Site WordPress piraté : que faire ?
Les premières heures comptent, et le premier réflexe est souvent le mauvais. Les signes qui ne trompent pas, puis six gestes, dans l'ordre.
Comment savoir si votre site est piraté
- → Des pages que vous n'avez pas écrites, souvent pour des casinos ou des médicaments
- → Des visiteurs renvoyés vers un autre site
- → Une alerte « site dangereux » dans Google ou dans le navigateur
- → Votre hébergeur suspend le site ou bloque l'envoi des mails
- → Vos mails arrivent dans les indésirables de vos clients
- → Des comptes administrateurs que vous ne connaissez pas
- → Un site soudain très lent, sans raison apparente
Les six premiers gestes
- 01
Ne rien supprimer, ne rien réinstaller
C'est le réflexe à éviter. Les fichiers suspects sont les traces qui disent comment les pirates sont entrés. Les effacer, c'est perdre la seule chance de refermer la bonne porte.
- 02
Faire une copie complète
Les fichiers et la base de données, dans l'état où ils sont. Cette copie sert à l'enquête et protège vos contenus si le site est vidé.
- 03
Changer tous les mots de passe
Espace client de l'hébergeur, comptes WordPress, base de données, accès FTP, boîtes mail. Depuis un ordinateur sain, et un mot de passe différent pour chacun.
- 04
Prévenir votre hébergeur
Il a peut-être déjà repéré quelque chose. Il peut bloquer le site, et il lèvera ce blocage quand vous lui montrerez que le site est sain.
- 05
Ne pas restaurer une sauvegarde à l'aveugle
Une sauvegarde ancienne remet le site d'avant, avec la même faille. Les pirates reviennent par le même chemin, parfois en quelques jours.
- 06
Signaler l'attaque
Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, oriente vers les bons interlocuteurs, y compris pour porter plainte.
Ce qu'on trouve derrière la façade
En octobre 2026, j'ai enquêté sur le site vitrine d'un indépendant, resté sans mise à jour depuis 2023. En surface, quelques pages de spam. En dessous :
- → Un mineur de cryptomonnaie qui utilisait le serveur
- → Plusieurs portes dérobées, dont une cachée dans les fichiers de WordPress avec des dates falsifiées
- → 4 comptes administrateurs créés par les pirates
- → Environ 350 articles de spam, et des liens cachés sur l'accueil
Une porte dérobée aux dates falsifiées ne se voit pas en parcourant les fichiers : il faut les comparer un par un aux versions officielles. C'est pour ça qu'une restauration à l'aveugle laisse souvent les pirates dans la place. Voir comment je répare un site piraté.
Questions fréquentes
Mon site WordPress a été piraté : est-ce que je dois tout refaire ?
Pas forcément. Après l'enquête, on peut garder le site et le sécuriser, ou le refaire en site statique au rendu identique, qui n'offre presque plus de prise aux pirates.
Combien coûte la réparation d'un site WordPress piraté ?
L'investigation coûte 200 €, la restauration et le nettoyage 200 €. Ensuite, la sécurisation de WordPress coûte 200 €, ou la refonte en site statique 390 €.
Une sauvegarde suffit-elle à réparer un site piraté ?
Non. Elle remet le site d'avant avec la faille qui a servi d'entrée, et parfois avec une porte dérobée déjà installée. Il faut savoir par où les pirates sont passés.
Comment éviter que ça recommence ?
Mettre à jour WordPress, son thème, ses extensions et la version de PHP. Un site laissé sans mise à jour finit par être trouvé par les robots qui cherchent les failles connues.
Une faille critique de PHP vient d'être publiée : vérifiez si votre site est concerné. Pour signaler une attaque : cybermalveillance.gouv.fr. Les montants sont nets, il n'y a pas de TVA à ajouter — TVA non applicable, art. L. 223 et s. du CIBS.
Votre site est touché ?
Écrivez-moi avant de toucher à quoi que ce soit : je vous dis par où commencer.
Me contacter