Récupération de site WordPress piraté : diagnostic, nettoyage et durcissement post-incident

Votre site WordPress piraté : ne paniquez pas, agissez méthodiquement

La récupération d’un site WordPress piraté est une urgence technique qui demande sang-froid et méthode. Que votre site affiche soudainement des publicités douteuses, redirige vos visiteurs vers des pages tierces ou soit signalé par Google comme dangereux, la compromission est réelle et son impact peut être durable — sur votre référencement, votre réputation et la confiance de vos clients. Ce guide propose un protocole en trois temps : diagnostiquer précisément l’étendue de l’attaque, nettoyer intégralement l’infection, puis durcir l’infrastructure pour éviter toute récidive.

Phase 1 — Diagnostic : identifier la nature et l’étendue de la compromission

Avant toute intervention, il faut comprendre ce qui s’est passé. Un site piraté ne se résume pas toujours à des fichiers infectés visibles : la menace peut être enfouie dans la base de données, dans un plugin désactivé ou dans un fichier de thème rarement parcouru.

• Activer le mode maintenance immédiatement : isolez le site du public pour limiter la propagation et protéger vos visiteurs.
• Analyser les journaux d’accès serveur (access.log, error.log) : recherchez des requêtes POST anormales, des accès répétés sur xmlrpc.php, des agents utilisateurs suspects ou des injections visibles dans les URL.
• Scanner les fichiers avec des outils spécialisés : Wordfence, MalCare ou l’outil en ligne Sucuri SiteCheck permettent de détecter rapidement les signatures de malwares connus.
• Vérifier les comptes administrateurs : un attaquant crée souvent un compte admin fantôme. Auditez la table wp_users directement en base de données.
• Contrôler les dates de modification des fichiers : via SSH, la commande find . -mtime -7 -type f liste tous les fichiers modifiés dans les 7 derniers jours — un indicateur précieux.

Consultez également votre tableau de bord Google Search Console : les alertes de sécurité, les pages indexées inconnues et les rapports de couverture révèlent souvent l’ampleur du spam SEO injecté par l’attaquant.

Phase 2 — Nettoyage : éradiquer l’infection sans compromis

Le nettoyage d’un site WordPress piraté ne peut pas être approximatif. Une backdoor oubliée suffit à rouvrir la brèche 48 heures plus tard.

• Restaurer depuis une sauvegarde saine : si vous disposez d’une sauvegarde datant d’avant l’incident et validée comme propre, c’est la voie la plus sûre. Identifiez la date de compromission avant de choisir le point de restauration.
• Réinstaller WordPress en version fraîche : remplacez intégralement le core WordPress (dossiers wp-admin et wp-includes) par des fichiers officiels téléchargés depuis wordpress.org. Ne touchez pas à wp-content et wp-config.php dans un premier temps.
• Nettoyer ou remplacer les thèmes et plugins : supprimez tous les plugins désactivés, remplacez chaque plugin actif par sa version officielle fraîche. Les thèmes nulled (piratés) sont à bannir définitivement.
• Purger la base de données : recherchez dans les tables wp_posts, wp_options et wp_usermeta toute injection de scripts, liens cachés ou données suspectes.
• Changer tous les secrets : nouveaux mots de passe administrateurs, nouvelles clés de salage WordPress (wp-config.php), mot de passe base de données, FTP et hébergement.

Phase 3 — Durcissement post-incident : ne pas subir deux fois

La récupération d’un site WordPress piraté n’est complète que lorsque les failles initiales sont bouchées et que l’infrastructure est durcie contre les attaques futures. C’est précisément là que beaucoup d’équipes s’arrêtent trop tôt — et le paient quelques semaines plus tard.

• Activer l’authentification à deux facteurs sur tous les comptes administrateurs.
• Restreindre l’accès à wp-admin par filtrage IP ou via un plugin de pare-feu applicatif (WAF).
• Désactiver xmlrpc.php si vous n’en avez pas l’usage : c’est un vecteur d’attaque par force brute fréquemment exploité.
• Mettre en place des permissions fichiers strictes : 644 pour les fichiers, 755 pour les dossiers, et 600 pour wp-config.php.
• Configurer un monitoring continu : alertes en temps réel sur les modifications de fichiers, tentatives de connexion échouées et changements de base de données.

Pour aller plus loin sur les bonnes pratiques préventives, notre article sur la sécurité WordPress : hardening, audit de plugins et prévention des injections SQL détaille l’ensemble des mesures à mettre en place avant qu’un incident ne survienne. Par ailleurs, la gestion sécurisée des accès et des identifiants sensibles passe aussi par une bonne gestion des variables d’environnement et fichiers .env, souvent négligée.

Si votre site affiche un écran blanc suite au nettoyage, je vous recommande ce plan d’action face à une erreur critique WordPress.

Une fois le nettoyage terminé, je conseille toujours de valider la solidité du site avec un audit de sécurité WordPress complet pour éviter toute récidive.

Pour comprendre comment ces failles ont permis le piratage, je vous invite à lire mon analyse de la faille de sécurité WordPress et de ses trois types principaux.

Après la crise : reconstruire la confiance et le SEO

Un site compromis peut être déréférencé par Google ou signalé dans les navigateurs via Safe Browsing. Une fois le nettoyage confirmé, soumettez une demande de réexamen via Google Search Console et vérifiez qu’aucune page de spam n’a été indexée. En Auvergne comme partout, la réputation en ligne se construit sur le long terme — une compromission bien gérée laisse beaucoup moins de traces qu’une réaction tardive ou incomplète.

La récupération d’un site WordPress piraté est une épreuve, mais aussi une opportunité : celle de bâtir une infrastructure plus robuste, mieux surveillée et durablement sécurisée. Chez Volcanaweb, nous accompagnons les entreprises de Clermont-Ferrand et au-delà dans cette démarche, de l’intervention d’urgence jusqu’au plan de continuité.

Après un piratage, le nettoyage ne suffit pas sans durcissement. Je réalise ce type d’intervention : audit et sécurisation WordPress.