Ne supprimez rien, protégez vos visiteurs, gardez une copie de l'état actuel du site et changez vos mots de passe depuis un ordinateur sain, en commençant par votre messagerie. Le nettoyage vient ensuite, une fois trouvée la porte d'entrée de l'intrus : sinon, le site est repiraté par le même chemin.
Publié le 18 octobre 2026 · par l'équipe Boost de WS Agency · 15 minutes de lecture
Un site WordPress piraté ne se voit pas toujours depuis l'ordinateur de son propriétaire. Beaucoup de codes malveillants se cachent des personnes connectées à l'administration et ne se déclenchent que pour certains visiteurs : ceux qui arrivent depuis Google, ceux qui sont sur téléphone, ou seulement lors d'une première visite. C'est pour cela qu'un client vous prévient souvent avant que vous ne voyiez quoi que ce soit.
Les signes les plus fréquents :
Un e-mail vous annonce que votre site est piraté et réclame un paiement en bitcoins, sans aucun signe visible ? C'est souvent du bluff : faites les trois vérifications avant de répondre quoi que ce soit, et ne payez pas. Votre site affiche une page blanche ou « Il y a eu une erreur critique », sans autre signe ? C'est plus souvent une panne qu'un piratage : voyez le dépannage.
Le premier réflexe est souvent d'effacer les fichiers suspects ou de restaurer la sauvegarde de la semaine dernière. C'est le meilleur moyen d'être repiraté. Les fichiers modifiés, les comptes créés et les journaux du serveur sont les seules traces du chemin pris par l'intrus : sans elles, impossible de savoir quelle porte fermer. Et la sauvegarde restaurée contient souvent la même faille, parfois l'intrus lui-même.
Notez le jour et l'heure de la découverte, et ce que vous avez vu. Si des données personnelles ont pu fuiter, cette heure fait courir le délai de 72 heures pour prévenir la CNIL. Elle servira aussi à votre hébergeur, à votre assureur et, le cas échéant, à la police. Faites des captures d'écran : la redirection, l'avertissement, le message de l'hébergeur.
Tous les piratages n'imposent pas de fermer le site. La seule question : vos visiteurs sont-ils en danger ?
Pour couper proprement, demandez à votre hébergeur de suspendre le site, ou remplacez temporairement la page d'accueil par une page de maintenance depuis votre espace d'hébergement. Ne comptez pas sur une extension de maintenance installée dans WordPress : si l'intrus contrôle WordPress, il contrôle aussi l'extension.
Avant de modifier quoi que ce soit, gardez une copie complète du site tel qu'il est : tous les fichiers et la base de données. La plupart des hébergeurs le permettent en quelques clics depuis leur espace client. Sinon, téléchargez les fichiers par FTP et exportez la base depuis phpMyAdmin. Rangez cette copie à part, sous un nom sans ambiguïté, par exemple « copie piratée du 18 octobre, ne pas restaurer » : c'est une pièce à conviction, pas une sauvegarde.
Récupérez aussi les journaux d'accès du serveur des derniers jours, depuis votre espace d'hébergement ou en les demandant à votre hébergeur. Beaucoup d'hébergeurs ne les gardent que quelques jours, et ce sont eux qui montrent par où et quand l'intrus est entré.
Sur une boutique en ligne, un intrus était entré de nuit par un module d'affichage et s'était créé un compte administrateur. Après une sauvegarde de l'état du site, nous avons analysé 2,6 millions de lignes de journaux, corrigé la faille sur une copie identique puis en ligne, sans interrompre les ventes, et changé le mot de passe de la base. Aucun numéro de carte n'était lisible, et le rapport retrace l'intrusion à la minute près. Sans les journaux, rien de cela n'aurait été possible.
Une partie des piratages commence sur un poste de travail : un ordinateur infecté livre les mots de passe enregistrés dans le navigateur ou dans le logiciel FTP. Au moindre doute sur votre ordinateur, changez vos mots de passe depuis un autre appareil, et activez la double authentification partout où elle existe.
Chaque mot de passe doit être nouveau, long et unique. Un gestionnaire de mots de passe évite d'en réutiliser un : un mot de passe déjà fuité ailleurs, puis réutilisé, est une porte d'entrée classique.
