WordPress piraté : que faire ?

Vous venez de découvrir que votre site WordPress est piraté : des pages que vous n’avez jamais écrites, une redirection vers un casino, ou l’avertissement rouge de Google. Première chose à savoir : c’est presque toujours réparable, et votre vrai contenu n’est pas perdu. Ce guide vous donne la marche à suivre dans l’ordre, du premier réflexe jusqu’à la sécurisation finale.

Les premiers réflexes (et les erreurs à éviter)

Avant de toucher à quoi que ce soit, gardez votre calme et résistez à deux tentations.

Ne supprimez pas tout votre site. La panique pousse à vouloir « repartir de zéro ». Vous perdriez votre contenu légitime et votre référencement, alors que le nettoyage chirurgical est largement suffisant dans la majorité des cas.

Ne vous contentez pas de supprimer les pages spam visibles. Les faux articles casino ne sont que la partie émergée. Le vrai problème, c’est le code injecté et les portes dérobées (backdoors) qui permettent au pirate de tout réinjecter quelques heures plus tard. Si vous nettoyez la surface sans fermer la porte, l’infection revient.

Ce que vous pouvez faire tout de suite, en revanche :

• Changer le mot de passe de votre hébergement et de votre compte FTP/SFTP. C’est souvent par là que le pirate est entré ou se maintient.
• Mettre le site en maintenance si vous le pouvez, le temps d’intervenir, pour ne pas exposer vos visiteurs à des redirections malveillantes.
• Noter ce que vous observez (pages étranges, redirections, dates des fichiers modifiés). Ça aidera à comprendre l’ampleur de l’infection.

Identifier le type de piratage

Tous les piratages WordPress ne se ressemblent pas. Le symptôme que vous observez en dit long sur ce qui se passe sous le capot, et donc sur la façon de nettoyer.

Ce que vous voyez	Type de piratage	Où creuser
Des articles ou pages casino / paris indexés sous votre nom	Spam SEO (injection de contenu)	Supprimer les articles spam casino
Depuis Google, votre site renvoie vers un casino	Redirection / cloaking	WordPress qui redirige vers un casino
« Ce site risque d’endommager votre ordinateur » dans Google	Blacklist Safe Browsing	Enlever l’avertissement Google
Un compte administrateur que vous n’avez pas créé	Accès maintenu par le pirate	Voir la section nettoyage des comptes ci-dessous

Pas sûr d’être réellement piraté ? Commencez par reconnaître les 10 signes d’un WordPress piraté, ça vous évitera de nettoyer un site sain.

Les malwares WordPress les plus courants

Derrière ces symptômes se cachent souvent des familles de malware bien identifiées. Si vous avez repéré un nom de fichier ou d’option précis, nos fiches détaillent chacune où il se cache, comment le supprimer et comment il revient :

• wp-vcd — le malware des thèmes « nulled », qui s’auto-réplique dans wp-includes et les thèmes.
• lock360.php — un fichier backdoor déposé pour garder un accès permanent au site.
• webshells WSO, FilesMan, c99 — un fichier PHP qui donne au pirate le contrôle du serveur depuis le navigateur.
• Vitrina Site Connector / SEO Client — un injecteur cloaké en mu-plugins qui redirige vers un casino.
• Sky Login redirect — un faux plugin qui détourne vos visiteurs.
• options sc_, wp_custom_ — du spam qui persiste directement dans la base de données.

Sauvegarder avant de toucher à quoi que ce soit

Même un site infecté doit être sauvegardé avant nettoyage. Pour deux raisons : si une manipulation casse l’affichage, vous pourrez revenir en arrière ; et la copie infectée garde une trace du code malveillant, utile pour comprendre comment le pirate est entré.

Sauvegardez les fichiers (via FTP/SFTP ou le gestionnaire de fichiers de l’hébergeur) et la base de données (export SQL depuis phpMyAdmin). Rangez cette copie de côté, hors du serveur, et ne la remettez jamais en ligne telle quelle.

Nettoyer le site, étape par étape

Le nettoyage suit toujours le même ordre. L’objectif : remplacer tout ce qui peut l’être par des versions saines, puis traquer ce qui reste.

1. Réinstaller le cœur de WordPress

Les fichiers de wp-admin et wp-includes, ainsi que les fichiers de la racine (sauf wp-config.php et votre dossier wp-content), doivent être remplacés par une copie neuve, à la même version que la vôtre. En ligne de commande : wp core download --force. Sans accès SSH, supprimez ces dossiers en FTP et réuploadez-les depuis une archive officielle de wordpress.org.

2. Repartir des plugins et thèmes officiels

Supprimez le contenu de wp-content/plugins et réinstallez chaque extension dont vous avez besoin depuis le répertoire officiel. Même logique pour le thème actif. C’est radical, mais c’est ce qui élimine le code injecté dans les extensions, l’une des cachettes préférées des pirates. Profitez-en pour supprimer définitivement les plugins et thèmes inactifs : un thème par défaut désactivé mais infecté reste une porte d’entrée.

