Mon site WordPress a été piraté : que faire en premier ?

Votre site affiche des liens qui ne sont pas les vôtres, Google vous signale comme dangereux, ou votre hébergeur vient de suspendre votre compte. La panique est mauvaise conseillère : certains réflexes aggravent la situation de façon irréversible.

Que faire dans la première heure ?

Dans cet ordre, sans en sauter un :

• Ne supprimez rien. Les fichiers modifiés sont la seule trace du point d’entrée. Les effacer vous condamne à être repiraté par le même chemin.
• Faites une copie complète du site en l’état, fichiers et base. Y compris infectée : elle servira à comprendre.
• Changez les mots de passe de l’hébergement, de la base et des comptes administrateurs. Depuis un autre appareil que celui habituel.
• Mettez le site hors ligne le temps du nettoyage. Une page d’attente vaut mieux qu’un site qui contamine vos visiteurs.

Par où sont‑ils entrés ?

Dans la très grande majorité des cas que je rencontre, par l’une de ces trois portes :

Une extension non mise à jour

C’est la première cause, et de loin. Une faille publiée est exploitée par des robots dans les heures qui suivent. Ils ne vous ont pas visé : ils balayent des millions d’adresses et s’arrêtent là où la défense cède.

Un mot de passe réutilisé

Le vôtre a fuité sur un autre service, et il ouvre votre site. C’est pour cette raison qu’un mot de passe unique par site n’est pas une précaution de spécialiste, mais une base.

Un thème acheté hors des circuits officiels

Un thème « premium » téléchargé sans frais contient presque toujours autre chose que ce qu’il annonce. L’économie de 59 € se paie très cher.

Suffit‑il de restaurer une sauvegarde ?

Non, et c’est l’erreur la plus fréquente. Restaurer remet le site dans l’état d’avant, faille comprise. La réinfection survient en général dans la semaine.

Restaurer sans corriger la cause, c’est remplacer une vitre brisée sans fermer la fenêtre.

La restauration est une étape, jamais la solution. Il faut d’abord identifier le point d’entrée, le fermer, puis restaurer, puis vérifier qu’aucun compte administrateur inconnu n’a été créé au passage.

Combien de temps avant de revenir à la normale ?

Le nettoyage technique prend en général une journée. Le retour à la normale dans les moteurs de recherche est plus lent : comptez de deux à quatre semaines pour que Google retire l’avertissement, une fois la demande de réexamen déposée.

C’est cette seconde durée qui coûte le plus cher, et c’est elle que l’on oublie de compter.

Comment éviter que cela recommence ?

Sans acheter le moindre logiciel de sécurité :

• les mises à jour appliquées dans le mois, pas dans l’année ;
• les extensions inutilisées supprimées, pas seulement désactivées ;
• une sauvegarde automatique stockée ailleurs que sur le serveur ;
• la double authentification sur les comptes administrateurs.

Ces quatre points écartent la quasi‑totalité des attaques automatisées, qui représentent l’essentiel de ce que subit un site de petite entreprise.

Sur le même sujet : Comment organiser sa médiathèque ? · Faut‑il désactiver les commentaires ?