Site WordPress piraté : les étapes pour le réparer

Quand un site WordPress est piraté, la bonne réponse tient en une séquence : documenter, scanner, verrouiller les accès, sauvegarder, nettoyer, puis changer de nouveau tous les mots de passe une fois le site propre. Chaque étape protège la suivante. Sauter la sauvegarde ou le second changement de mots de passe est l’erreur qui fait revenir l’infection une semaine plus tard.

Ce guide suit la logique de la documentation officielle de WordPress.org et la complète : un tableau des accès à changer, un arbre de décision entre restauration et nettoyage manuel, et la marche à suivre quand on ne peut plus se connecter à l’administration.

Reconnaître un site WordPress piraté

Un piratage ne se voit pas toujours à l’écran. La documentation WordPress.org parle d’indicateurs de compromission : des symptômes précis qui permettent de savoir de quel type d’attaque il s’agit. Les plus clairs sont un site placé sur liste noire par Google ou Bing, un site suspendu par l’hébergeur, un site signalé comme diffuseur de logiciels malveillants, des lecteurs dont l’antivirus bloque la page, ou encore la création d’utilisateurs que vous n’avez jamais ajoutés.

Côté visible, on retrouve les redirections vers des sites inconnus, le mot « spam » dans les résultats Google quand on tape site:votredomaine.fr, ou une administration devenue inaccessible. Côté caché, les signes sont plus discrets : des fichiers PHP que vous ne reconnaissez pas, des administrateurs fantômes, des e-mails de spam partis depuis votre serveur.

Que faire dans la première heure ?

Respirer, d’abord. La documentation officielle l’écrit noir sur blanc : « stay calm ». Un piratage coûte parfois de l’argent et abîme une image, mais il se répare. Un geste précipité, comme tout supprimer ou réinstaller à l’aveugle, détruit les traces dont vous aurez besoin pour comprendre l’entrée de l’attaquant.

Le premier geste utile est de documenter. Notez ce que vous voyez, l’heure à laquelle vous l’avez remarqué (et le fuseau), et ce que vous avez modifié récemment : une extension installée, un thème changé, un widget ajouté. Ce mini rapport d’incident servira à vous-même, à l’hébergeur ou à un prestataire. Notez aussi les détails de votre environnement d’hébergement, ils seront demandés tôt ou tard.

Ensuite seulement, mettez le site en maintenance si vous le pouvez, pour que les visiteurs ne tombent pas sur une page infectée. Cette précaution ne remplace aucun des gestes suivants, elle évite simplement que le problème se propage à vos lecteurs.

Comment scanner le site et son poste ?

La documentation WordPress.org distingue deux familles de scanners, et recommande de les combiner plutôt que d’en choisir un seul. Les scanners d’application sont des extensions installées sur le site : Quttera, GOTMLS, Wordfence et Sucuri figurent dans sa liste. Les scanners distants, eux, regardent le site de l’extérieur, comme VirusTotal ou Sitecheck de Sucuri. Ils ne voient pas la même chose, d’où l’intérêt de croiser.

Si VirusTotal vous est peu familier, notre article sur l’analyse des menaces avec VirusTotal explique comment lire ses résultats sans s’alarmer d’un faux positif isolé.

Le point que l’on oublie le plus souvent : scanner aussi son propre ordinateur. La documentation précise que l’origine de l’infection se trouve souvent sur la machine du propriétaire, où un cheval de Troie peut espionner les identifiants FTP et ceux de /wp-admin. Un antivirus complet sur le poste est donc indispensable, et il vaut mieux en essayer un second, car certains logiciels malveillants savent se cacher d’un antivirus donné. Pour comprendre ce qu’un antivirus bloque et ce qu’il rate, lisez notre article sur l’antivirus et ses limites, et pour le cas d’un logiciel espion qui se fait passer pour légitime, celui sur le cheval de Troie.

• Un scanner distant pour voir ce que voient les visiteurs et les moteurs.
• Un scanner d’application pour examiner les fichiers du site.
• Un antivirus complet sur l’ordinateur utilisé pour administrer le site.
• Un second antivirus d’un autre éditeur si le premier ne trouve rien alors que les symptômes persistent.