3. Nettoyer la base de données

Le spam et les redirections se logent souvent dans la base. Inspectez en particulier :

• wp_users et wp_usermeta : supprimez tout compte administrateur inconnu, et vérifiez qu’aucun abonné n’a été promu admin.
• wp_posts : repérez les articles et pages que vous n’avez pas écrits, ainsi que les <script> et <iframe> injectés.
• wp_options : c’est ici que se cachent souvent les scripts de redirection (champs siteurl, home, et des options aux noms aléatoires).

4. Inspecter .htaccess et le dossier uploads

Le fichier .htaccess à la racine est un grand classique pour les redirections : si vous y trouvez des règles RewriteRule qui renvoient vers un domaine inconnu, c’est là que ça se joue. Quant à wp-content/uploads, il ne devrait contenir que des médias. Un fichier .php qui s’y trouve est presque toujours une backdoor. Pour aller plus loin : trouver et supprimer une backdoor WordPress.

5. Régénérer les accès

Changez tous les mots de passe : administrateurs WordPress, base de données (dans wp-config.php), FTP/SFTP et hébergement. Régénérez aussi les clés de sécurité (salts) de wp-config.php pour déconnecter toutes les sessions encore ouvertes, y compris celles du pirate.

Nettoyer un WordPress piraté : la checklist

Pour ne rien laisser passer, voici les mêmes étapes sous forme de liste à cocher. Imprimez-la ou gardez-la ouverte pendant l’intervention :

1. Sauvegarder les fichiers et la base de données (copie mise de côté, jamais restaurée telle quelle).
2. Changer les mots de passe hébergement et FTP/SFTP avant de commencer, pour couper l’accès du pirate pendant que vous travaillez.
3. Réinstaller le cœur : wp-admin, wp-includes et les fichiers racine remplacés par une copie officielle (wp core download --force).
4. Réinstaller plugins et thèmes depuis les dépôts officiels ; supprimer définitivement tout ce qui est inactif.
5. Purger la base : comptes admin inconnus, articles spam, options suspectes dans wp_options, siteurl et home vérifiés.
6. Inspecter .htaccess à la racine et dans uploads, et traquer tout fichier .php dans wp-content/uploads.
7. Vérifier mu-plugins : ce dossier s’exécute automatiquement, sans activation — un fichier que vous n’avez pas mis là est suspect par défaut.
8. Régénérer les accès : mots de passe WordPress et base de données, clés de salage dans wp-config.php.
9. Mettre à jour cœur, plugins, thèmes et version de PHP — un cœur obsolète avec une faille connue se fait réinfecter sans même qu’un fichier soit déposé.
10. Contrôler : site:votre-domaine.fr dans Google, rapport Problèmes de sécurité de la Search Console, dates de modification des fichiers.
11. Demander le réexamen dans la Search Console si Google affiche un avertissement.
12. Surveiller pendant une à deux semaines : si un fichier ou une page spam réapparaît, la porte d’entrée n’est pas fermée.

Chaque case doit être cochée. L’erreur la plus fréquente que nous constatons sur les sites « déjà nettoyés » qui reviennent nous voir : les étapes 7, 9 et 12 ont été sautées.

Ce qu’on trouve réellement dans les sites piratés

La théorie, c’est bien ; voici ce que nos nettoyages récents ont concrètement mis au jour. Ces exemples vous donnent des choses précises à chercher sur votre propre site.

Des backdoors déguisées en images. Un fichier nommé logo.php_.jpg ou image.php.png dans uploads ressemble à une image mal renommée. C’est en réalité un shell PHP : sur certaines configurations serveur, la double extension suffit à le faire exécuter. Ne jugez jamais un fichier sur sa dernière extension — regardez le nom complet, et méfiez-vous de tout ce qui contient .php quelque part dans le nom.

Un faux plugin qui fabrique des administrateurs. Une famille de malwares se présente comme un plugin d’apparence légitime — nous l’avons croisée sous le nom « WP Compatibility Patch ». Il recrée des comptes administrateurs cachés à intervalle régulier et les masque dans l’interface : la page Utilisateurs de wp-admin affiche deux comptes alors que la base en contient dix. C’est pour ça que la vérification des admins doit se faire dans wp_users via phpMyAdmin, pas depuis le tableau de bord.

Des injecteurs cloakés dans mu-plugins. Ce dossier (wp-content/mu-plugins) est le préféré des pirates : tout ce qui s’y trouve s’exécute automatiquement, sans apparaître dans la liste des extensions à activer. Nous y avons trouvé des injecteurs qui ne redirigent que les visiteurs venant de Google — vous, en tapant l’adresse directement, voyez un site parfaitement normal. Testez votre site en cliquant sur un résultat Google, pas seulement en accédant à l’URL.

Un .htaccess piégé. Le grand classique ressemble à ceci :

RewriteCond %{HTTP_REFERER} google|bing|yahoo [NC]
RewriteRule ^(.*)$ http://domaine-inconnu.com/ [R=301,L]

Seuls les visiteurs venant d’un moteur de recherche sont redirigés — encore du cloaking. Il peut aussi y avoir des .htaccess supplémentaires disséminés dans les sous-dossiers. Le détail complet est ici : nettoyer un .htaccess piraté.

