Site WordPress piraté : que faire en urgence et comment nettoyer votre site

Un site WordPress piraté ne s’annonce presque jamais par un écran noir et une demande de rançon. Dans la plupart des cas, votre site continue de s’afficher normalement pendant que des pages invisibles se créent, que certains visiteurs sont redirigés ailleurs ou que votre serveur envoie du courrier indésirable en votre nom. Le temps que les premiers signaux vous parviennent, Google a souvent déjà réagi.

Cet article vous donne les gestes à poser dans l’heure, la procédure de nettoyage complète, la façon de faire lever une alerte de sécurité, puis les délais et les budgets à prévoir.

Les tarifs cités dans cet article ont été relevés en août 2026 sur les offres publiques de prestataires français spécialisés dans le nettoyage de sites WordPress. Les durées reprennent des relevés d’intervention publiés par des professionnels du secteur.

En bref

Un site peut être compromis tout en fonctionnant parfaitement. L’absence de symptôme visible ne prouve rien.

Les deux portes d’entrée réelles sont une extension non mise à jour et un mot de passe déjà connu ailleurs. Les attaques sont automatisées, elles ne visent pas votre entreprise en particulier.

Avant tout nettoyage, mettez le site en maintenance, prévenez votre hébergeur puis changez les accès dans le bon ordre.

Restaurer une sauvegarde sans connaître la date de la compromission remet en ligne un site déjà infecté.

Comptez de 2 h 30 à 5 heures de travail pour une désinfection sérieuse. Le budget se situe entre 240 et 400 € HT pour un site vitrine dont l’infection reste localisée.

Sommaire

• Comment savoir si votre site WordPress est vraiment piraté
• Les cinq gestes à faire dans l’heure et les trois erreurs à éviter
• Pourquoi votre site WordPress a été piraté
• Comment nettoyer un site WordPress piraté
• Restaurer une sauvegarde, la bonne et la mauvaise idée
• Réparer les dégâts invisibles, Google, e-mails et données
• Combien de temps et combien coûte le nettoyage
• Faire nettoyer votre site par un professionnel
• Éviter que cela recommence

Comment savoir si votre site WordPress est vraiment piraté

C’est la première question à trancher, parce qu’une panne et une compromission ne se traitent pas du tout de la même façon. Une panne se répare. Une compromission se cartographie d’abord, sous peine de nettoyer pendant des heures pour rien.

Les signes qui ne trompent pas

Votre nom de domaine redirige vers un autre site, parfois seulement depuis un téléphone ou seulement depuis les résultats de recherche.

Des pages que vous n’avez jamais écrites apparaissent dans Google, souvent en langue étrangère ou sur des thèmes de jeux d’argent, de médicaments ou de contenus pour adultes.

Votre navigateur ou celui de vos visiteurs affiche un avertissement de sécurité rouge avant d’ouvrir le site.

Un compte administrateur que vous ne reconnaissez pas figure dans la liste des utilisateurs.

Votre hébergeur vous signale une activité anormale, ou a suspendu le site de sa propre initiative.

Vos e-mails professionnels n’arrivent plus, ou tombent systématiquement dans les indésirables de vos destinataires.

Le contenu de vos pages a été modifié, en particulier les liens sortants.

Ce qui ressemble à un piratage sans en être un

Plusieurs incidents très courants produisent exactement les mêmes symptômes apparents. Vérifiez ces pistes avant de conclure.

Cela ne veut pas dire que ces situations sont bénignes. Une base de données qui gonfle anormalement peut d’ailleurs être la conséquence d’une infection qui écrit en continu.

Trois vérifications qui prennent deux minutes

Tapez site:votredomaine.fr dans Google. Cette recherche affiche uniquement les pages de votre site connues du moteur. Si des titres inconnus apparaissent, vous avez votre réponse.

Ouvrez la Search Console, rubrique Sécurité et actions manuelles. Google y consigne les problèmes de sécurité qu’il a détectés, avec parfois des exemples d’URL touchées.

Ouvrez votre site en navigation privée, depuis un téléphone en données mobiles, sans être connecté à l’administration. Beaucoup d’infections restent volontairement invisibles pour l’administrateur connecté.