Changer les accès et déconnecter tout le monde

On entend souvent « changez votre mot de passe », comme si c’était la solution. La documentation officielle remet les choses à leur place : c’est une petite pièce d’un problème plus large, celui du contrôle des accès. Il faut des mots de passe longs, complexes et uniques, produits de préférence par un générateur de gestionnaire de mots de passe. Pour démarrer proprement, notre guide du gestionnaire de mots de passe montre comment en choisir un.

Surtout, il faut penser à tous les points d’accès, pas seulement à la page de connexion de WordPress. Et cela vaut pour tous les utilisateurs du site, pas seulement pour le vôtre.

Le geste des clés secrètes est le plus méconnu. WordPress met à disposition un générateur officiel, et il suffit de recopier les nouvelles valeurs dans wp-config.php à la place des anciennes : toute personne encore connectée au site, y compris l’attaquant, est immédiatement déconnectée. Si vous hésitez sur la protection supplémentaire à ajouter, la double authentification par application reste plus solide que le SMS.

Sauvegarder avant de nettoyer

Cela paraît absurde de sauvegarder un site infecté. C’est pourtant ce que recommande la documentation : prendre un dernier cliché de l’environnement avant de passer au nettoyage, même s’il est infecté. Selon le type d’attaque, les conséquences peuvent être lourdes, et en cas de défaillance grave vous aurez au moins cette mauvaise copie pour référence.

Si vous disposez d’une sauvegarde saine, vous pouvez la restaurer et passer directement à l’analyse. Sinon, c’est le moment d’en créer une, fichiers et base de données comprises. Demandez aussi à votre hébergeur quelle est sa politique de sauvegarde : certains conservent des instantanés qui permettent de revenir à une date antérieure à l’infection.

Pour que ce réflexe soit en place la prochaine fois, la règle de sauvegarde 3-2-1 décrit une organisation simple, avec le test de restauration qui prouve qu’une copie est utilisable.

Restaurer une sauvegarde ou nettoyer à la main

La documentation reconnaît que l’envie de tout effacer pour repartir de zéro est naturelle, et que ce n’est pas toujours possible. Le choix dépend de deux questions : avez-vous une sauvegarde dont vous êtes sûr qu’elle précède l’infection, et êtes-vous à l’aise avec des fichiers sur un serveur ?

Dans le cas du nettoyage manuel, la règle de la documentation est précise. Réinstallez exactement la même version du logiciel que celle de votre site : choisir une version plus ancienne ou plus récente risque de casser le site. Et n’utilisez pas les options de réinstallation de l’administration. Passez par votre client FTP ou SFTP pour copier les fichiers, car ces installateurs se contentent d’écraser les fichiers existants alors que les attaquants, eux, ajoutent de nouveaux fichiers.

Les dossiers /wp-admin et /wp-includes peuvent être remplacés sans risque. Pour /wp-content, qui contient vos thèmes, vos extensions et vos médias, il faut être plus méticuleux et examiner les fichiers un par un.

Les fichiers qui trahissent une infection

Parmi tous les fichiers d’un site, un seul mérite une attention immédiate : .htaccess. La documentation le décrit comme l’un des fichiers les plus souvent modifiés, quel que soit le type d’infection, pour des usages malveillants. Il se trouve en général à la racine, mais il peut aussi s’en cacher plusieurs exemplaires dans d’autres dossiers du même site.

Trois autres fichiers à surveiller : index.php, header.php et footer.php. Modifiés, ils touchent la quasi-totalité des pages, ce qui en fait des cibles de choix. Si vous utilisez un système de gestion de versions, comparer vos fichiers avec ceux du dépôt officiel de WordPress est le moyen le plus rapide de voir ce qui a changé.

Utilisateurs, extensions et thèmes à revoir

Une fois les fichiers du noyau contrôlés, passez aux comptes. Ouvrez la liste des utilisateurs et supprimez tout administrateur que vous ne reconnaissez pas, après avoir fait la sauvegarde évoquée plus haut. Un compte laissé par l’attaquant lui permet de revenir même après un nettoyage de fichiers parfait.

Passez ensuite en revue les extensions et les thèmes. Supprimez ceux que vous n’utilisez plus : un composant inactif reste du code exposé, et il n’est plus mis à jour. Pour ceux que vous gardez, réinstallez la version officielle depuis le répertoire WordPress ou depuis le site de l’éditeur. Les extensions et thèmes téléchargés hors des circuits officiels sont une porte d’entrée classique.

