Site WordPress piraté : que faire ? Le plan d'action pour reprendre la main

Face à un site WordPress piraté, la marche à suivre tient en quatre temps : isoler le site, mesurer l'étendue de l'infection, nettoyer les fichiers et la base de données, puis restaurer une version saine et corriger la faille d'origine.

Selon Patchstack (2025), 7 966 nouvelles vulnérabilités ont été recensées dans l'écosystème WordPress en un an, dont 96 % concernent des extensions.

NEXUS SYNERGY, agence WordPress avec plus de 150 sites livrés, détaille dans ce guide les signes d'un piratage, le plan d'action heure par heure et les réflexes qui évitent la récidive.

Un site WordPress piraté se traite dans un ordre précis : mise en maintenance immédiate, changement de tous les mots de passe, scan complet des fichiers et de la base de données, nettoyage ou restauration depuis une sauvegarde saine, puis correction de la faille d'entrée. Agir dans les premières heures limite les dégâts sur vos visiteurs, vos données et votre référencement.

Chez NEXUS SYNERGY, agence de création et de maintenance de sites WordPress, environ la moitié des projets sont des reprises de sites existants. Et sur les sites que nous reprenons, la première cause de piratage constatée est toujours la même : un site non maintenu devient vulnérable en quelques mois. Ce guide 2026 vous donne la méthode complète, du premier signe suspect jusqu'à la sortie des listes noires de Google.

Comment savoir si votre site WordPress a été piraté ?

Un piratage se manifeste rarement par un écran noir avec une tête de mort. La plupart des attaques cherchent au contraire la discrétion, parce qu'un site infecté qui reste en ligne rapporte plus longtemps à son exploitant. Certains signes sautent aux yeux, d'autres demandent d'aller regarder sous le capot.

Les signes visibles sont les plus simples à repérer : votre page d'accueil est remplacée ou défigurée, vos visiteurs sont redirigés vers des sites douteux, ou des fenêtres publicitaires apparaissent sans que vous les ayez installées. Le navigateur peut aussi afficher un avertissement rouge "site trompeur", et Google la mention "Ce site a peut-être été piraté" directement dans les résultats de recherche.

Les signes discrets font plus de dégâts, justement parce qu'ils passent inaperçus pendant des semaines. Voici ce que nous vérifions en priorité lors d'une reprise de site :

• Pages spam indexées : des centaines d'URL en caractères asiatiques ou vantant des produits pharmaceutiques apparaissent dans Google Search Console
• Compte administrateur inconnu : un utilisateur que personne n'a créé figure dans la liste des admins WordPress
• Fichiers modifiés : des fichiers PHP récents traînent dans wp-content/uploads ou à la racine du site
• Lenteurs inexpliquées : le serveur mouline parce qu'il envoie du spam ou participe à des attaques
• Chute de trafic brutale : Google a blacklisté le site ou les visiteurs fuient les redirections

Un contrôle mensuel de ces cinq points détecte la grande majorité des piratages avant qu'ils ne coûtent cher. Quand un seul de ces signes est présent, considérez le site comme compromis jusqu'à preuve du contraire.

Site WordPress piraté : les premiers gestes qui changent tout

Les deux premières heures déterminent l'ampleur des dégâts. Un site WordPress piraté qui reste en ligne continue d'infecter des visiteurs, de distribuer du spam et de dégrader votre réputation auprès de Google. La priorité absolue est donc l'isolation, pas le nettoyage.

