Site WordPress piraté : que faire ?

Votre site redirige vers des pages douteuses, Google affiche « Ce site a peut-être été piraté », ou votre hébergeur vient de le suspendre ? Un piratage WordPress est stressant, mais il se répare. Voici comment le reconnaître, quoi faire tout de suite, et comment éviter qu’il recommence.

Les signes d’un site WordPress piraté

des redirections vers des sites de jeux, de pharmacie ou d’arnaques, parfois seulement sur mobile ou depuis Google ;
des pages que vous n’avez jamais créées, visibles en tapant site:votre-domaine.fr dans Google ;
un avertissement de Google ou de votre navigateur (« Site dangereux ») ;
un compte administrateur inconnu dans la liste des utilisateurs ;
un e-mail de votre hébergeur qui signale l’envoi de spams ou suspend le site ;
un site devenu très lent sans raison apparente.

Les premiers réflexes

Ne supprimez rien dans la précipitation. Les fichiers modifiés permettent de comprendre par où le pirate est entré.
Changez les mots de passe : comptes administrateurs WordPress, accès à l’hébergement, FTP et base de données.
Prévenez votre hébergeur. Il peut indiquer les fichiers suspects et dispose souvent de sauvegardes.
Repérez votre dernière sauvegarde saine, antérieure au piratage. Attention : restaurer une sauvegarde sans corriger la faille, c’est se faire pirater à nouveau quelques jours plus tard.

Comment on nettoie un site piraté

Un nettoyage sérieux ne se limite pas à effacer les pages de spam. Il faut :

comparer les fichiers de WordPress, des extensions et du thème avec les versions officielles, et remplacer tout ce qui a été modifié ;
rechercher le code malveillant caché dans les dossiers d’images, les fichiers de configuration et la base de données ;
supprimer les comptes et les tâches planifiées ajoutés par le pirate ;
trouver la faille (le plus souvent une extension pas à jour) et la corriger ;
demander à Google de réexaminer le site s’il a été signalé, via la Search Console.

Ce qu’il vaut mieux éviter

Installer trois extensions de sécurité en même temps : elles se gênent et ralentissent le site sans réparer le problème.
Payer une « suppression de malware » automatique sans savoir ce qui a été fait.
Laisser le site en ligne en l’état : vos visiteurs et Google le voient.

Combien coûte la réparation ?

Tout dépend de l’ampleur du piratage et de l’existence d’une sauvegarde propre. En dépannage WordPress, je facture au temps réellement passé, à partir de 50 € de l’heure, diagnostic compris. J’interviens à distance ou sur place en Haute-Loire.

Éviter que ça recommence

La très grande majorité des piratages passe par une extension ou un thème pas mis à jour. Trois habitudes ferment la porte :

des mises à jour régulières ;
des mots de passe uniques et la double authentification pour les administrateurs ;
des sauvegardes automatiques stockées hors de l’hébergement.

C’est le cœur de la maintenance WordPress, à partir de 55 € par mois.

Questions fréquentes

Mon site peut-il être sauvé ?

Dans presque tous les cas, oui. Vos contenus sont rarement détruits : le pirate ajoute du code, il ne supprime pas vos pages.

Google va-t-il me pénaliser ?

Tant que le site diffuse du spam ou des redirections, oui. Une fois nettoyé et réexaminé, la visibilité revient en général en quelques jours à quelques semaines.

Mon site n’a rien d’intéressant, pourquoi l’avoir piraté ?

Les piratages sont presque toujours automatiques : des robots testent des milliers de sites à la recherche de failles connues. Votre site n’a pas été choisi, il était simplement vulnérable.

Votre site est piraté en ce moment ? Écrivez-moi ou appelez le 07 83 39 03 89.