Site WordPress piraté : que faire, dans quel ordre ?

Votre site redirige vers une page inconnue, un compte administrateur apparaît ou l'hébergeur suspend l'installation. Vous avez besoin de reprendre la main, pas de tester dix extensions au hasard.

Si votre site WordPress est piraté, protégez d'abord les visiteurs et les comptes, conservez les preuves, puis organisez la restauration ou la reconstruction dans un environnement isolé. Corrigez la porte d'entrée avant la remise en ligne et surveillez ensuite le site. Restaurer une sauvegarde ne suffit pas à traiter l'incident.

Voici une méthode pour décider des premières actions. Si l'activité est touchée ou si vous n'avez pas les accès techniques, sollicitez immédiatement l'hébergeur et un professionnel.

Les trente premières minutes : contenir sans détruire

Ces trente minutes sont un ordre de priorité, pas une promesse de réparation.

Désigner un responsable et noter les faits

Prévenez la direction, votre hébergeur et le prestataire qui gère le site. Une personne doit coordonner les décisions pour éviter que plusieurs intervenants restaurent, mettent à jour et suppriment des fichiers en même temps.

Notez les symptômes, les URL concernées, l'heure et le fuseau horaire de découverte, ainsi que les derniers changements connus. Conservez les messages de l'hébergeur et les alertes de sécurité. Une page lente ou une erreur serveur ne prouve pas, à elle seule, un piratage : distinguez les faits des hypothèses.

Couper l'exposition des visiteurs

Si des visiteurs sont redirigés, reçoivent des fichiers malveillants ou saisissent leurs données dans un site compromis, faites bloquer l'accès public. Demandez de préférence une restriction au niveau de l'hébergement ou une page statique indépendante de WordPress.

Une extension de maintenance exécutée dans le WordPress infecté peut être insuffisante. Il ne faut pas non plus afficher une page de maintenance tout en laissant les interfaces compromises accessibles. Faites définir avec l'hébergeur ce qui doit être isolé, sans supprimer l'installation.

Demander immédiatement une conservation des preuves

Avant tout nettoyage, faites conserver les fichiers, la base et les journaux disponibles. Les journaux peuvent être renouvelés automatiquement : demandez leur préservation sans attendre.

Une copie du site infecté est une pièce d'investigation, pas une sauvegarde saine à restaurer. Conservez-la hors de l'hébergement compromis, avec un accès limité et une étiquette explicite. Ne la partagez pas par lien public et ne l'ouvrez pas sur un poste de travail ordinaire comme un site de démonstration.

Reprendre le contrôle des accès depuis un appareil sain

Si l'ordinateur qui sert à administrer le site est compromis, un nouveau mot de passe peut être volé aussitôt. Utilisez un appareil de confiance et faites contrôler les postes suspects.

Sécurisez les comptes qui permettent de reprendre tous les autres : messagerie de récupération, hébergement et gestion du domaine. Contrôlez leurs options de récupération et activez l'authentification multifacteur lorsqu'elle est disponible. Vérifiez ensuite WordPress, SFTP, les comptes de base de données et les accès techniques associés.

Après avoir conservé leur trace, faites désactiver les comptes inconnus ou non nécessaires. Révoquez les sessions et les accès techniques suspects. Les clés de sécurité WordPress peuvent être renouvelées pour invalider les cookies de connexion ; les mots de passe d'application et autres jetons doivent être examinés séparément.

Ne changez pas un mot de passe de base de données sans mettre à jour la configuration correspondante : vous pourriez ajouter une panne à l'incident. Confiez ces opérations à la personne qui maîtrise l'installation. Une nouvelle rotation des secrets peut être nécessaire après le nettoyage, comme le recommande la documentation WordPress sur les sites piratés.

Demander à l'hébergeur ce qu'il peut réellement vérifier

Transmettez les symptômes et demandez :

• quelles sauvegardes existent et quelles dates elles couvrent ;
• quels journaux peuvent être conservés et consultés ;
• si d'autres sites du même compte présentent des anomalies ;
• si des envois de spam ou des accès inhabituels ont été détectés ;
• quelles mesures d'isolation sont possibles.

Un scan de fichiers peut aider, mais un résultat sans alerte ne prouve pas que la base, les comptes et les tâches planifiées sont sains. Un contrôle externe ne voit pas non plus tout ce qui se passe sur le serveur.

Changer d'hébergeur immédiatement n'est pas une solution automatique. Migrer les mêmes fichiers infectés et les mêmes accès peut déplacer le problème sans le résoudre.

Restaurer une sauvegarde ou reconstruire le site ?

Si une sauvegarde existe

La copie doit être antérieure à l'intrusion, pas seulement à l'apparition des symptômes. Une porte dérobée peut rester discrète avant que les premières redirections soient visibles.

Testez la restauration dans un environnement isolé et non public, sans envoi d'e-mails ni opérations réelles de paiement. Vérifiez les comptes, les fichiers et les données avant de considérer cette copie comme une base de travail.

Sur un site marchand, revenir en arrière peut effacer des commandes ou des paiements récents. Préservez ces données et prévoyez leur rapprochement avec les transactions du prestataire de paiement. Ne remettez pas simplement toute la base récente dans l'ancienne installation : vous pourriez réintroduire le contenu malveillant.

Si la sauvegarde est absente ou douteuse

Une reconstruction contrôlée peut être préférable à des suppressions dispersées. Elle consiste à repartir de fichiers WordPress, de thèmes et d'extensions issus de sources officielles ou de leurs éditeurs, puis à reprendre les contenus après vérification.