Du spam qui revient sans aucun fichier. Cas vicieux : un site nettoyé de fond en comble, aucun fichier suspect, et pourtant les articles casino réapparaissent chaque nuit. Le coupable était un cœur WordPress obsolète avec une faille connue, exploitée à distance pour écrire directement dans la base — sans jamais déposer de fichier. Les logs du serveur montraient les requêtes d’attaque. Moralité : le nettoyage sans mise à jour du cœur ne tient pas, et les logs (access.log, journaux PHP de l’hébergeur) valent la peine d’être lus avant de conclure que tout est propre.

Vérifier que le site est vraiment propre

Un site « qui s’affiche normalement » n’est pas forcément un site propre. Beaucoup d’infections sont invisibles pour le visiteur et ne se montrent qu’à Google. Pour vérifier sérieusement :

• Tapez site:votre-domaine.fr dans Google et parcourez les résultats : des pages spam encore indexées trahissent une infection résiduelle.
• Consultez le rapport Problèmes de sécurité dans la Google Search Console.
• Passez le site dans un scanner de malware en ligne et vérifiez les dates de modification des fichiers : un fichier core modifié récemment alors que vous n’avez rien touché doit vous alerter.

Enlever l’avertissement de Google

Si Google a affiché « Ce site risque d’endommager votre ordinateur » ou « Ce site a peut-être été piraté », le nettoyage technique ne suffit pas à le faire disparaître. Une fois le site assaini, vous devez demander un réexamen depuis la Search Console. Google lève généralement l’alerte sous 24 à 72 heures. La marche à suivre détaillée est ici : enlever l’avertissement de site piraté.

Sécuriser pour ne pas recommencer

Un site nettoyé mais pas durci se fait souvent repirater dans les semaines qui suivent, par la même faille. La sécurisation n’est pas une option, c’est la dernière étape du nettoyage : mises à jour, masquage de la page de connexion, limitation des tentatives, droits de fichiers corrects. La checklist complète : sécuriser WordPress après un piratage.

Le faire soi-même ou déléguer ?

Si vous êtes à l’aise avec le FTP, phpMyAdmin et la ligne de commande, ce guide vous permet de vous en sortir. Comptez deux à quatre heures pour un site de taille standard, et un peu de méthode pour ne pas laisser passer une backdoor.

Si vous n’êtes pas technique, ou si le site est important pour votre activité et que chaque heure d’indisponibilité compte, déléguer a du sens. C’est exactement ce que fait WP-Detox : on retire le piratage, on récupère votre contenu et on sécurise le site en une trentaine de minutes, pour 149 € HT, avec sauvegarde préalable et remboursement si on n’y arrive pas. Le scan, lui, est gratuit : il vous montre déjà ce qui est détecté.

Questions fréquentes

Vais-je perdre mon contenu ? Non, si le nettoyage est fait proprement. On retire uniquement ce qui est malveillant ; vos articles, pages et réglages légitimes restent en place.

Combien de temps pour réparer ? De deux à quatre heures en autonomie pour un site standard. Une intervention spécialisée tourne plutôt autour de 30 minutes une fois les accès reçus.

Mon site peut-il être repiraté juste après ? Oui, si la faille d’entrée n’est pas fermée. C’est pour ça que la sécurisation fait partie intégrante du nettoyage, pas d’une étape « plus tard ».

Comment récupérer un site WordPress piraté sans sauvegarde ? C’est possible dans la plupart des cas. On réinstalle le cœur, les plugins et les thèmes depuis des sources officielles, on nettoie la base et on conserve le contenu légitime là où il se trouve encore. En dernier recours, une version en cache (Wayback Machine, cache Google) permet souvent de restaurer les pages perdues.

Comment les pirates sont-ils entrés ? Presque toujours par un plugin ou un thème vulnérable non mis à jour, ou par des identifiants volés (admin ou FTP). Plus rarement par un mot de passe trop faible forcé automatiquement. Identifier et fermer ce point d’entrée fait partie du nettoyage, sinon le site est repiraté.

Que faire juste après avoir nettoyé le site ? Sécuriser sans attendre : mettre à jour le cœur, les plugins et les thèmes, changer tous les mots de passe et les clés de salage, supprimer les extensions inutilisées, et surveiller le site quelques jours pour vérifier qu’aucun spam ni fichier ne réapparaît.

Combien coûte le nettoyage d’un WordPress piraté ? Les agences facturent généralement entre 300 et 600 € un nettoyage complet. WP-Detox le fait à tarif fixe de 149 € HT, remboursé si le site ne peut pas être remis propre, avec le scan de diagnostic gratuit en amont.

Google va-t-il pénaliser mon site durablement ? Non, si vous nettoyez puis demandez le réexamen. L’avertissement « Ce site risque d’avoir été piraté » et la perte de positions sont réversibles une fois le site assaini. Plus vous agissez vite, moins l’impact SEO dure.