Site WordPress piraté : que faire ?

Un site WordPress piraté se reconnaît souvent par des signes étranges : des visiteurs redirigés vers des sites de jeux ou de pharmacie, des pages en langue étrangère dans Google, un administrateur inconnu, un avertissement rouge dans le navigateur. Ce guide vous explique comment réagir dans le bon ordre, nettoyer le site et empêcher que cela recommence.

La plupart des piratages WordPress ne visent pas votre entreprise en particulier : ce sont des robots qui testent en masse des extensions vulnérables ou des mots de passe faibles.

Comment savoir si votre site WordPress est piraté ?

• Votre site redirige vers un autre site, parfois seulement sur mobile ou depuis Google.
• Google affiche « Ce site a peut-être été piraté » ou le navigateur affiche une page d'alerte rouge.
• Des pages, des articles ou des liens que vous n'avez pas créés apparaissent.
• Un compte administrateur inconnu figure dans Utilisateurs.
• Des fichiers PHP aux noms étranges apparaissent dans httpdocs, notamment dans wp-content/uploads.
• Votre boîte mail ou votre domaine envoie des e-mails que vous n'avez pas écrits.
• Vous ne pouvez plus vous connecter à l'administration.

Nettoyer votre site piraté étape par étape

1. Changez le mot de passe de votre espace client Upkyo : Mon profil, Modifier mon mot de passe.
2. Changez les mots de passe de tous les comptes administrateurs WordPress, de vos accès FTP et de votre base de données.
3. Repérez la date du piratage, puis ouvrez votre hébergement, Sauvegardes, et choisissez une sauvegarde antérieure.
4. Cliquez sur Restaurer et confirmez, voir Restaurer une sauvegarde de votre site.
5. Mettez immédiatement à jour WordPress, les thèmes et les extensions, voir Mettre à jour WordPress, les extensions et les thèmes.
6. Supprimez les extensions et thèmes inutilisés ou que vous ne reconnaissez pas.
7. Vérifiez la liste des utilisateurs WordPress et supprimez les comptes inconnus.
8. Vérifiez le site en navigation privée, depuis un ordinateur et un téléphone.

Que faire s'il n'existe pas de sauvegarde saine ?

Si le piratage est ancien ou si vous ne savez pas depuis quand il dure, le nettoyage se fait à la main :

• Réinstallez les fichiers de WordPress : téléchargez la même version sur wordpress.org et remplacez les dossiers wp-admin et wp-includes. Ne touchez pas à wp-content ni à wp-config.php à ce stade.
• Réinstallez les extensions et le thème depuis leur source officielle plutôt que de garder les fichiers existants.
• Inspectez wp-content/uploads : ce dossier ne devrait contenir que des images et documents. Un fichier .php y est presque toujours malveillant.
• Vérifiez wp-config.php et .htaccess : recherchez du code ajouté, souvent illisible (longues chaînes de caractères, eval, base64_decode).
• Vérifiez la base de données : des scripts peuvent être injectés dans les articles ou dans les options du site.

Utilisez Fichiers ou un accès FTP pour ces opérations, voir Se connecter en FTP ou SFTP. Si vous n'êtes pas à l'aise, ouvrez un ticket depuis /submitticket.php en décrivant ce que vous avez constaté.

Comment les pirates entrent-ils sur un site WordPress ?

• Une extension ou un thème pas à jour : c'est de loin la cause la plus fréquente.
• Un thème ou une extension « premium » téléchargé gratuitement sur un site non officiel : ils contiennent souvent du code caché.
• Un mot de passe faible ou réutilisé pour un compte administrateur.
• Un ancien site oublié sur le même hébergement, jamais mis à jour.
• Un ordinateur infecté qui a laissé fuir vos identifiants FTP ou WordPress.

Après le nettoyage : prévenir une récidive

• Mettez WordPress, les thèmes et les extensions à jour régulièrement depuis la partie Sécurité de votre site dans Vos sites WordPress.
• Utilisez une version de PHP récente et maintenue, voir Changer la version de PHP.
• Donnez un mot de passe long et unique à chaque administrateur, et limitez le nombre d'administrateurs.
• Ajoutez une validation en deux étapes à la connexion WordPress avec une extension reconnue.
• Créez une sauvegarde à la main avant chaque intervention importante.
• Supprimez les sites de test et les anciennes installations inutilisées.

Si Google a signalé votre site

Une fois le site nettoyé, connectez-vous à la Search Console de Google, ouvrez la rubrique consacrée aux problèmes de sécurité et demandez un réexamen. Décrivez ce que vous avez corrigé. L'avertissement disparaît lorsque Google confirme que le site est sain.

Questions fréquentes

Mon site WordPress redirige vers un autre site, que faire ?

C'est le symptôme le plus courant d'un piratage. Changez vos mots de passe, restaurez une sauvegarde antérieure à l'apparition du problème, puis mettez tout à jour pour fermer la faille.

Faut-il tout supprimer et recommencer ?

Rarement. Une sauvegarde saine suivie des mises à jour suffit dans la plupart des cas. Une réinstallation complète n'est utile que si aucune sauvegarde propre n'existe et que le nettoyage manuel échoue.

Mes données et celles de mes clients ont-elles été volées ?

Ce n'est pas toujours le cas : beaucoup de piratages servent seulement à placer des liens ou des redirections. Si votre site stocke des données personnelles (comptes clients, commandes), considérez qu'elles ont pu être consultées et renseignez-vous sur vos obligations de notification.

Comment éviter que mon site WordPress soit piraté à nouveau ?

Gardez WordPress, les thèmes et les extensions à jour, utilisez des mots de passe uniques et supprimez tout ce qui ne sert plus. La plupart des récidives viennent d'une faille restée ouverte après le premier nettoyage.

Le support Upkyo peut-il m'aider ?

Oui : ouvrez un ticket depuis /submitticket.php ou écrivez à support@upkyo.com, 24 h/24, 7 j/7. Indiquez l'adresse du site, ce que vous avez constaté et depuis quand.