Site WordPress piraté : que faire dans la première heure

La checklist minute par minute après le piratage d'un site WordPress : constater, garder les preuves, contenir, fermer les accès, notifier.

Points clés

  • Ne supprimez et ne restaurez rien tout de suite. Notez d'abord ce que vous constatez, faites une copie complète du site infecté et demandez les journaux à votre hébergeur. Les preuves disparaissent vite.
  • Contenez avant de nettoyer : restreignez l'accès au site, ou coupez-le s'il vole des données, diffuse un logiciel malveillant ou encaisse des paiements.
  • Changez tous les accès depuis un appareil sain : panneau d'hébergement, SFTP/SSH, base de données, chaque administrateur WordPress, et les clés de sécurité de wp-config.php pour déconnecter tout le monde.
  • Si des données personnelles ont pu fuiter, le délai de 72 heures du RGPD pour notifier la CNIL court à partir du moment où vous en avez connaissance.
  • Le nettoyage vient après la première heure. Les extensions concentraient 91 % des 11 334 nouvelles vulnérabilités WordPress de 2025, et le délai médian pondéré avant la première exploitation était de 5 heures (Patchstack).

Votre site est-il hors service, redirige-t-il vos visiteurs ou laisse-t-il fuiter des données en ce moment ? Appelez-nous au 06 42 45 95 16 ou écrivez à info@fnb-solutions.com, puis suivez la checklist ci-dessous en attendant. Tout ce qu'elle contient peut être fait sans risque avant l'intervention d'un spécialiste, et préserve les éléments dont il aura besoin.

Un site piraté donne envie de réparer tout de suite : restaurer la sauvegarde de la veille, supprimer les fichiers suspects, réinstaller les extensions. Dans la première heure, ces réflexes font plus de mal que de bien. Ils effacent les traces qui montrent comment l'attaquant est entré, et laissent souvent la porte dérobée en place. Cette checklist s'adresse aux responsables de site, techniciens ou non. Elle suit l'ordre recommandé par la documentation officielle de WordPress pour les sites piratés : garder son calme, documenter, puis verrouiller.

Minutes 0 à 10 : constater et tout noter

Commencez par noter ce qui vous fait penser que le site est piraté. La documentation de WordPress parle d'indicateurs de compromission. Les plus courants :

  • un avertissement du navigateur ou de Google indiquant que le site est dangereux ;
  • des visiteurs redirigés vers un autre site, souvent seulement sur mobile ou en arrivant depuis Google ;
  • des pages dans les résultats de Google que vous n'avez jamais écrites (pharmacie, casino, pages en japonais) ;
  • de nouveaux comptes administrateurs, ou des modifications que personne chez vous n'a faites ;
  • un hébergeur qui suspend le site ou signale l'envoi de spam ;
  • une page d'accueil défigurée.

Notez ce que vous voyez, quand vous l'avez remarqué (avec le fuseau horaire), et ce qui a changé récemment : une nouvelle extension, une mise à jour, un nouvel utilisateur, les accès d'un ancien prestataire. Faites des captures d'écran. C'est le début de votre rapport d'incident, et il fera gagner des heures ensuite.

Une précaution : si vous soupçonnez votre propre ordinateur, vérifiez depuis un autre appareil. Le vol de mots de passe est une porte d'entrée fréquente, et un poste infecté peut voler les nouveaux pendant que vous les tapez.

Minutes 10 à 20 : conserver les preuves

Avant de toucher à quoi que ce soit, gardez une copie du site tel qu'il est, infection comprise :

  1. Téléchargez une copie complète des fichiers et un export de la base de données. La plupart des panneaux d'hébergement savent faire les deux. Étiquetez-la clairement comme infectée et conservez-la hors du serveur.
  2. Demandez les journaux à votre hébergeur (journaux d'accès du serveur web, et journaux de connexion FTP ou au panneau s'ils existent). Ils sont souvent effacés au bout de quelques jours. Sans eux, il est généralement impossible de prouver par où l'attaquant est passé.
  3. Notez les versions de WordPress, du thème et de chaque extension, depuis le tableau de bord si vous y avez encore accès.