Première erreur classique : tout supprimer sous le coup de la panique. Vous détruisez alors les indices qui auraient révélé la faille d'entrée, et parfois des données saines irrécupérables. Gardez la tête froide et suivez cet ordre :

• Passer le site en maintenance : coupez l'accès public via votre hébergeur ou un fichier .htaccess, pour protéger vos visiteurs
• Changer tous les mots de passe : comptes WordPress, FTP et SFTP, base de données, espace client de l'hébergeur, adresses email liées au site
• Prévenir votre hébergeur : son support peut geler le site, fournir les logs d'accès et vérifier si d'autres comptes du serveur sont touchés
• Sauvegarder l'état infecté : une copie complète des fichiers et de la base servira à l'analyse, sans jamais remplacer vos sauvegardes saines
• Révoquer les accès : déconnectez toutes les sessions actives et supprimez les clés API exposées

Si le site encaisse des paiements ou stocke des données personnelles, le RGPD impose en plus de documenter l'incident, et de notifier la CNIL sous 72 heures en cas de violation de données. Beaucoup de propriétaires de sites l'ignorent, alors que la sanction peut dépasser le coût du piratage lui-même.

Quel signe de piratage appelle quelle action ? Le tableau pour prioriser

Tous les symptômes d'un piratage n'ont pas le même degré d'urgence. Une redirection malveillante expose chaque visiteur, alors que des lenteurs serveur laissent quelques heures de marge. Ce tableau, construit à partir des incidents traités sur les sites que nous reprenons, associe chaque signe à sa gravité et au premier geste à poser.

La lecture est simple : au moindre signe critique, le site sort du réseau public dans l'heure. Pour les signes de gravité moyenne, vous pouvez d'abord confirmer le diagnostic par un scan, parce qu'une lenteur peut aussi venir d'un hébergement saturé ou d'une extension mal codée. En cas de doute, traitez le signe comme un cran au-dessus de sa gravité théorique.

Comment nettoyer un site WordPress piraté ?

Le nettoyage vise deux cibles : les fichiers du site et la base de données. Un scan automatique avec Wordfence ou Sucuri constitue le point de départ, car ces outils comparent chaque fichier du cœur de WordPress avec les originaux du dépôt officiel et signalent tout écart. La version gratuite de Wordfence suffit pour ce diagnostic.

Le scan ne fait pourtant pas tout. D'après les rapports Sucuri, environ 6 sites infectés sur 10 contiennent au moins une porte dérobée, un fichier caché qui redonne accès au pirate après le nettoyage. C'est la raison pour laquelle un nettoyage superficiel est souvent suivi d'une réinfection dans les jours qui suivent.

• Réinstaller le cœur de WordPress : remplacez les dossiers wp-admin et wp-includes par une copie fraîche téléchargée sur wordpress.org
• Contrôler wp-content : inspectez les fichiers PHP dans uploads, un dossier qui ne devrait contenir que des médias
• Réinstaller thèmes et extensions : supprimez tout ce qui n'est plus utilisé, puis retéléchargez le reste depuis les sources officielles
• Auditer la base de données : cherchez les comptes admin récents, les scripts injectés dans les articles et les options suspectes via phpMyAdmin
• Vérifier wp-config.php et .htaccess : ces deux fichiers sont des cachettes privilégiées pour le code malveillant

Quand nous reprenons un site infecté chez NEXUS SYNERGY, cette phase d'audit prend entre deux heures et une journée selon l'étendue des dégâts. Si vous n'êtes pas à l'aise avec le FTP et les bases de données, confier le nettoyage à un professionnel coûte moins cher qu'un site réinfecté trois fois.

Restaurer votre site et sortir des listes noires de Google

La restauration depuis une sauvegarde saine reste la méthode la plus fiable, à une condition : la sauvegarde doit dater d'avant l'infection. Comparez la date des premiers fichiers suspects avec vos archives, puis restaurez la version antérieure la plus récente. Sans sauvegarde propre, le nettoyage manuel décrit plus haut devient la seule option, avec dans les cas extrêmes une reconstruction du site sur une base assainie.

Restaurer ne suffit pas si la faille d'origine reste ouverte. Avant la remise en ligne, mettez à jour le cœur de WordPress, tous les thèmes et toutes les extensions, puis supprimez les composants abandonnés par leurs développeurs. Ensuite seulement, rouvrez le site au public.