La règle simple : un site qui fonctionne normalement peut être compromis depuis des mois. L’absence de symptôme visible ne prouve rien du tout.

Les cinq gestes à faire dans l’heure et les trois erreurs à éviter

L’ordre compte. Changer les mots de passe avant de couper l’accès du visiteur laisse le site diffuser du contenu frauduleux pendant que vous travaillez. Réinstaller avant d’avoir regardé fait disparaître les traces dont vous aurez besoin.

1. Mettre le site en maintenance

Cette étape protège deux choses à la fois, la sécurité de vos visiteurs et la réputation de votre nom de domaine auprès des moteurs de recherche. Trois méthodes, de la plus simple à la plus manuelle.

Depuis le tableau de bord de votre hébergement. La plupart des hébergeurs proposent un mode maintenance activable en quelques clics.

Depuis une extension de maintenance, si vous avez encore accès à l’administration de WordPress.

Par transfert de fichiers, si vous n’avez plus accès à rien. Déplacez les fichiers du site dans un sous-dossier, puis créez à la racine un fichier index.html contenant un simple message d’indisponibilité.

2. Prévenir votre hébergeur

Il voit des choses que vous ne voyez pas, notamment les journaux de connexion et le trafic sortant. Il peut aussi lancer une analyse antivirus sur l’ensemble de votre espace et vous indiquer depuis quand le comportement anormal a commencé. Cette date vaut de l’or pour la suite.

3. Changer les accès dans le bon ordre

Commencez par le plus haut niveau, sinon vous fermez une porte pendant qu’une autre reste grande ouverte.

Le compte client chez votre hébergeur.

Les accès de transfert de fichiers, FTP ou SFTP. Supprimez au passage les comptes que vous n’utilisez plus, en particulier ceux d’anciens prestataires.

Le mot de passe de la base de données.

Les comptes administrateurs de WordPress.

Les clés de sécurité de WordPress, dans le fichier wp-config.php. Ces longues chaînes de caractères servent à signer les sessions ouvertes. Les remplacer déconnecte tout le monde, y compris un intrus qui serait resté connecté.

4. Faire une copie complète de l’état infecté

Avant de supprimer quoi que ce soit, copiez les fichiers et exportez la base de données telle quelle. Cette copie ne servira jamais à remettre le site en ligne. Elle sert à comprendre ce qui s’est passé, à retrouver un contenu supprimé par erreur, puis à documenter l’incident si des données personnelles sont concernées.

5. Lister les utilisateurs et les extensions

Notez la liste exacte des comptes administrateurs et des extensions installées, avec leurs versions. Un faux compte supprimé sans avoir été noté, c’est la porte d’entrée que vous ne retrouverez plus.

Les trois erreurs qui aggravent la situation

Supprimer des fichiers au hasard. Un fichier WordPress supprimé casse le site. Un fichier malveillant supprimé sans avoir trouvé ce qui l’écrit revient tout seul.

Restaurer une sauvegarde sans en connaître la date. Si l’infection est plus ancienne que la sauvegarde, vous remettez en ligne un site déjà compromis, avec en prime la perte de vos contenus récents.

Réinstaller WordPress immédiatement. Cela remplace les fichiers du cœur, où l’infection se cache rarement, puis laisse intactes les extensions, les thèmes et la base de données, où elle se cache le plus souvent.

Pourquoi votre site WordPress a été piraté

WordPress fait tourner une très large part du web, ce qui en fait une cible rentable. Mais dans la quasi-totalité des cas, l’entrée s’est faite par l’une de ces deux voies.

Une extension ou un thème non mis à jour

Quand une faille est découverte dans une extension, elle est corrigée par une mise à jour, puis publiée dans des bases de données de vulnérabilités accessibles à tous. À partir de là, un attaquant n’a plus rien à deviner. Il lui suffit de tester si votre site utilise encore la version vulnérable.

Et cette vérification est triviale. Un simple appel à une adresse du type /wp-content/plugins/nom-de-lextension/ suffit à savoir si l’extension est présente, activée ou non. Une extension désactivée mais toujours installée reste attaquable, ce qui explique pourquoi une extension inutile doit être supprimée et pas seulement désactivée.