Cette copie vous protège aussi si le nettoyage tourne mal : la documentation de WordPress recommande un dernier instantané, même d'un site infecté, avant tout nettoyage.

Minutes 20 à 35 : contenir les dégâts

L'objectif est d'arrêter le préjudice pour vos visiteurs et votre activité, sans rien détruire :

  • Si le site vole des données, diffuse un logiciel malveillant ou encaisse des paiements, mettez-le hors ligne ou remplacez-le par une page de maintenance servie par l'hébergeur. Un site e-commerce doit au minimum désactiver le paiement.
  • Sinon, restreignez l'accès à wp-admin (par adresse IP, via l'hébergeur ou une règle serveur) pour que l'attaquant ne puisse plus utiliser le tableau de bord pendant que vous travaillez.
  • Prévenez votre hébergeur. En hébergement mutualisé, l'infection peut toucher d'autres sites, et l'hébergeur a peut-être déjà agi, voire suspendu le compte.
  • Ne restaurez pas encore de sauvegarde. Vous ne savez pas quand l'infection a commencé : la sauvegarde peut être infectée elle aussi, et la restauration écrase les preuves.

Minutes 35 à 50 : fermer tous les accès

Faites-le depuis un appareil sain, et changez chaque point d'accès, pas seulement votre mot de passe WordPress :

AccèsQue faire
Compte et panneau d'hébergementNouveau mot de passe, double authentification, vérification des utilisateurs et contacts autorisés
SFTP / SSHNouveaux mots de passe, suppression des clés inconnues, fermeture du FTP non chiffré s'il est encore ouvert
Base de donnéesNouveau mot de passe pour l'utilisateur de la base, puis mise à jour de wp-config.php
Administrateurs WordPressRéinitialisation de tous les mots de passe administrateur. Listez les comptes inconnus et rétrogradez-les plutôt que de les supprimer, pour garder la trace
Clés de sécurité WordPressGénérez de nouvelles clés secrètes et remplacez-les dans wp-config.php : toutes les sessions sont fermées, y compris celle de l'attaquant
Messageries des administrateursLes liens de réinitialisation y arrivent : sécurisez-les aussi
Search Console et outils d'audienceCherchez les propriétaires ou utilisateurs inconnus. Les attaquants s'y ajoutent pour soumettre des sitemaps de spam

Changez ces mots de passe une seconde fois une fois le site nettoyé. La documentation de WordPress y insiste : des mots de passe définis pendant une infection active peuvent déjà être compromis.

Minutes 50 à 60 : vérifier vos obligations, décider qui nettoie

Données personnelles. Si des comptes clients, des formulaires ou des commandes ont pu être exposés, vous êtes probablement face à une violation de données personnelles. Selon l'article 33 du RGPD, le responsable de traitement doit la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, dès lors qu'elle présente un risque pour les personnes. La notification se fait sur le téléservice de la CNIL, qui accepte une notification initiale complétée ensuite. Si le risque est élevé, les personnes concernées doivent aussi être informées (article 34).

Paiements. Si le site encaisse des paiements par carte, prévenez votre prestataire de paiement.

Assurance. Si vous avez une assurance cyber ou multirisque professionnelle, relisez dès maintenant sa clause de déclaration. Beaucoup imposent de déclarer l'incident rapidement et de passer par des prestataires agréés.

Aide et signalement. Cybermalveillance.gouv.fr aide les victimes à qualifier la situation et à trouver de l'assistance, et 17Cyber, proposé avec la police et la gendarmerie, accompagne les victimes jusqu'au signalement et à la plainte.

Qui nettoie. Si vous avez les compétences et le temps, le nettoyage peut commencer. Sinon, c'est le moment de faire appel à quelqu'un, avec les éléments que vous avez conservés.