Le contrôle doit couvrir les fichiers de configuration, les extensions chargées automatiquement, les tâches planifiées, les comptes et la base de données. Les médias et les contenus importés ne sont pas dispensés de vérification.

Le bouton « réinstaller WordPress » ne suffit pas nécessairement : remplacer des fichiers légitimes peut laisser sur place les fichiers ajoutés par l'attaquant. Ne supprimez pas non plus des dossiers en production en suivant une liste trouvée en ligne. Travaillez sur une copie, avec un plan de reconstruction et de retour arrière.

Corriger la cause avant de rouvrir

Les pistes à examiner comprennent une extension vulnérable, un thème abandonné, un accès volé, un compte ancien ou une autre installation compromise sur le même hébergement. Ce sont des pistes, pas un diagnostic à distance.

Les journaux et les modifications observées peuvent aider à reconstituer la chronologie. Si la cause n'est pas démontrable, le compte rendu doit le dire et préciser les mesures prises pour réduire les risques restants.

Mettez à jour les composants conservés après vérification de compatibilité. Retirez ceux qui sont inutiles ou ne sont plus maintenus. Vérifiez les droits et les accès, puis testez les fonctions métier : connexion, formulaires, réception des messages et, le cas échéant, commande et paiement en environnement de test.

Un audit de sécurité et des accès peut compléter ce travail pour cadrer les contrôles à effectuer. Il ne remplace pas le traitement immédiat d'une compromission active.

Données personnelles : ne pas attendre la fin du nettoyage

Un piratage peut affecter la confidentialité, mais aussi l'intégrité ou la disponibilité de données personnelles. Examinez les formulaires enregistrés, les comptes clients, les commandes et les données auxquelles le site donne accès.

Selon la CNIL, les violations doivent être documentées en interne. Une notification est nécessaire lorsqu'elles présentent un risque pour les droits et libertés des personnes ; si le risque est élevé, les personnes concernées doivent également être informées, sous réserve des conditions applicables.

La notification à la CNIL doit intervenir dans les meilleurs délais et, si possible, dans les 72 heures suivant la constatation de la violation. Une notification initiale peut être complétée si l'enquête n'est pas terminée. Faites évaluer la situation par votre responsable de traitement, votre DPO ou votre conseil : ne concluez ni « aucune donnée volée » ni « déclaration obligatoire » sur la seule apparence de la page d'accueil.

Préservez aussi les éléments utiles à une plainte et contactez votre assureur si vous disposez d'une couverture cyber. Les démarches et les conditions de prise en charge ne doivent pas attendre la remise en ligne.

Après réparation : remettre en service puis surveiller

Avant la réouverture, validez les parcours essentiels et l'absence des anomalies déjà identifiées. Contrôlez les réglages DNS, les redirections, les comptes et les tâches automatiques. Conservez la liste des corrections et des points encore incertains.

Dans Google Search Console, examinez les problèmes de sécurité et les accès propriétaires. Si un avertissement est présent, demandez son examen uniquement après traitement des problèmes signalés. Ne promettez pas un retour immédiat des résultats de recherche : le retrait des alertes et la réexploration ne sont pas instantanés.

Surveillez ensuite les journaux, les modifications inattendues, les nouveaux comptes et les envois d'e-mails. Une page redevenue normale ne prouve pas que l'incident est clos.

Quand passer la main à un professionnel ?

Faites-vous accompagner si vous n'avez pas de copie fiable, si plusieurs sites sont touchés, si les anomalies reviennent ou si vous soupçonnez une fuite de données. C'est également prudent pour une boutique active, une application connectée à d'autres outils ou un serveur dont les accès sont compromis.

Préparez l'adresse du site, les symptômes, les dates, les sauvegardes disponibles et les coordonnées de l'hébergeur. N'envoyez pas vos mots de passe dans le message initial.

BCSIRT travaille depuis la Martinique et accompagne aussi des projets à distance en France. La page réponse aux incidents cyber décrit le cadre d'accompagnement. Une demande de contact ne vaut pas confirmation d'une intervention immédiate : le périmètre et la disponibilité doivent être convenus.

Questions fréquentes

Puis-je simplement restaurer la sauvegarde d'hier ?

Pas sans contrôle. La sauvegarde d'hier peut déjà contenir l'infection, et la restauration peut supprimer des données récentes. Il faut vérifier sa date, son contenu et la porte d'entrée, puis corriger l'installation avant la réouverture.

Un site WordPress à jour peut-il être piraté ?

Oui. Les mises à jour réduisent certains risques, mais ne protègent pas d'un compte volé, de droits excessifs ou d'une autre installation compromise. La sécurité dépend aussi des accès, de l'hébergement et du suivi.

Une extension de sécurité peut-elle tout nettoyer ?

Non. Elle peut repérer des éléments suspects, mais ne garantit pas l'examen complet des fichiers, des comptes, de la base et du serveur. Son résultat doit être interprété et complété selon l'incident.

Éviter de recommencer dans quelques semaines

Prévoyez des sauvegardes séparées du serveur, des restaurations testées, des mises à jour suivies et des comptes nominatifs avec des droits limités. Retirez les accès des anciens intervenants et définissez qui reçoit les alertes. Ces responsabilités peuvent être formalisées dans la maintenance WordPress.

Pour présenter la situation, contactez BCSIRT or write to contact@bcsirt.fr. Décrivez ce qui se passe et les mesures déjà prises, sans transmettre de secret. La première décision utile est de savoir ce qu'il faut isoler, préserver et vérifier, pas de remettre le site en ligne à tout prix.