Un mot de passe réutilisé ou trouvé par essais successifs

Des millions de couples adresse e-mail et mot de passe circulent déjà, issus de fuites réelles chez d’autres services. Un programme les teste automatiquement sur votre page de connexion. Aucune faille technique n’est nécessaire, la porte est déjà ouverte.

La variante consiste à tester des milliers de mots de passe à la suite jusqu’à tomber sur le bon. C’est pour cette raison que limiter le nombre de tentatives de connexion est aussi efficace que d’allonger le mot de passe.

Ce n’est pas personnel

Des programmes parcourent le web en permanence à la recherche de failles connues. Votre site n’a pas été choisi, il a été repéré comme vulnérable. Cela change la façon de réagir, parce qu’il ne s’agit pas de comprendre qui vous en veut mais de refermer une porte que des milliers de sites laissent ouverte.

Ce que l’attaquant cherche à faire ensuite tient en quatre usages.

Comment nettoyer un site WordPress piraté

La procédure ci-dessous est celle d’un nettoyage sérieux. Elle demande un accès aux fichiers et à la base de données, ainsi qu’une bonne connaissance de la structure normale d’une installation WordPress, parce que tout le travail consiste à repérer ce qui n’a rien à y faire.

La procédure, étape par étape

Mettez le site en maintenance et sauvegardez l’état infecté, comme décrit plus haut.

Lancez une analyse complète, avec l’antivirus de votre hébergement et avec une extension de sécurité. Wordfence et Sucuri sont les deux références du marché. Avant d’acheter un outil, vérifiez ce que votre hébergeur inclut déjà, beaucoup proposent une détection de logiciels malveillants dans leurs offres.

Notez la date de dernière modification des fichiers suspects. Elle vous donne la fenêtre d’infection, donc la sauvegarde à privilégier plus tard.

Supprimez les fichiers étrangers à WordPress, puis nettoyez le code injecté dans les fichiers légitimes.

Remplacez le cœur de WordPress par les fichiers officiels, en conservant votre dossier de contenus et votre fichier de configuration.

Réinstallez le thème actif et les extensions depuis leurs sources officielles, dans leur dernière version. Supprimez définitivement tout ce qui ne sert plus.

Inspectez la base de données, en particulier les réglages du site et le contenu des articles, où des scripts se glissent régulièrement.

Videz tous les caches, celui de l’extension de cache, celui du serveur puis celui du réseau de diffusion si vous en utilisez un. Un cache non vidé continue d’afficher la version infectée.

Vérifiez le site en front et en administration, puis désactivez le mode maintenance.

Où le code malveillant se cache le plus souvent

Si vous avez un accès en ligne de commande

SSH est un accès à votre serveur sous forme de fenêtre où vous tapez des instructions au lieu de cliquer. Tous les hébergeurs ne le proposent pas. Si vous y avez droit, deux commandes font gagner un temps considérable.

find . -type f -mtime -5

Cette commande liste les fichiers modifiés au cours des cinq derniers jours. Un fichier du cœur de WordPress modifié la semaine dernière alors que vous n’avez rien touché constitue un signal fort.

grep -ril "eval(base64_decode" .

Celle-ci cherche dans tous les fichiers une fonction très utilisée pour masquer du code. Le principe est simple, le code malveillant est écrit en clair puis transformé en une suite illisible de caractères, cette fonction servant à le remettre en clair au moment de l’exécution. Sa présence n’est pas une preuve absolue, mais elle mérite toujours un examen.

Pourquoi une infection réapparaît après un nettoyage

Les familles de logiciels malveillants documentées par les éditeurs de sécurité ne se contentent pas d’un seul fichier. Elles installent une porte dérobée, c’est-à-dire un accès discret permettant de revenir plus tard, puis un second composant chargé de réécrire le premier s’il disparaît, parfois avec une configuration stockée dans un fichier d’apparence anodine.

C’est ce mécanisme qui explique les nettoyages qui ne tiennent pas trois jours. Le fichier visible a bien été supprimé, mais pas celui qui le recrée.

La règle simple : un fichier supprimé sans avoir identifié ce qui l’a écrit reviendra.

