Site WordPress piraté : que faire dans la première heure

Si votre site WordPress a été piraté, procédez dans cet ordre : activez le mode maintenance, sauvegardez l’état actuel complet, changez tous les mots de passe, puis seulement nettoyez et cherchez la faille. Ne restaurez pas simplement une ancienne sauvegarde : la faille par laquelle l’attaquant est entré subsiste. La première heure influe beaucoup sur l’ampleur des dégâts. Le plus souvent, pourtant, rien n’est perdu.

Comment savoir que votre site WordPress a été piraté ?

Souvent, le propriétaire est le dernier à l’apprendre. Un visiteur vous contacte, Google affiche un avertissement ou l’hébergeur envoie un message de suspension. Voici les signes typiques :

• Des visiteurs atterrissent sur des sites de casino, de pharmacie ou d’autres sites de spam, le plus souvent seulement lorsqu’ils viennent de Google ou utilisent un smartphone.
• Votre site affiche un avertissement rouge du navigateur, comme « Site trompeur », ou Google signale « Ce site peut être piraté ».
• Des titres étrangers apparaissent dans les résultats de recherche de votre marque, souvent dans une autre langue.
• De nouveaux utilisateurs administrateurs apparaissent, que vous n’avez jamais créés.
• Votre espace d’hébergement contient des fichiers que vous n’avez pas téléversés, ou la page d’accueil a été remplacée.
• Votre hébergeur signale des envois de spam depuis votre compte ou un résultat positif lors d’une analyse antimalware.

Vous ouvrez votre page d’accueil, et tout semble normal. Pourtant, un proche touche un résultat Google sur son téléphone et arrive sur une fausse pharmacie en ligne. C’est une redirection malveillante typique, qui se cache volontairement du propriétaire.

Que faire dans la première heure après un piratage ?

Gardez votre calme et procédez étape par étape. L’ordre compte plus que la vitesse.

1. Isoler. Activez le mode maintenance ou demandez à votre hébergeur de mettre le site hors ligne. Vous protégez ainsi les visiteurs et stoppez la propagation.
2. Copier l’état actuel. Téléchargez tous les fichiers et exportez la base de données, même infectés. Conservez la copie en lieu sûr, sans l’ouvrir ni l’exécuter. Elle aidera plus tard à comprendre comment l’attaquant est entré.
3. Changer tous les mots de passe. Cela concerne l’espace client de l’hébergeur, les comptes administrateurs du CMS, la base de données, le FTP/SFTP/SSH et l’adresse e-mail du site. Faites-le depuis un appareil de confiance et choisissez, pour chaque accès, un mot de passe long et différent.
4. Activer la double authentification partout où elle est proposée, en commençant par l’hébergement et la messagerie.
5. Prévenir l’hébergeur. Il voit souvent des journaux qui vous échappent et dispose peut-être d’une sauvegarde saine antérieure au piratage.
6. Vérifier ce que le site stocke. Une boutique en ligne avec des comptes clients ou des paiements demande une attention particulière, voir l’encadré plus bas.

Que vaut-il mieux ne pas faire après un piratage ?

L’erreur de la sauvegarde est la plus fréquente. Une sauvegarde ramène un site fonctionnel, mais aussi l’extension obsolète ou le mot de passe volé qui ont rendu l’attaque possible. Et si l’attaquant était déjà dans le système depuis des semaines, la sauvegarde elle-même peut être infectée.

Comment les sites sont-ils piratés ?

La plupart des attaques ne sont pas sophistiquées, mais automatisées : des programmes recherchent des failles connues sur des milliers de sites à la fois. Votre site n’a pas besoin d’être connu pour devenir une cible.

L’hameçonnage mérite une attention particulière. Un e-mail qui ressemble à celui de l’hébergeur et un mot de passe saisi suffisent pour livrer tout le site. Vous en saurez plus dans hameçonnage (phishing) : comment il mène à un site compromis, et sur les logiciels obsolètes dans mises à jour WordPress : peut-on les ignorer ?.

Que coûte le fait d’attendre ?

Un piratage reste rarement petit. Chaque jour où le site reste en ligne aggrave la situation.

• Visibilité dans la recherche. Google peut marquer votre site comme dangereux, et des pages de spam apparaissent sous votre nom. S’en débarrasser prend plus de temps que le nettoyage.
• Clients. Les visiteurs qui tombent sur un avertissement rouge reviennent rarement. Si une boutique contient un skimmer (code malveillant qui capte les données de paiement), des données de paiement peuvent être dérobées.
• E-mail. Si le serveur envoie du spam, votre domaine peut finir sur des listes de blocage, et vos vrais e-mails atterrissent dans les courriers indésirables.
• Hébergement. Les hébergeurs suspendent les comptes d’où partent des attaques, souvent sans long préavis.
• Effort de nettoyage. Plus l’attaquant reste longtemps, plus il laisse de portes dérobées.

Puis-je nettoyer moi-même un site piraté ?

Parfois. Pour un petit site vitrine avec une extension clairement infectée, une sauvegarde récente et saine et une cause vite trouvée, c’est faisable. Réinstallez alors le noyau WordPress et les extensions à partir de copies neuves, vérifiez les utilisateurs, changez tous les mots de passe et surveillez le site pendant quelques semaines.

Faites-vous aider s’il s’agit d’une boutique en ligne, si des données clients sont touchées, si l’infection revient sans cesse ou si vous ne savez pas dire comment l’attaquant est entré. Nous nettoyons les sites piratés à distance ; la méthode est décrite dans notre guide site piraté : que faire. Le diagnostic est gratuit, vous connaissez le prix fixe avant le début des travaux (à partir de 450 € hors TVA pour un site piraté) et nous sauvegardons avant toute modification. Vous payez à l’avance, après le diagnostic.

Comment éviter que cela se reproduise ?

La sécurité fonctionne par couches. Aucune extension ne vous protège seule ; c’est la somme de plusieurs petites habitudes qui compte.

• Gardez le noyau WordPress, les extensions et les thèmes à jour, et supprimez ce que vous n’utilisez pas.
• Utilisez un mot de passe distinct pour chaque accès et la double authentification sur l’hébergement, le CMS et la messagerie.
• Réalisez des sauvegardes quotidiennes et conservez-les en dehors du serveur.
• Donnez à chaque personne son propre compte, avec les seuls droits nécessaires.
• Lancez des analyses régulières et faites-vous alerter en cas de modification.

L’essentiel relève du travail de routine, pour lequel peu de gens ont le temps au quotidien. Nos forfaits de maintenance (à partir de 99 € HT par mois) comprennent des sauvegardes quotidiennes hors hébergement, des contrôles de disponibilité, des mises à jour avec retour arrière et des analyses de sécurité. Si vous souhaitez d’abord en discuter, écrivez-nous. Vous trouverez d’autres bonnes habitudes dans sécurité d’un site web de TPE : 7 gestes simples.