Ces gestes coupent les accès connus. Ils ne retirent pas les portes dérobées que l'intrus a pu cacher dans les fichiers : c'est l'objet du nettoyage.
Il peut vous dire quels fichiers ont changé et quand, vous fournir les journaux et une sauvegarde antérieure, puis lever une suspension une fois le site nettoyé. Le prévenir tôt évite aussi qu'il suspende le site sans vous en parler.
Sur une boutique WooCommerce, le plus grave n'est pas la vitrine : c'est la page de commande. Un code espion peut y afficher un faux formulaire de carte bancaire, ou copier ce que tapent vos clients, sans que rien ne se voie : les commandes continuent d'arriver. Si cette page a pu être modifiée, suspendez les paiements le temps de vérifier et prévenez votre prestataire de paiement, qui peut surveiller les cartes de vos clients. Exportez aussi les commandes et les comptes clients avant toute restauration, pour ne pas les perdre.
Si votre site contient des données personnelles (comptes clients, commandes, formulaires de contact, inscriptions), demandez-vous si elles ont pu être lues ou copiées. Si oui, et que cela présente un risque pour les personnes, le RGPD vous impose de notifier la violation à la CNIL dans les 72 heures, sur son téléservice de notification. Vous pouvez faire une notification initiale avec ce que vous savez, puis la compléter. En cas de doute, la CNIL conseille de notifier. Si le risque est élevé, par exemple des mots de passe ou des données de paiement exposés, prévenez aussi les personnes concernées. Dans tous les cas, documentez l'incident et vos décisions : le RGPD l'exige, même sans notification.
Vous pouvez porter plainte au commissariat ou à la gendarmerie, avec vos captures et la copie du site. La plateforme publique 17Cyber vous oriente selon votre situation, et Cybermalveillance.gouv.fr publie des fiches pratiques. Si vous avez une assurance cyber, prévenez-la sans attendre : vérifiez le délai de déclaration prévu par votre contrat.
Le site revient, la faille aussi. L'infection précède souvent les premiers signes de plusieurs jours, voire de plusieurs semaines : la sauvegarde choisie peut déjà la contenir. Et vous perdez au passage les commandes et les messages reçus depuis. Voyez la règle 3-2-1.
Vous effacez les traces qui disent par où l'intrus est entré. Si la porte était un mot de passe volé ou une extension que vous réinstallez, le nouveau site tombera de la même façon.
Un scanner signale ce qu'il connaît. Il manque souvent les portes dérobées discrètes, les comptes cachés et le code glissé dans la base de données. « Aucune menace détectée » ne veut pas dire « site propre ».
L'intrus garde ses autres entrées : FTP, hébergement, messagerie, session ouverte. D'où l'ordre donné plus haut, et le renouvellement des clés de sécurité.
Les thèmes et extensions payants proposés gratuitement sur des sites non officiels contiennent souvent eux-mêmes une porte dérobée. Ne réinstallez que depuis wordpress.org ou le site de l'éditeur.
Payer ne règle rien : rien n'oblige l'intrus à partir, et votre site devient celui d'un propriétaire qui paie. Gardez le message comme preuve, et portez plainte.
La commande WP-CLI wp core verify-checksums compare les fichiers du cœur de WordPress à ceux publiés par wordpress.org, et wp plugin verify-checksums --all fait de même pour les extensions du répertoire officiel. Chaque fichier signalé mérite d'être ouvert.
Faites vous-même les gestes de la première heure : ils ne demandent aucune compétence technique, et ce sont eux qui évitent le pire.
Pour le nettoyage, tout dépend du site. Un site vitrine simple, une sauvegarde saine dont vous connaissez la date, et une bonne aisance avec le FTP et phpMyAdmin : vous pouvez le faire seul, en suivant ce guide pas à pas. Une boutique en ligne, des comptes clients, un site dont personne ne connaît plus les extensions, ou un premier nettoyage déjà suivi d'une rechute : faites-vous aider. La recherche de la porte d'entrée et des portes dérobées demande de l'habitude, et une erreur se paie d'un second piratage.