Reste la réputation. Un piratage laisse des traces dans les moteurs de recherche, et les faire disparaître demande quelques actions ciblées :

• Demander une révision : dans Search Console, rubrique "Problèmes de sécurité", une fois le site propre. Google retire l'avertissement sous quelques jours
• Purger les URL spam : supprimez les pages injectées et laissez-les renvoyer un code 404 ou 410
• Régénérer le sitemap : pour que Google recrawle rapidement les contenus légitimes
• Surveiller l'indexation : contrôlez pendant un mois les rapports de couverture et les requêtes anormales

Un piratage prolongé peut faire chuter des positions durement acquises, parce que Google déclasse les sites dangereux pour protéger ses utilisateurs. Si votre trafic organique tarde à remonter après le nettoyage, un accompagnement en référencement naturel aide à réparer les dégâts SEO et à récupérer les positions perdues.

Pourquoi les sites WordPress se font-ils pirater ?

WordPress équipe 43,5 % des sites web selon W3Techs (2026). Cette domination en fait la cible la plus rentable du web : un pirate qui trouve une faille dans une extension populaire peut attaquer des centaines de milliers de sites d'un coup, avec des scripts entièrement automatisés. Votre site n'est donc jamais "trop petit pour intéresser un pirate", puisque les robots ne trient pas.

Le point d'entrée est rarement WordPress lui-même. Selon le rapport State of WordPress Security de Patchstack, 96 % des 7 966 vulnérabilités recensées en un an proviennent des extensions, contre 4 % pour les thèmes et une part marginale pour le cœur du CMS. Autrement dit, chaque plugin installé agrandit la surface d'attaque.

• Extensions et thèmes obsolètes : une faille corrigée mais non appliquée reste exploitable, et les pirates scannent le web à sa recherche dès sa publication
• Mots de passe faibles : les attaques par force brute testent des millions de combinaisons sur les pages de connexion WordPress
• Thèmes et plugins piratés : les versions "nulled" téléchargées hors des sources officielles embarquent très souvent leur propre porte dérobée
• Comptes trop nombreux : chaque administrateur inutile multiplie les risques de compromission
• Hébergement négligé : un serveur mutualisé mal isolé propage l'infection d'un site à l'autre

Sur les sites que nous reprenons, ces causes se cumulent presque toujours avec un facteur aggravant : l'absence de maintenance. Un site laissé sans mises à jour devient vulnérable en quelques mois, c'est la première cause de piratage que nous constatons en reprise. La faille n'est pas une fatalité technique, c'est un défaut d'entretien.

Comment éviter qu'un site WordPress soit piraté à nouveau ?

La prévention coûte toujours moins cher que la désinfection. Un site WordPress bien entretenu résiste à l'immense majorité des attaques automatisées, qui visent précisément les installations laissées à l'abandon. La recette tient en quelques habitudes régulières plutôt qu'en un outil miracle.

• Mises à jour hebdomadaires : cœur, thèmes et extensions, avec un contrôle du site après chaque lot de mises à jour
• Sauvegardes quotidiennes externalisées : stockées hors du serveur et testées régulièrement, sinon elles n'existent que sur le papier
• Authentification renforcée : double authentification pour tous les administrateurs et mots de passe uniques gérés par un coffre-fort
• Principe du moindre privilège : chaque utilisateur reçoit le rôle minimum nécessaire, et les comptes inactifs sont supprimés
• Pare-feu applicatif et scanner : Wordfence ou Sucuri en surveillance continue, avec alertes en cas de fichier modifié
• Ménage régulier : suppression des extensions inutilisées et des thèmes inactifs, qui restent exploitables même désactivés

Le vrai défi n'est pas de connaître cette liste, mais de l'appliquer chaque semaine pendant des années. C'est exactement le rôle d'un contrat de maintenance WordPress : chez NEXUS SYNERGY, la formule démarre à 150 € par mois et couvre les mises à jour, les sauvegardes quotidiennes, le monitoring et les correctifs de sécurité. Nos clients sous contrat n'ont jamais à chercher "site piraté que faire" à 23 heures un dimanche, et c'est bien le but.

