Redirections vers un site inconnu, pages que vous n’avez jamais écrites, alerte de Google, courriels qui partent sans vous : si vous lisez cette page, quelque chose cloche. Voici comment confirmer qu’un site WordPress est piraté, quoi faire dans l’heure, et comment se déroule une remise en état.
Les signes qu’un WordPress est compromis
- Le site redirige vers un autre site — souvent uniquement depuis Google ou depuis un téléphone, jamais quand vous tapez l’adresse directement. C’est volontaire : l’attaquant veut que le propriétaire ne voie rien.
- Google affiche un avertissement « Ce site est peut-être piraté » ou « Site trompeur » dans ses résultats.
- Des pages inconnues apparaissent à votre nom dans les résultats de recherche : médicaments, jeux d’argent, contrefaçons.
- Un compte administrateur que vous ne reconnaissez pas figure dans la liste des comptes.
- Vos courriels n’arrivent plus, ou l’hébergeur signale des envois en masse depuis votre compte.
- Des fichiers récents apparaissent dans
wp-content/uploads/, un dossier qui ne devrait contenir que des médias. - Le site ralentit sans raison, ou la consommation du serveur augmente alors que votre trafic n’a pas bougé.
Un seul de ces signes justifie une vérification. Plusieurs ensemble ne laissent guère de place au doute.
Ce qu’il faut faire tout de suite
- Changer le mot de passe de l’hébergement, puis ceux des comptes administrateurs. Commencez par l’hébergement : c’est l’étage au-dessus de WordPress.
- Déconnecter toutes les sessions ouvertes depuis votre profil WordPress, pour couper un accès encore actif.
- Faire une sauvegarde complète, fichiers et base de données. Elle est infectée, c’est normal : elle sert de preuve et de point de retour.
- Noter la date du premier symptôme. Elle délimite la fenêtre à examiner dans les journaux du serveur.
- Prévenir l’hébergeur si des courriels partent de votre compte : il peut couper l’envoi avant que le domaine ne soit blacklisté.
Et ce qu’il ne faut surtout pas faire
- Restaurer une sauvegarde au hasard. Si elle date d’après l’intrusion, vous restaurez l’intrusion — et vous effacez les traces qui permettaient de trouver la porte d’entrée.
- Supprimer les fichiers suspects et s’arrêter là. Tant que la faille d’origine est ouverte, ils reviennent, parfois dans l’heure.
- Installer trois extensions de sécurité dans l’urgence. Elles se gênent, ralentissent le site et masquent les symptômes sans traiter la cause.
- Tout effacer pour « repartir propre » sans savoir par où c’est entré : la même porte sera là sur le site suivant.
Mettre à jour n’est pas nettoyer
C’est le malentendu le plus coûteux, et il mérite d’être dit clairement : une mise à jour ferme la porte, elle ne fait pas sortir celui qui est déjà entré.
Mettre à jour l’extension vulnérable corrige la faille qui a servi à entrer. Mais le compte administrateur créé entre-temps, le fichier déposé dans les médias, la tâche planifiée qui recrée un accès à heure fixe : tout cela survit à la mise à jour. C’est pour ça qu’un site « mis à jour » se retrouve réinfecté le lendemain, et que son propriétaire croit à une nouvelle attaque alors que la première n’a jamais cessé.
Les deux sont nécessaires, dans cet ordre : nettoyer, puis fermer. Faire l’un sans l’autre ne sert à rien.
Comment se déroule un diagnostic
Un diagnostic sérieux commence en lecture seule : on constate avant de toucher. Concrètement, on compare les fichiers du cœur, des extensions et du thème à leurs versions officielles — tout ce qui a été modifié ou ajouté ressort immédiatement. On relève les comptes et leurs droits, les tâches planifiées, les fichiers apparus hors de leur place, les traces dans les journaux du serveur, et la configuration du site comme celle de l’hébergement.
Ce travail répond à trois questions : qu’est-ce qui est touché, par où est-ce entré, et depuis quand. Sans la deuxième, aucun nettoyage ne tient.
Chez DevWebShop, aucun test n’est lancé avant la signature du mandat d’audit : c’est lui qui autorise l’intervention sur votre site.
Nettoyage et sécurisation
Le nettoyage suit le rapport, dans l’ordre qu’il établit : retrait du code ajouté, suppression des comptes illégitimes, remise en état des fichiers modifiés, nettoyage de la base de données si elle est touchée. Puis la fermeture : mises à jour du cœur, des extensions, du thème et de la version de PHP, suppression de ce qui n’est pas utilisé, et renouvellement de tous les secrets — mots de passe et clés de salage, qui invalident d’un coup les sessions encore ouvertes.
La méthode complète, étape par étape, est détaillée sur la page supprimer un malware WordPress.
Les vérifications après correction
Un site déclaré propre doit le rester quelques jours : c’est le délai au bout duquel une porte oubliée se manifeste. Ce qu’on contrôle dans cette fenêtre :
- aucun nouveau fichier n’apparaît hors des emplacements normaux ;
- aucun compte ne se recrée ;
- les résultats Google ne montrent plus de pages étrangères ;
- les redirections ont disparu, y compris depuis un téléphone ;
- les courriels repartent normalement.
Si Google avait affiché un avertissement, c’est seulement à ce moment qu’on lui demande un nouvel examen, depuis la Search Console. Demander trop tôt fait perdre des jours.
Éviter que ça recommence
Dans la grande majorité des cas, l’entrée n’a rien de spectaculaire : une extension ou un thème non mis à jour pour lequel une faille est publique depuis des semaines, un mot de passe réutilisé ailleurs et récupéré dans une fuite sans rapport, une extension installée depuis une source douteuse, ou une version de PHP qui ne reçoit plus de correctifs.
D’où quatre habitudes qui évitent la quasi-totalité des compromissions : mettre à jour sans attendre, supprimer ce qui ne sert pas — une extension désactivée reste un fichier exécutable —, un mot de passe unique par service avec double authentification sur l’administration, et des sauvegardes que l’on a déjà restaurées au moins une fois.
Pour savoir quelles failles touchent réellement les sites WordPress en ce moment, je les documente dans Report Backdoor : ce qui est concerné, le risque réel, les versions corrigées et la vérification à faire.