Retrouver l’accès à l’administration

Il arrive que l’attaquant détourne le compte administrateur et vous en exclue. Ce n’est pas une raison de paniquer. La documentation WordPress.org indique deux voies. La première passe par un outil comme phpMyAdmin ou Adminer, souvent fourni par l’hébergeur : il permet d’ouvrir la base de données directement, sans passer par l’écran de connexion, et de réinitialiser l’utilisateur dans la table wp_users.

La seconde est plus simple si vous ne voulez pas manipuler de mots de passe chiffrés : changez l’adresse e-mail du compte dans la base, retournez à l’écran de connexion, cliquez sur « mot de passe oublié » et attendez le message. Dans les deux cas, assurez-vous ensuite d’avoir remplacé les clés secrètes pour couper les sessions ouvertes. Si votre propre messagerie est en cause, la procédure pour changer son mot de passe Gmail détaille les contrôles à faire après coup.

Sortir des listes noires

Un site piraté finit souvent signalé par les moteurs de recherche et les antivirus. La documentation recommande d’enregistrer le site dans les consoles de webmasters : Google Search Console, Bing Webmaster, Yandex Webmaster et Norton Webmaster en font partie. Ces consoles préviennent quand un problème de sécurité est détecté et permettent de demander un nouvel examen une fois le site nettoyé.

La documentation signale un autre effet de bord sérieux : la mise sur liste noire de l’adresse e-mail. Lorsqu’un site sert à envoyer du spam, les autorités de liste noire marquent l’adresse IP du serveur, souvent partagée avec la messagerie. Si votre courrier professionnel part du même serveur que le site, il peut cesser d’arriver. Un service de messagerie dédié règle durablement le problème.

Pensez à prévenir votre hébergeur : sur un hébergement mutualisé, l’attaque a pu toucher d’autres sites, et il pourra confirmer s’il s’agit bien d’un piratage ou d’une simple panne de service.

Comment éviter une seconde infection ?

Une fois le site propre, la documentation demande de mettre WordPress à jour vers la dernière version : les versions anciennes sont plus exposées. C’est aussi le moment de changer les mots de passe une seconde fois. Les premiers ont été changés pendant que l’attaquant pouvait encore être là, donc ils ne valent plus rien. Changez aussi, si vous le pouvez, le compte et le mot de passe de la base de données, sans oublier de les reporter dans wp-config.php.

Ajoutez ensuite des protections durables : une double authentification sur l’administration (la documentation cite des extensions comme Rublon ou Duo), des mots de passe uniques, la suppression des extensions inutilisées et des sauvegardes régulières de la base et des fichiers. Une analyse des causes, appelée forensique, aide à savoir par où l’attaquant est entré. Elle est difficile sans données techniques, mais même une simple question comme « quelle extension ai-je installée juste avant ? » donne souvent la piste.

Si vos données ont pu être copiées, lisez aussi les bons réflexes après une fuite de données : ils s’appliquent à vos visiteurs et clients si le site collectait des informations.

Faut-il faire appel à un professionnel ?

Faites-le si l’une de ces situations s’applique : le site stocke des données de clients, il génère un revenu, vous n’avez aucune sauvegarde fiable, ou l’infection revient après un nettoyage. Dans ces cas, la valeur du site dépasse le coût d’un spécialiste. L’hébergeur reste le premier interlocuteur, car il voit des journaux que vous ne voyez pas.

Pour un blog personnel sans données sensibles et avec une sauvegarde saine, la restauration suivie des mises à jour et du changement des accès est à la portée d’un propriétaire attentif. La communauté WordPress.org dispose aussi de forums « hacked » et « malware » où des bénévoles aident gratuitement. Dans tous les cas, gardez votre mini rapport d’incident : il fera gagner un temps précieux à la personne qui vous aidera.

Prenez dix minutes aujourd’hui, même si votre site va bien : ouvrez votre liste d’utilisateurs, vérifiez qu’aucun administrateur n’est inconnu, lancez une sauvegarde complète et notez où elle est stockée. Le jour où un symptôme apparaît, vous saurez déjà où sont vos sauvegardes et qui a accès au site, au lieu de partir de zéro.

Yann Deverre

Douze ans de développement web, en agence puis chez un éditeur de logiciels, avant de passer à l'écriture. Il explique le numérique en partant du mécanisme, et teste avant d'affirmer.