Questions fréquemment posées sur un site WordPress piraté

Comment savoir si mon site WordPress a été piraté ?

Cinq signes révèlent la plupart des piratages : des redirections vers des sites douteux, des pages spam indexées dans Google, un compte administrateur inconnu, des fichiers PHP récents dans wp-content/uploads et un avertissement de sécurité dans le navigateur ou Search Console. Un scan avec Wordfence ou Sucuri confirme le diagnostic en comparant vos fichiers avec les originaux du dépôt WordPress. Pensez aussi à vérifier les résultats Google sur la commande site:votredomaine.fr, car les contenus injectés y apparaissent souvent avant tout autre symptôme visible.

Combien de temps faut-il pour nettoyer un site WordPress piraté ?

Comptez de quelques heures à plusieurs jours selon l'étendue de l'infection. Une restauration depuis une sauvegarde saine se règle en une demi-journée, correction de la faille comprise. Un nettoyage manuel complet, avec audit des fichiers, de la base de données et recherche de portes dérobées, prend plutôt un à trois jours. La sortie des listes noires ajoute un délai externe : Google traite une demande de révision en quelques jours en général. Sur les sites que nous reprenons chez NEXUS SYNERGY, la phase d'audit initial dure entre deux heures et une journée.

Faut-il tout supprimer et repartir de zéro après un piratage ?

Non, pas dans la majorité des cas. Une restauration propre ou un nettoyage méthodique suffit quand l'infection est circonscrite et que la faille d'origine est corrigée. La reconstruction complète se justifie dans deux situations : un site infecté à répétition malgré des nettoyages sérieux, ou un site tellement obsolète que sa remise à niveau coûterait plus cher qu'une refonte. Dans ce second cas, le piratage devient l'occasion de repartir sur des bases saines, avec une architecture moderne et un plan de maintenance dès le premier jour.

Un site WordPress piraté fait-il chuter le référencement Google ?

Oui, et parfois brutalement. Google détecte les contenus malveillants, affiche un avertissement dans ses résultats et peut déclasser ou désindexer les pages compromises pour protéger ses utilisateurs. Les pages spam injectées diluent en plus la pertinence thématique du site, ce qui dégrade les positions même après leur suppression. La récupération passe par un nettoyage complet, une demande de révision dans Search Console et la purge des URL parasites. Plus le piratage reste en ligne longtemps, plus la remontée est lente, d'où l'intérêt d'une détection rapide.

Combien coûte la remise en état d'un site WordPress piraté ?

Sur le marché français, une désinfection professionnelle se facture généralement de quelques centaines d'euros à plus de 1 500 €, selon l'étendue de l'infection et l'état général du site. Le coût réel dépasse toutefois la seule intervention : ajoutez le chiffre d'affaires perdu pendant l'indisponibilité, les dégâts SEO et le temps interne mobilisé. En face, un contrat de maintenance WordPress démarre à 150 € par mois chez NEXUS SYNERGY, mises à jour, sauvegardes quotidiennes et monitoring inclus. La prévention reste l'option la plus rentable des deux.

Comment protéger un site WordPress contre le piratage ?

La protection repose sur cinq piliers : des mises à jour hebdomadaires du cœur, des thèmes et des extensions, des sauvegardes quotidiennes externalisées et testées, une double authentification sur tous les comptes administrateurs, un pare-feu applicatif avec scanner de fichiers, et la suppression des composants inutilisés. Ces gestes bloquent l'essentiel des attaques automatisées, qui ciblent les failles connues des sites non entretenus. La difficulté est la régularité : une maintenance déléguée garantit que ces contrôles ont lieu chaque semaine, même quand votre activité vous occupe ailleurs.

Votre site montre un signe suspect, ou vous voulez éviter d'en arriver là ? NEXUS SYNERGY audite gratuitement votre installation WordPress (technique, référencement, visibilité IA) et vous remet un plan d'action clair sous 24 h ouvrées. Contactez notre équipe pour sécuriser durablement votre site.