous savez quand elle a commencé) et appliquer aussitôt toutes les mises à jour. C'est la voie à privilégier. Si vous n'avez pas de sauvegardes fiables, c'est le moment de lire la règle 3-2-1 des sauvegardes.
Nettoyer à la main en réinstallant le cœur de WordPress et les extensions depuis des sources officielles, en supprimant ce que vous ne reconnaissez pas et en vérifiant wp-config.php, .htaccess et la base de données. Cela demande de l'expérience : une seule porte dérobée oubliée suffit pour qu'ils reviennent.

Quoi qu'il arrive, faites aussi ceci :

Renouvelez les clés et les salts de wp-config.php pour invalider les sessions existantes.
Supprimez les extensions et thèmes que vous n'utilisez pas et remplacez les projets abandonnés par des alternatives maintenues.
Changez de nouveau tous les mots de passe une fois le site nettoyé.
Utilisez le SFTP plutôt que le FTP et vérifiez les permissions des fichiers et des dossiers.
Vérifiez que l'hébergement n'a pas d'autres sites infectés sur le même compte.

Un conseil pratique : une extension de nettoyage peut aider à détecter, mais elle ne garantit pas que le site soit propre. Si votre activité dépend du site (boutique, réservations), mieux vaut le faire examiner par quelqu'un d'expérimenté.

Après le nettoyage : Google, clients et AEPD

Google : si la Search Console affiche « Problèmes de sécurité », une fois le problème résolu, demandez le réexamen depuis ce même écran. Supprimez les pages de spam qui auraient été créées, ou faites-les renvoyer une erreur 410. Tant que l'alerte dure, votre visibilité et vos clics peuvent chuter.
Données personnelles : si le site comportait des formulaires, des commandes, des comptes clients ou des accès à des données et qu'ils ont pu être touchés, le RGPD oblige en général à notifier la violation à l'AEPD (l'Agence espagnole de protection des données) dans les meilleurs délais et, si possible, dans un délai maximal de 72 heures après en avoir pris connaissance, sauf s'il est peu probable qu'elle engendre un risque pour les personnes. Si vous doutez que votre cas l'exige, consultez votre conseiller au plus vite. L'article sur le régime de sanctions de l'AEPD vous donne le contexte.
Clients : si des données ont été exposées ou si des e-mails frauduleux ont circulé en votre nom, prévenez-les clairement et sans jargon. Cela vous aide à préserver leur confiance.
Aide publique : l'INCIBE, l'institut national espagnol de cybersécurité, propose une assistance gratuite au 017.

Prévention : ce qui réduit vraiment le risque

Mettez à jour le cœur, les extensions et le thème avec un délai maximal pour les correctifs critiques.
Moins d'extensions, mieux maintenues. Chaque extension est une porte de plus.
Vérification en deux étapes et mots de passe uniques pour tous les administrateurs ; limitez au minimum le nombre d'utilisateurs aux droits élevés.
Sauvegardes automatiques et testées, conservées hors du serveur.
Pare-feu applicatif web et surveillance des modifications de fichiers.
Un hébergement avec isolation entre les comptes et un bon support : nous l'expliquons dans nom de domaine et hébergement : comment choisir.
Maintenance continue. Un site sans maintenance finit tôt ou tard dans l'une de ces situations. Vous trouverez le détail dans maintenance de site web : ce qu'elle comprend et combien elle coûte.

Questions fréquentes

Pourquoi mon site est-il de nouveau infecté après le nettoyage ?

Presque toujours pour l'une de ces raisons : une porte dérobée non détectée est restée en place, les mots de passe n'ont pas été changés, l'extension ou le thème vulnérable est toujours installé, ou un autre site infecté sur le même compte d'hébergement réinfecte le premier.

Google peut-il pénaliser mon site parce qu'il a été piraté ?

Ce n'est pas une amende, mais Google peut afficher des avertissements aux utilisateurs ou retirer des pages de ses résultats tant que le problème n'est pas résolu. C'est pourquoi il faut bien nettoyer et demander le réexamen.

Une extension de sécurité suffit-elle pour le nettoyer ?

Elle aide à détecter les fichiers modifiés et à bloquer les attaques, mais elle ne remplace pas l'analyse de la manière dont ils sont entrés. Utilisez-la comme appui, pas comme unique solution.

Quand vaut-il mieux faire appel à un professionnel ?

Quand vous détenez des données de clients ou une boutique avec paiements, si l'infection revient, si l'hébergeur a suspendu le compte ou si vous ne savez pas par où ils sont entrés. Plus on agit tôt, moins les dégâts sont importants.

Comment Mitza peut vous aider

Nous diagnostiquons l'origine, nous nettoyons et renforçons l'installation, puis nous la maintenons à jour avec notre service de maintenance de site web. Si vous avez besoin de commencer par un examen, il y a l'audit de sécurité web, ou vous pouvez nous exposer votre cas depuis la page de contact.

Mon site WordPress est piraté : que faire, comment le nettoyer et comment éviter que cela se reproduise