Site WordPress piraté : que faire dans les premières heures ?

Un client vous appelle : « Votre site m'envoie vers un casino. » Ou votre hébergeur vous écrit que votre compte est suspendu. Le premier réflexe est souvent de tout supprimer ou de remettre la sauvegarde d'hier. C'est compréhensible, mais c'est justement ce qui fait perdre le plus de temps.

Ce guide s'adresse aux indépendants, PME et ASBL qui ne sont pas techniciens. Vous pouvez faire seul une bonne partie de ces étapes. Si vous préférez nous confier le problème, consultez notre page site WordPress piraté : intervention en urgence.

Un exemple vécu. Un samedi vers 18 h, le gérant d'une pizzeria à emporter nous a appelé : son site venait d'être piraté, en plein début de service. Vers 19 h, le site fonctionnait de nouveau et le restaurant avait repris son rythme normal. Agir vite a sauvé son week-end. Voir notre intervention en urgence.

Ce qu'il ne faut surtout pas faire

Tout effacer. Vous perdez les traces qui montrent par où le pirate est entré, et donc ce qu'il faut réparer.

Restaurer une sauvegarde sans réfléchir. Le code malveillant y est parfois déjà. Même si elle est saine, la faille reste ouverte et le pirate peut revenir.

Supprimer le seul fichier suspect que vous voyez. Les pirates laissent souvent plusieurs accès cachés. Enlever le symptôme ne règle pas la cause.

Installer une extension « nulled » ou payer un inconnu qui vous contacte. Une version piratée d'extension peut elle-même contenir du code malveillant. Et un message qui vous réclame de l'argent ne vous rendra pas votre site.

Les 7 étapes, dans le bon ordre

1. Notez ce que vous voyez. L'heure, les pages touchées, les messages reçus. Faites des captures d'écran depuis un ordinateur, depuis un téléphone et en cliquant sur votre site dans Google, car certaines redirections ne touchent que ces visiteurs.

2. Protégez vos visiteurs. Mettez une page de maintenance. Si vous n'avez plus la main, demandez à votre hébergeur de bloquer l'accès public le temps de l'intervention.

3. Faites une copie de l'état actuel. Fichiers et base de données, même infectés, gardés à part et jamais remis en ligne. Votre hébergeur peut souvent vous aider, et demandez-lui les journaux du serveur.

4. Reprenez la main sur les accès. Depuis un appareil sûr, changez les mots de passe de WordPress, de l'hébergement, du FTP ou SFTP, de la base de données et de l'e-mail lié. Supprimez les comptes inconnus après avoir noté leur nom, et activez la double authentification.

5. Cherchez par où le pirate est entré. Une extension ou un thème en retard, un mot de passe réutilisé, un ancien site oublié sur le même hébergement. Sans cette réponse, le nettoyage ne tiendra pas.

6. Nettoyez, puis mettez tout à jour. Réinstallez WordPress, le thème et les extensions depuis leurs sources officielles, retirez ce qui ne sert plus, puis contrôlez les fichiers d'envoi et la base de données, où du code peut aussi se cacher.

7. Remettez en ligne et surveillez. Vérifiez que tout fonctionne, puis gardez un œil sur le site et sur la Search Console pendant les semaines qui suivent.

Un premier contrôle gratuit de votre site

Notre outil regarde ce qui est visible de l'extérieur. Il ne remplace pas un examen des fichiers, mais il peut repérer certains signes en une minute.

Restaurer ou nettoyer : comment choisir ?

Une sauvegarde est intéressante si vous savez qu'elle date d'avant l'attaque, et si vous pouvez corriger la faille aussitôt après. Vous perdrez toutefois ce qui a été ajouté depuis, comme les commandes d'une boutique ou les derniers contenus.

Si vous ne connaissez pas la date de l'intrusion, si le site vend en ligne ou si la base de données est touchée, un nettoyage ciblé est souvent plus sûr. Dans les deux cas, renouvelez les accès après l'opération.

Après le nettoyage : Google et les autorités belges

Google. Ouvrez le rapport Problèmes de sécurité de la Search Console. Une fois le site réellement propre, demandez un réexamen en expliquant ce qui a été fait. Supprimez aussi de l'index les pages de spam créées par le pirate.

Données personnelles. Si des données de clients, de patients ou de contacts ont pu être vues ou volées, le RGPD peut vous imposer de prévenir l'Autorité de protection des données dans les 72 heures après en avoir pris connaissance, et parfois les personnes concernées. Notez l'incident par écrit, même si vous n'avez finalement rien à notifier.

Cybersécurité. Vous pouvez signaler l'incident au Centre pour la Cybersécurité Belgique, qui peut vous orienter. Certaines entreprises ont des obligations supplémentaires liées à la directive NIS2. Ce guide ne remplace pas un conseil juridique.

Pour que cela ne se reproduise pas

Mettez à jour WordPress, le thème et les extensions, et supprimez ce qui ne sert plus. Utilisez un mot de passe unique par accès, avec la double authentification sur les comptes administrateurs.

Gardez des sauvegardes régulières en dehors du serveur, et testez-les de temps en temps. Une sauvegarde qu'on n'a jamais essayé de restaurer reste une promesse.