Ce qu'il ne faut pas faire dans la première heure

RéflexePourquoi il se retourne contre vous
Restaurer tout de suite la sauvegarde de la veilleL'infection peut être plus ancienne, et vous perdez la trace de l'entrée
Supprimer les pages de spam ou les fichiers suspects visiblesLes attaquants laissent plusieurs portes dérobées ; supprimer la partie visible les invite à revenir
Faire confiance à une seule extension de nettoyageLes scanners aident, mais aucun ne trouve tout, surtout dans la base de données
Réinstaller les extensions depuis le tableau de bordLa documentation de WordPress recommande de remplacer les fichiers par SFTP : la réinstallation depuis le tableau de bord écrase les fichiers mais ne supprime pas ceux que l'attaquant a ajoutés
Communiquer publiquement avant de savoir ce qui s'est passéVous risquez de devoir vous corriger ; prévenez d'abord les personnes directement concernées

Après la première heure : le nettoyage

Le nettoyage est un travail à part entière, et c'est là que se trouve l'essentiel de l'effort : retrouver tous les mécanismes de persistance (fichiers .htaccess modifiés, fausses extensions dans mu-plugins, code injecté dans les fichiers du thème, utilisateurs illégitimes, tâches planifiées enregistrées en base), remplacer le cœur de WordPress, le thème et les extensions par des copies saines, vérifier les fichiers du cœur avec les sommes de contrôle officielles (wp core verify-checksums), nettoyer la base, fermer la porte d'entrée, et seulement ensuite demander à Google de réexaminer le site depuis le rapport sur les problèmes de sécurité. Google recommande une seule demande, une fois tout corrigé : des demandes répétées peuvent allonger l'examen.

Notre enquête sur une infection de spam SEO sous WordPress détaille un nettoyage réel et les mécanismes de persistance qui font échouer les réparations rapides. Pour la sécurisation ensuite, le guide de durcissement de WordPress fait référence.

Pourquoi c'est arrivé, et pourquoi ça recommencera sans mises à jour

La plupart des piratages WordPress ne viennent pas de WordPress lui-même. Dans le rapport de Patchstack sur 2025, 91 % des 11 334 nouvelles vulnérabilités de l'écosystème WordPress concernaient des extensions et 9 % des thèmes, contre six seulement dans le cœur. 46 % n'avaient aucun correctif disponible au moment de leur publication, et le délai médian pondéré avant la première exploitation était de 5 heures (Patchstack, State of WordPress Security in 2026).

Cinq heures : mettre à jour « quand on aura le temps » n'est pas une politique de sécurité. Moins d'extensions, des licences actives pour les thèmes et extensions premium, des mises à jour automatiques quand c'est possible et un contrat de maintenance qui couvre la sécurité, voilà ce qui garde propre un site nettoyé.

Questions fréquentes

Faut-il mettre le site hors ligne ? Oui s'il vole des données, diffuse un logiciel malveillant, redirige les visiteurs ou encaisse des paiements. Sinon, restreindre l'accès au tableau de bord suffit généralement pendant l'analyse. Dans tous les cas, gardez les fichiers et la base intacts.

Puis-je simplement restaurer la sauvegarde d'hier ? Pas avant de savoir quand l'infection a commencé et comment l'attaquant est entré. Une restauration peut ramener une copie infectée, et si la porte d'entrée reste ouverte, le site est réinfecté en quelques jours.

Dois-je prévenir mes clients ? Si leurs données personnelles ont pu être exposées et que le risque pour eux est élevé, oui, en application de l'article 34 du RGPD. Dès que des données personnelles sont en jeu, évaluez s'il faut notifier la CNIL dans les 72 heures.

Combien de temps prend un nettoyage ? Cela dépend de la profondeur de l'infection et du nombre de portes dérobées. Un nettoyage sérieux se compte en jours, pas en heures, et le référencement met plusieurs semaines à se rétablir une fois les pages de spam supprimées.

FNB Solutions intervient sur les sites et applications web compromis : confinement, nettoyage, cause racine, sécurisation, puis surveillance. Voir notre offre de sécurité et réponse aux incidents, ou contactez-nous maintenant.

Sources

Tous les articles →