Votre site WordPress est piraté ? Agissez dans cet ordre : passez le site en maintenance, changez tous les mots de passe, lancez un scan de sécurité, supprimez les fichiers infectés, restaurez une sauvegarde saine, puis sécurisez durablement. Un piratage n’est pas la fin de votre site : bien traité, c’est même l’occasion de le rendre plus solide. Voici le guide de survie, étape par étape.
Comment savoir si mon site WordPress est piraté ?
Quelques signes ne trompent pas : redirections vers des sites douteux, pop-ups ou publicités que vous n’avez jamais installées, pages inconnues créées à votre insu, alerte « Ce site risque d’endommager votre ordinateur » dans Google, chute brutale de trafic, ou impossibilité de vous connecter à l’administration. Un piratage peut prendre plusieurs formes : injection de scripts malveillants, affichage de contenu indésirable, suppression de fichiers, ou vol de données de vos clients. Côté technique, un hébergeur qui suspend le compte pour envoi de spam est souvent le premier à vous prévenir. Plus vous repérez tôt ces symptômes, plus le nettoyage est simple.
Les premiers gestes d’urgence
Dans les premières minutes, quelques actions limitent les dégâts :
- Mettez le site en mode maintenance pour couper l’accès aux visiteurs et éviter qu’ils soient exposés au code malveillant.
- Changez tous les mots de passe : comptes administrateurs WordPress, accès FTP/SFTP, base de données, espace d’hébergement et comptes de messagerie associés. Utilisez des mots de passe forts et différents pour chacun.
- Prévenez votre hébergeur : il peut aider à isoler l’attaque et fournir des journaux utiles.
- Ne supprimez rien à l’aveugle : conservez une copie de l’état actuel pour l’analyse avant de nettoyer.
Nettoyer et restaurer le site
Lancez ensuite un scan complet du site et du serveur avec un plugin de sécurité reconnu comme Wordfence, Solid Security (ex-iThemes) ou SecuPress. Des scanners en ligne comme Sucuri ou MalCare complètent utilement le diagnostic pour repérer les fichiers infectés. L’objectif est de supprimer tous les fichiers vérolés et les portes dérobées (backdoors) laissées par l’attaquant. La solution la plus sûre reste souvent de restaurer une sauvegarde antérieure au piratage, puis de mettre à jour dans la foulée. Si vous n’avez pas de sauvegarde ou que l’intrusion vous dépasse, faites appel à un spécialiste : un nettoyage incomplet laisse la porte ouverte à une réinfection quelques jours plus tard.
Pourquoi les sites WordPress se font-ils pirater ?
La plupart des piratages exploitent des failles simples : mots de passe faibles, extensions ou thèmes obsolètes, version de WordPress non mise à jour, ou code d’origine douteuse. Les attaques classiques passent par des injections SQL ou du cross-site scripting (XSS) pour prendre le contrôle du site. Comprendre par où l’attaque est entrée est indispensable : sans ça, vous nettoyez les symptômes sans traiter la cause.
Comment éviter que ça recommence ?
Une fois l’urgence passée, la prévention prend le relais. Maintenez WordPress, les extensions et les thèmes à jour, imposez des mots de passe forts et l’authentification à deux facteurs, et gardez un plugin de sécurité actif. Mettez surtout en place des sauvegardes automatiques externes, par exemple avec UpdraftPlus, et vérifiez régulièrement qu’elles sont bien restaurables. Une maintenance régulière coûte bien moins cher qu’un nettoyage en urgence. Si vous préférez déléguer, mieux vaut comprendre d’abord ce qu’est une agence WordPress et ce qu’elle couvre. Des équipes spécialisées comme WeAre[WP] proposent ce type de maintenance préventive.
Pour la procédure officielle de récupération, la documentation « FAQ : mon site a été piraté » de WordPress.org reste la référence à garder sous la main.
- Entreprise
- Se faire aider pour son business plan : qui contacter en 2026
- Se salarier en tant qu’entrepreneur : quel statut choisir en 2026
- Tarif journalier d’un freelance : comment le fixer en 2026
- Tout savoir sur les fermes en maraîchage bio