Restaurer une sauvegarde, la bonne et la mauvaise idée

La restauration est la solution la plus rapide, à une condition, que la sauvegarde soit antérieure à la compromission. Sans cette certitude, elle devient la plus mauvaise décision de la journée.

La difficulté est que les hébergeurs conservent des historiques courts. Chez les principaux hébergeurs français, la sauvegarde automatique couvre en général les sept derniers jours glissants. Or une infection dort souvent plusieurs semaines avant de se manifester. Autrement dit, quand vous découvrez le problème, la sauvegarde disponible est déjà infectée dans un grand nombre de cas.

La marche à suivre reste la même, quel que soit votre hébergeur.

Cherchez d’abord la date de la compromission, dans les journaux du serveur ou dans les dates de modification des fichiers suspects.

Si une sauvegarde antérieure existe, restaurez-la, puis mettez immédiatement à jour tout ce qui traîne. La faille exploitée est encore là, sinon vous serez compromis à nouveau dans les jours qui suivent.

Si aucune sauvegarde saine n’existe, ne restaurez rien et procédez au nettoyage décrit plus haut.

Dans les deux cas, mettez en place une sauvegarde externe une fois la situation rétablie. Une sauvegarde stockée uniquement chez l’hébergeur du site compromis ne vaut pas grand-chose.

Réparer les dégâts invisibles, Google, e-mails et données

Un site nettoyé n’est pas un dossier clos. Trois chantiers restent ouverts, ce sont eux qui coûtent le plus cher à une entreprise.

Faire lever l’alerte de sécurité dans la Search Console

Tant que Google considère votre site comme dangereux, l’avertissement rouge reste affiché et votre trafic ne revient pas. La procédure officielle tient en quatre temps.

Ouvrez la rubrique Sécurité et actions manuelles de la Search Console, puis lisez le détail du problème signalé ainsi que les exemples d’URL fournis.

Corrigez réellement la cause, pas seulement les pages citées en exemple. Une demande d’examen sur un site encore infecté est refusée et vous fait perdre plusieurs jours.

Pour les pages parasites déjà indexées, renvoyez un code d’erreur indiquant une suppression définitive plutôt qu’une simple page introuvable. Le signal envoyé au moteur est plus net.

Déposez la demande d’examen en décrivant les actions menées. Comptez quelques jours pour un logiciel malveillant, davantage lorsque du contenu indésirable a été indexé en masse.

Soumettez enfin un plan de site à jour, afin d’aider le moteur à réindexer vos vraies pages et à oublier les autres.

Retrouver une délivrabilité correcte pour vos e-mails

Si votre serveur a servi à envoyer du courrier indésirable, votre nom de domaine a probablement été inscrit sur des listes de blocage utilisées par les messageries du monde entier. Vos factures et vos devis n’arrivent plus, parfois pendant des semaines après le nettoyage.

Vérifiez la présence de votre domaine et de l’adresse IP de votre serveur sur les principales listes de blocage publiques.

Demandez le retrait auprès de chaque liste, une fois le nettoyage terminé. Une demande déposée trop tôt est rejetée.

Vérifiez que vos enregistrements d’authentification d’e-mail sont bien en place. Ce sont trois réglages techniques du nom de domaine qui prouvent aux messageries que vos e-mails viennent bien de vous.

N’envoyez aucune campagne pendant cette période, sous peine d’aggraver votre réputation d’expéditeur.

Fuite de données personnelles, ce que dit le RGPD

Un site avec un formulaire de contact, un espace client ou une boutique stocke des données personnelles. Une intrusion dans ce site est une violation de données au sens du règlement européen, même si vous ne pouvez pas prouver que des données ont été effectivement récupérées.

Toute violation doit être consignée dans un registre interne, sans exception.

Si elle est susceptible d’engendrer un risque pour les personnes concernées, elle doit être notifiée à la CNIL dans les 72 heures suivant sa découverte, en application de l’article 33 du RGPD.

Si le risque est élevé, les personnes concernées doivent elles aussi être informées, en application de l’article 34.

Cette partie est souvent oubliée dans la panique du nettoyage technique. Elle mérite pourtant d’être traitée le jour même, parce que le délai de 72 heures court à partir du moment où vous avez pris connaissance de l’incident.

