Site WordPress piraté : que faire pour reprendre le contrôle et éviter la récidive ?

Site WordPress piraté : que faire pour reprendre le contrôle et éviter la récidive ?

Un site WordPress piraté demande trois décisions immédiates : limiter l’exposition des visiteurs, conserver une copie des fichiers, de la base et des journaux, puis reprendre les accès avec votre hébergeur. Le nettoyage vient ensuite, avec la correction de la porte d’entrée. Restaurer une sauvegarde sans traiter cette cause peut ramener le même incident.

Votre page d’accueil fonctionne, mais un client arrive sur un autre site. Un compte administrateur inconnu apparaît. Ou Google affiche un avertissement avant votre boutique. Pour une PME, la première difficulté est de savoir qui appeler et quoi arrêter sans perdre les commandes, les demandes de devis et les traces utiles à l’enquête. Voici un ordre de travail pour décider avec votre équipe technique, sans effacer à l’aveugle.

1. Confirmer les symptômes sans exposer davantage les visiteurs

Notez les adresses concernées, l’heure de découverte, les captures d’écran et les messages reçus. Précisez si le problème apparaît sur mobile, depuis un résultat Google ou uniquement pour les visiteurs non connectés. Une redirection peut être conditionnelle : ne pas la voir depuis votre compte administrateur ne suffit pas à écarter une compromission.

Un ralentissement ou une erreur technique ne prouvent pas, à eux seuls, un piratage. À l’inverse, une page d’accueil normale n’exclut pas des pages de spam ou un compte compromis. Transmettez ces observations à l’hébergeur ou au prestataire chargé de l’incident, plutôt que de multiplier les essais sur les liens suspects. Ne demandez pas à vos clients d’ouvrir une page potentiellement dangereuse pour vous aider à tester.

2. Contenir l’incident et préserver les preuves

Si le site expose les visiteurs à une redirection malveillante, à un téléchargement suspect ou à une collecte frauduleuse, faites restreindre les accès ou afficher une page d’attente propre par l’hébergeur. Une simple extension de maintenance installée dans un WordPress compromis ne garantit pas que le contenu malveillant est inaccessible.

Avant le nettoyage, demandez une copie horodatée des fichiers et de la base de données, ainsi que la conservation des journaux disponibles. Gardez-la hors de l’installation touchée, avec un accès limité. Cette copie peut être infectée : elle sert à l’analyse et au retour arrière, pas à une remise en ligne immédiate. La documentation officielle WordPress sur les sites piratés recommande de conserver un instantané avant les opérations de nettoyage.

Désignez un responsable de l’incident et un interlocuteur métier. Le premier coordonne les changements ; le second valide les fonctions indispensables, par exemple un formulaire de contact ou le parcours de commande. Cela évite qu’une restauration lancée par une personne écrase le travail d’une autre.

3. Reprendre les accès, pas seulement le mot de passe WordPress

Si vous ne pouvez plus vous connecter, utilisez un canal fiable pour contacter l’hébergeur et prouver la propriété du compte. Ne confiez pas les identifiants à une personne qui vous contacte spontanément après avoir vu le site en difficulté. Depuis un appareil de confiance, vérifiez les accès à l’hébergement, au domaine, aux emails de récupération, au transfert de fichiers et à WordPress.

Le prestataire doit examiner les comptes administrateurs, retirer les accès non autorisés, révoquer les sessions et secrets concernés, puis activer une authentification multifacteur quand elle est disponible. Les mots de passe exposés doivent être renouvelés ; leur rotation doit aussi être vérifiée après assainissement pour ne pas laisser des secrets utilisables dans l’environnement compromis. Un nouveau mot de passe administrateur ne retire pas un programme malveillant déjà présent.

4. Choisir entre nettoyage et restauration selon les données à sauver

Une sauvegarde disponible n’est pas forcément saine. Il faut connaître sa date, la comparer aux premiers indices de compromission et tester sa restauration dans un environnement isolé. Une infection découverte aujourd’hui peut avoir commencé avant la dernière sauvegarde quotidienne.

Exemple illustratif : une boutique possède une copie datant d’avant l’incident, mais a reçu des commandes depuis. Restaurer toute la base ferait perdre ces ventes. L’équipe doit donc préparer la récupération des données métier utiles, en contrôler le contenu, puis les réintégrer selon une procédure testée. Le bon choix dépend de ce qui est compromis et de ce qui peut être vérifié, pas seulement de la rapidité du bouton « restaurer ».

Le nettoyage doit examiner les fichiers, les extensions, les thèmes, les comptes et la base de données, ainsi que les règles de redirection et les tâches automatiques susceptibles de réintroduire du contenu. Remplacer des composants par des copies issues de sources officielles peut être nécessaire ; cela ne dispense pas de chercher les fichiers ajoutés ou les modifications dans la base. Un outil de détection aide à enquêter, mais son résultat seul ne prouve pas que tout l’environnement est sain.

