Un matin, un client vous appelle : votre site renvoie vers un site de paris en ligne. Ou Google affiche « Ce site est peut-être piraté » sous votre nom. Ou vos e-mails partent en spam sans raison. Dans la plupart des cas, la cause est la même : un site WordPress qui n’a pas été mis à jour, hébergé sans surveillance, et qu’un robot a trouvé avant vous. Voici comment reconnaître un piratage, quoi faire dans l’heure, comment nettoyer sans rien perdre, et surtout comment ne plus y revenir.
Les signes d’un site WordPress piraté
Un piratage est rarement spectaculaire. Il se cache, parce qu’un site piraté qui fonctionne encore rapporte plus à son pirate qu’un site hors ligne. Les signes les plus fréquents :
- Des redirections : votre site, ou certaines pages seulement, renvoient vers des sites de pharmacie, de paris, de rencontres, parfois uniquement depuis un téléphone ou depuis Google.
- Des pages que vous n’avez pas créées : dans Google, « site:votredomaine.fr » affiche des centaines de pages en japonais, en anglais, sur des produits qui ne sont pas les vôtres.
- Une alerte Google : « Ce site est peut-être piraté » dans les résultats, un avertissement rouge dans Chrome, ou un message dans Google Search Console.
- Des comptes inconnus : un administrateur que vous n’avez jamais créé, des extensions apparues seules, des fichiers modifiés à des dates récentes.
- Des e-mails en spam : votre serveur envoie des milliers de messages à votre insu, et votre nom de domaine finit sur les listes noires.
- Un site lent ou en panne, sans changement de votre part, parce que des scripts tournent en arrière-plan.
Un seul de ces signes suffit pour agir. Plusieurs, c’est une certitude.
Pourquoi les sites WordPress sont-ils piratés ?
Pas parce que WordPress est fragile : il fait tourner plus de quatre sites sur dix dans le monde, et c’est précisément pour cela qu’il est visé. Les robots des pirates testent en permanence des millions de sites à la recherche de trois failles :
- Des extensions ou un thème non mis à jour. C’est la porte d’entrée dans la grande majorité des cas. Une faille publiée, un correctif disponible, et un site qui ne l’a pas appliqué.
- Des mots de passe faibles ou réutilisés, sans double authentification, sur un compte administrateur.
- Un hébergement sans surveillance, sans pare-feu applicatif, sans sauvegarde hors du serveur, où personne ne voit rien avant les clients.
Autrement dit : un site piraté est presque toujours un site que personne ne maintenait.
Que faire dans l’heure
- Ne supprimez rien. Les fichiers infectés indiquent par où le pirate est entré ; les effacer à la hâte, c’est perdre la trace et laisser la porte ouverte.
- Changez les mots de passe de l’administration WordPress, de l’hébergement, de la base de données et de la messagerie, depuis un ordinateur sain.
- Mettez le site en maintenance si vous le pouvez, pour que vos visiteurs ne soient plus redirigés et que Google cesse d’indexer les pages de spam.
- Demandez une sauvegarde à votre hébergeur, ou vérifiez celles que vous avez : la plus ancienne saine servira de référence.
- Faites appel à quelqu’un qui sait. Un nettoyage à moitié fait est le scénario le plus fréquent de récidive : le site repart, et le pirate revient deux semaines plus tard par la porte dérobée qu’il avait laissée.
Comment se passe un nettoyage complet
Chez webagence.io, le nettoyage de site WordPress piraté est une intervention à prix unique, 440 € HT, prise en charge sous 24 heures. Si votre site est hébergé chez nous, cette intervention est comprise dans votre formule. Dans l’ordre :
- Sauvegarde avant intervention, pour pouvoir revenir en arrière à chaque étape.
- Diagnostic : fichiers modifiés, comptes créés, extensions et thème vulnérables, journaux du serveur. On identifie la porte d’entrée, pas seulement les symptômes.
- Suppression du code malveillant dans les fichiers et dans la base de données, remplacement des fichiers de WordPress, du thème et des extensions par des versions saines, retrait des comptes et des portes dérobées.
- Sécurisation : mises à jour, mots de passe et clés régénérés, double authentification, pare-feu, droits des fichiers, édition de code désactivée.
- Remise en ligne et réexamen Google : retrait des pages de spam de l’index, demande de réexamen dans Search Console, vérification des listes noires et de la réputation des e-mails.
- Rapport d’intervention : ce qui a été trouvé, ce qui a été fait, et ce qu’il faut garder en place. Garantie 30 jours.
Si vous choisissez ensuite notre hébergement et maintenance, la migration est offerte.
Comment ne plus jamais y revenir
Un site nettoyé puis laissé seul sera piraté à nouveau. Ce qui protège durablement tient en quatre points, et c’est exactement ce que comprend une maintenance web :
- Des mises à jour chaque semaine, testées avant déploiement, de WordPress, du thème et des extensions.
- Des sauvegardes quotidiennes hors du serveur, pour revenir en arrière en quelques minutes.
- Une surveillance : disponibilité, certificat, scans de sécurité, tentatives de connexion.
- Un pare-feu et des comptes propres : double authentification, suppression de ce qui ne sert pas, droits stricts sur les fichiers.
Pour un site que nous n’hébergeons pas, deux interventions à prix unique couvrent ces besoins : l’audit de sécurité WordPress (290 € HT), qui dit en clair où vous en êtes, et la protection de site WordPress (390 € HT), qui blinde le site en une intervention, avec nettoyage offert si le site est compromis dans les 30 jours. Le montant de l’audit est déduit si vous commandez la protection ou le nettoyage dans les 30 jours. Toutes les formules sont sur la page Hébergement et maintenance web, onglet Cybersécurité.
Questions fréquentes
Mon site est-il vraiment piraté, ou juste en panne ?
Une panne est visible et constante : page blanche, erreur, site inaccessible. Un piratage est souvent intermittent et discret : redirections depuis certains appareils seulement, pages inconnues dans Google, e-mails en spam, comptes ou extensions inconnus. En cas de doute, l’audit de sécurité tranche en une journée.
Puis-je nettoyer mon site WordPress piraté moi-même ?
Si vous savez lire des fichiers PHP, comparer des sommes de contrôle, inspecter une base de données et des journaux serveur, oui. Sinon, le risque est de supprimer les symptômes et de laisser la porte dérobée : le site est de nouveau compromis quelques semaines plus tard, et Google met plus longtemps à lever son alerte.
Combien coûte le nettoyage d’un site WordPress piraté ?
Chez webagence.io, 440 € HT à prix unique, prise en charge sous 24 heures, garantie 30 jours, migration offerte vers notre hébergement. Le marché facture en général entre 300 et 900 € selon le prestataire et l’étendue des dégâts.
Vais-je perdre mon référencement ?
Pas si vous agissez vite. Les pages de spam sont retirées de l’index, la demande de réexamen lève l’alerte Google en général sous une à deux semaines, et vos positions reviennent. Plus le piratage dure, plus la récupération est longue.
Que comprend la protection de site WordPress ?
Pare-feu applicatif, protection contre la force brute et les robots, double authentification sur les comptes administrateurs, nettoyage des comptes, extensions et thèmes inutiles, droits des fichiers, clés régénérées, HTTPS forcé, en-têtes de sécurité, antispam, mises à jour planifiées, sauvegardes hors site, scan et alerte, rapport de configuration. 390 € HT, avec nettoyage offert si le site est compromis dans les 30 jours.
Votre site montre un de ces signes ? Demandez une prise en charge ou prenez rendez-vous : nous vous répondons rapidement, et toujours par un expert.