Combien de temps et combien coûte le nettoyage d’un site piraté

Les repères ci-dessous concernent le cas le plus fréquent, un site vitrine ou une petite boutique. Un site à fort chiffre d’affaires, avec des données sensibles ou une obligation de continuité de service, ne relève plus d’un forfait de nettoyage mais d’une réponse à incident, avec analyse des journaux, chaîne de preuves et parfois dépôt de plainte. Les budgets n’ont alors plus rien à voir.

Le temps de travail réel

À cela s’ajoutent les délais qui ne dépendent pas de vous, notamment l’examen de Google et le retrait des listes de blocage d’e-mails.

Les prix constatés sur le marché

Les montants ci-dessous sont ceux que vous rencontrerez le plus souvent. Un projet particulier peut les dépasser largement, sans que cela ait quoi que ce soit d’anormal.

Trois facteurs font varier la facture. L’étendue de l’infection d’abord, parce qu’un seul fichier touché se règle en quelques minutes alors qu’une infection dispersée dans des dossiers sans lien avec WordPress demande une cartographie complète. Le délai ensuite, une intervention un dimanche soir se paie. La suite enfin, la levée de l’alerte Google et la remise en état de la messagerie sont un travail distinct du nettoyage.

Faire nettoyer votre site par un professionnel

Deux situations justifient de ne pas s’en occuper soi-même. La première, vous n’avez pas d’accès aux fichiers ni de pratique de la structure de WordPress, si bien que chaque manipulation risque d’aggraver l’état du site. La seconde, votre activité dépend du site, donc chaque journée d’indisponibilité coûte plus que l’intervention.

Ce que couvre une intervention de nettoyage

Un diagnostic, avec la nature de l’infection puis la porte d’entrée probable.

La suppression des fichiers malveillants et du code injecté, y compris hors de l’arborescence de WordPress.

La réinstallation propre du cœur, du thème et des extensions.

Le contrôle des comptes et la réinitialisation de tous les accès.

La sécurisation de base, mises à jour, suppression de l’inutile puis limitation des tentatives de connexion.

Un compte rendu écrit, qui vous sert aussi de pièce pour votre registre des violations.

Vérifiez ce dernier point avant de commander. Un nettoyage livré sans rapport écrit vous laisse sans rien à présenter, ni à votre assureur, ni à vos clients, ni à la CNIL.

Hébergeur, prestataire ou vous, qui fait quoi

Si votre site n’est pas sous WordPress

La logique de nettoyage est identique sur Joomla, PrestaShop ou Shopify. Seules les portes d’entrée diffèrent. Sur les plateformes hébergées comme Shopify, le cœur n’est pas exposé, donc l’attaque passe par les applications tierces, les thèmes modifiés ou un compte administrateur compromis. Sur PrestaShop et Joomla, les modules non mis à jour jouent exactement le même rôle que les extensions de WordPress.

Éviter que cela recommence

Un site nettoyé mais laissé en l’état sera compromis à nouveau, puisque la cause n’a pas changé. Quatre mesures couvrent la très grande majorité des cas.

Mettre à jour le cœur, le thème puis les extensions. Supprimer ce qui ne sert plus au lieu de le désactiver.

Utiliser un mot de passe unique par service, avec un gestionnaire de mots de passe, puis activer la double authentification sur les comptes administrateurs.

Limiter le nombre de tentatives de connexion, ce qui rend l’essai massif de mots de passe inopérant.

Mettre en place une sauvegarde automatique stockée ailleurs que chez l’hébergement du site, puis la tester une fois. Une sauvegarde jamais restaurée n’est pas une sauvegarde.

Ces quatre points constituent le socle d’un contrat de maintenance, la seule réponse durable au problème.

et

Un doute sur l’état de votre site ?

Un site compromis ne prévient pas toujours, les signaux arrivant souvent après Google. Si votre site redirige vos visiteurs, affiche des pages que vous n’avez pas écrites ou déclenche une alerte de sécurité, faites-le regarder avant de manipuler quoi que ce soit. Nous établissons un diagnostic sous 24 heures ouvrées, puis nous vous disons ce qu’il faut nettoyer et pourquoi.