5. Corriger la cause avant de rouvrir

Demandez ce qui a permis l’accès : composant vulnérable, identifiant volé, compte oublié ou autre site compromis sur le même hébergement, par exemple. Si les journaux ne permettent pas de conclure, le rapport doit le dire et préciser les mesures prises malgré cette incertitude.

La remise en état doit traiter les composants concernés, les versions non maintenues et les droits excessifs. Les mises à jour doivent être testées avec les fonctions métier. Les recommandations de durcissement de WordPress couvrent notamment les accès, les sauvegardes, la journalisation et la surveillance. Installer plusieurs extensions de sécurité sans responsable de suivi ne remplace pas ce travail.

6. Valider la reprise avec des preuves concrètes

• Les pages importantes fonctionnent pour un visiteur non connecté, sur mobile et ordinateur.
• Les formulaires, notifications et parcours de vente sont testés sans exposer de vraies données de paiement.
• Les comptes et accès autorisés sont inventoriés ; les accès indésirables ont été retirés.
• Les vérifications techniques et leurs limites sont consignées, avec les correctifs appliqués.
• Une sauvegarde récente et une restauration testée sont disponibles ; une personne reçoit et traite les alertes.

Si Google signale un problème de sécurité, consultez le rapport « Problèmes de sécurité » de Search Console. La demande d’examen intervient après la correction de l’ensemble des problèmes identifiés. L’affichage d’un avertissement et son retrait relèvent de Google : un prestataire peut préparer le dossier, pas garantir sa décision ni une position dans les résultats.

7. Évaluer les données personnelles et organiser le suivi

Un site piraté ne signifie pas automatiquement qu’une notification à la CNIL est requise. Il faut déterminer si des données personnelles ont subi une violation de confidentialité, d’intégrité ou de disponibilité, puis évaluer le risque pour les personnes. Selon la CNIL, une violation présentant un risque doit être notifiée dans les meilleurs délais, si possible sous 72 heures après sa constatation ; un retard doit être expliqué. Les informations peuvent être complétées ensuite. Un risque élevé peut aussi imposer d’informer les personnes concernées. Associez le responsable de traitement ou le DPO et documentez l’analyse, y compris si la notification n’est pas retenue.

Après la réouverture, attribuez explicitement la maintenance : qui met à jour, qui contrôle les sauvegardes, qui reçoit les alertes et qui intervient en cas de nouveau symptôme ? Un rapport de nettoyage sans ces responsabilités laisse l’entreprise seule au prochain incident.

Faire accompagner la remise en état par SAY Digital

Pour organiser l’intervention, préparez l’adresse du site, les symptômes, les accès encore disponibles, les sauvegardes connues et les fonctions métier prioritaires. Ne transmettez pas vos mots de passe dans un premier message. Demandez un périmètre écrit distinguant diagnostic, dépiratage, reprise des données et maintenance après intervention.

SAY Digital propose des services de maintenance, de supervision et de gestion des incidents et un hébergement Cloud. Le nettoyage ponctuel et l’hébergement récurrent sont deux prestations distinctes : leur périmètre, leur prix et le suivi applicable à votre situation doivent être confirmés avant engagement. Aucun hébergement ne supprime tous les risques.

Prendre rendez-vous avec SAY Digital pour cadrer la reprise de votre site WordPress.

Questions fréquentes

Faut-il supprimer tout le site pour repartir ?

Pas sans copie ni diagnostic. Une suppression peut détruire des données métier et les traces nécessaires à l’enquête. Une reconstruction reste possible, mais elle doit préserver les éléments utiles et traiter les accès compromis.

Restaurer une sauvegarde suffit-il ?

Seulement si son intégrité est vérifiée et si la cause de l’incident est corrigée. Sinon, vous risquez de restaurer l’infection ou de laisser la même porte d’entrée ouverte.

Peut-on promettre une absence de récidive ?

Non de façon générale. Il faut préciser le problème traité, les corrections, les conditions de suivi et les responsabilités. Une garantie limitée à une intervention ne doit pas être présentée comme une protection contre toute attaque future.

Approfondir selon votre situation

• Vos visiteurs arrivent sur un autre site : diagnostiquer une redirection WordPress malveillante.
• Google affiche un avertissement : préparer le nettoyage et la demande de réexamen.
• Le piratage revient après intervention : rechercher les causes de récidive après nettoyage.

Sources

Références consultées pour ce guide : documentation officielle WordPress « FAQ — My site was hacked » et « Hardening WordPress », aide Google Search Console « Rapport sur les problèmes de sécurité », CNIL « Notifier une violation de données personnelles ». Les liens figurent auprès des recommandations correspondantes. Ce guide aide à organiser une réponse ; il ne remplace pas le diagnostic technique de votre installation ni l’analyse juridique d’une éventuelle violation.