Site WordPress piraté : que faire, étape par étape ?

Comment savoir si un site WordPress est piraté ?

• Les visiteurs sont redirigés vers d’autres sites, parfois seulement sur téléphone ou en venant de Google.
• Google affiche des pages que vous n’avez pas écrites, souvent dans une autre langue.
• Le navigateur ou Google affiche une alerte de sécurité.
• Des comptes administrateurs inconnus apparaissent.
• Le site devient très lent, ou envoie du courrier indésirable.
• Votre hébergeur vous prévient ou suspend le compte.

Que faire dans l’heure ?

• Ne supprimez rien au hasard : les fichiers infectés servent à comprendre l’attaque.
• Changez vos mots de passe : WordPress, hébergement, FTP, base de données, messagerie.
• Prévenez votre hébergeur, qui peut fournir les journaux d’accès.
• Gardez toutes les sauvegardes, même anciennes.
• Mettez le site en maintenance si vos visiteurs sont exposés.

Comment nettoyer le site ?

• 1. Copier l’état actuel, pour l’analyse.
• 2. Comparer les fichiers avec les versions officielles de WordPress, du thème et des extensions.
• 3. Réinstaller WordPress, le thème et les extensions depuis leurs sources officielles.
• 4. Supprimer les fichiers étrangers et les portes dérobées.
• 5. Contrôler la base de données : comptes, contenus et réglages ajoutés.
• 6. Changer à nouveau tous les accès et les clés de sécurité.
• 7. Tout mettre à jour.

Restaurer une sauvegarde saine fait gagner du temps, à condition de corriger aussitôt la faille : elle se trouve aussi dans la sauvegarde.

Comment trouver par où l’attaquant est entré ?

Les causes les plus fréquentes sont simples :

• une extension ou un thème non mis à jour, dont une faille est connue ;
• une extension abandonnée par son auteur ;
• un thème ou une extension payants téléchargés hors de leur source officielle ;
• un mot de passe faible ou réutilisé ;
• un autre site infecté sur le même hébergement.

Les journaux d’accès de l’hébergeur et les dates de modification des fichiers permettent le plus souvent de remonter à l’origine.

Comment faire retirer l’alerte de Google ?

Une fois le site entièrement propre, ouvrez le rapport « Problèmes de sécurité » de la Search Console et demandez un réexamen, en décrivant ce qui a été corrigé. C’est Google qui décide de lever l’alerte, après vérification.

Faut-il prévenir ses clients ou la CNIL ?

Si des données personnelles ont pu être consultées ou volées, par exemple les comptes clients d’une boutique, une notification à la CNIL peut être obligatoire dans les 72 heures, et les personnes concernées doivent parfois être informées. La question se regarde au cas par cas, sans attendre.

Comment éviter une récidive ?

• Des mises à jour régulières de WordPress, du thème et des extensions.
• Des mots de passe longs et uniques, et la double authentification pour les administrateurs.
• Des sauvegardes automatiques, conservées hors du serveur.
• Peu d’extensions, toutes entretenues et issues de sources officielles.
• Une surveillance : alertes de la Search Console, contrôle régulier des comptes.

Questions fréquentes

Écrit par

Dimitri Rougier

Webmaster, webdesigner, infographiste et formateur multimédia depuis 2005. Je crée des sites WordPress et des boutiques en ligne, je travaille leur référencement sur Google et dans les IA, et je forme mes clients à les faire vivre.

En savoir plus