De 8 h à 22 h, 7 jours sur 7, nous intervenons le jour même : copie de l'état actuel, recherche de la porte d'entrée, nettoyage, levée des alertes de Google et rapport daté. 990 € HT, prix fixe. Pour les abonnés Boost, l'intervention est comprise.
Demandez notre audit gratuit : nous regardons votre site comme un visiteur, sans rien toucher, et vous recevez par e-mail un bilan clair de ce qu'il faut corriger. Ou laissez-nous nous en occuper : voir les offres.
Ce qu'on nous demande quand un site WordPress vient d'être piraté.
Dans la première heure : ne rien supprimer ni restaurer, noter l'heure, couper le site si les visiteurs sont en danger, faire une copie complète de l'état actuel, puis changer les mots de passe depuis un ordinateur sain, en commençant par la messagerie. Ensuite seulement, trouver la porte d'entrée et nettoyer, sinon le site est repiraté par le même chemin.
Les signes les plus nets : une redirection vers un autre site, la mention « Ce site a peut-être été piraté » dans Google, des pages inconnues dans une recherche site:votredomaine.fr, un administrateur que vous ne connaissez pas ou un message de votre hébergeur. Testez depuis un téléphone, en 4G et en navigation privée, en passant par Google : beaucoup de codes malveillants se cachent des personnes connectées au site.
Oui si vos visiteurs sont en danger : redirection, téléchargement, faux formulaire de paiement ou de connexion. Si l'intrusion se limite à des pages de spam que vos visiteurs ne voient pas, le site peut rester en ligne le temps d'agir.
Pas tout de suite. Une sauvegarde ne ferme pas la faille, et elle contient souvent déjà l'intrus, car l'infection précède en général les premiers signes. Restaurez après avoir trouvé la porte d'entrée, à partir d'une sauvegarde antérieure à l'intrusion, et exportez d'abord les commandes et les messages reçus depuis.
Elle aide à repérer, rarement à tout nettoyer. Les portes dérobées discrètes, les comptes cachés et le code glissé dans la base de données lui échappent souvent. Un nettoyage sérieux passe par la réinstallation du cœur et des extensions depuis leur source officielle, et par la recherche de la porte d'entrée.
Parce que les pirates ne choisissent pas leurs cibles une à une : des robots parcourent internet à la recherche de versions vulnérables d'extensions répandues et entrent partout où ils le peuvent. Votre site sert ensuite à rediriger des visiteurs, à publier du spam ou à envoyer des e-mails frauduleux.
Si des données personnelles ont pu être lues ou copiées et que cela présente un risque pour les personnes, oui : une notification initiale dans les 72 heures, sur le téléservice de la CNIL, que vous complétez ensuite. Si le risque est élevé, prévenez aussi les personnes concernées. Dans tous les cas, gardez une trace écrite de l'incident.
Une fois tout le site nettoyé, demandez un examen dans la Search Console, rubrique Problèmes de sécurité, en décrivant ce que vous avez corrigé. Selon Google, l'examen peut prendre entre quelques jours et quelques semaines. N'envoyez pas de nouvelle demande avant la réponse.
Fermez d'abord la porte d'entrée, puis tenez le site à jour : extensions et thème mis à jour sans tarder, extensions inutiles supprimées, mots de passe uniques avec double authentification, sauvegardes régulières et contrôle des fichiers. Notre abonnement Boost s'en charge dès 99 € HT par mois : mises à jour testées, sauvegardes chaque jour, fichiers contrôlés chaque jour par WS Guardian.
Rédigé par l'équipe Boost de WS Agency, qui maintient et protège des sites WordPress, PrestaShop et Joomla. Publié le 18 octobre 2026.
Une erreur, une information à compléter, un droit de réponse ? Écrivez à contact@wsagency.fr : nous corrigeons, et nous indiquons ici ce qui a changé et quand.
Mises à jour testées, sauvegardes chaque jour, fichiers contrôlés chaque jour par WS Guardian et attaques connues bloquées : dès 99 € HT par mois, sans engagement. Et si un incident survient malgré tout, l'intervention est comprise.