Site WordPress piraté : que faire ?

Par David Benon, développeur WordPress · Mis à jour le 9 octobre 2026 · Lecture : 8 min

Les signes d’un site WordPress piraté

• Les visiteurs sont redirigés vers des sites de casino, de pharmacie ou d’arnaque, parfois seulement depuis Google ou sur mobile.
• Google affiche des pages en japonais, en anglais ou des produits que vous ne vendez pas (commande site:votre-domaine.fr).
• Le navigateur ou Google affiche « Ce site peut endommager votre ordinateur ».
• Des comptes administrateurs inconnus apparaissent dans Utilisateurs.
• Votre hébergeur a suspendu le site ou vous signale un envoi massif d’e-mails.
• Des fichiers PHP aux noms étranges apparaissent dans wp-content/uploads ou à la racine.

Étape 1 : les premiers réflexes

1. Sauvegardez l’état actuel (fichiers et base de données), même infecté. Cette copie sert à analyser l’attaque et à récupérer un contenu si besoin.
2. Changez tous les mots de passe : comptes administrateurs WordPress, FTP, base de données, espace client de l’hébergeur et adresse e-mail liée au site.
3. Supprimez les comptes inconnus dans Utilisateurs, en attribuant leurs contenus à votre compte.
4. Prévenez l’hébergeur : il peut vous indiquer les fichiers détectés et la date de l’infection.

Étape 2 : remplacer les fichiers de WordPress

Téléchargez la même version de WordPress sur wordpress.org. Supprimez les dossiers wp-admin et wp-includes du serveur, puis remplacez-les par les versions saines. Remplacez aussi les fichiers PHP à la racine, sauf wp-config.php.

Ouvrez wp-config.php et vérifiez qu’il ne contient pas de code inhabituel (longues chaînes illisibles, fonctions eval ou base64_decode). Profitez-en pour régénérer les clés de sécurité avec le générateur officiel de WordPress : toutes les sessions ouvertes seront déconnectées.

Étape 3 : nettoyer les extensions et le thème

• Supprimez toutes les extensions et thèmes inutilisés.
• Réinstallez les extensions conservées depuis leur source officielle, plutôt que de garder les fichiers présents sur le serveur.
• Méfiez-vous des extensions ou thèmes « premium » téléchargés gratuitement sur des sites non officiels : ils sont une source d’infection très fréquente.

Étape 4 : inspecter le dossier uploads

Le dossier wp-content/uploads ne doit contenir que des médias (images, PDF, vidéos). Tout fichier .php qui s’y trouve est suspect et doit être examiné, puis supprimé s’il n’a rien à faire là. Pour empêcher l’exécution de PHP dans ce dossier, vous pouvez y ajouter un fichier .htaccess qui bloque les scripts.

Étape 5 : vérifier la base de données

Les pirates cachent souvent du code ou des liens dans la base de données. Avec phpMyAdmin, vérifiez notamment :

• la table wp_options, en particulier siteurl et home (une redirection peut venir de là) ;
• la table wp_users, pour repérer les comptes inconnus ;
• les contenus des articles et pages, à la recherche de balises <script> ou de liens cachés.

Étape 6 : scanner et surveiller

Une fois le nettoyage fait, lancez un scan avec une extension de sécurité reconnue (Wordfence ou Sucuri par exemple) et un scanner externe. Surveillez le site pendant plusieurs jours : une réinfection rapide signifie qu’une porte dérobée est encore présente.

Étape 7 : rétablir la confiance de Google

Dans la Search Console, ouvrez le rapport Problèmes de sécurité. Si un problème est signalé, cliquez sur Demander un examen en décrivant les actions réalisées. Supprimez aussi les pages de spam indexées avec l’outil de suppression d’URL, et vérifiez que votre sitemap ne contient que vos vraies pages.

Éviter un nouveau piratage

• Mettez à jour WordPress, les extensions et le thème régulièrement.
• Utilisez des mots de passe uniques et activez la double authentification sur les comptes administrateurs.
• Limitez les tentatives de connexion et changez l’identifiant « admin » s’il existe encore.
• Gardez une sauvegarde automatique, stockée hors de l’hébergement.
• Utilisez une version de PHP encore maintenue.

Un piratage provoque parfois aussi des boucles de redirection ou un écran blanc : ces guides peuvent vous aider à finir la remise en état.

Besoin d’un dépannage rapide ?

Si vous n’avez pas d’accès FTP, si les manipulations vous semblent risquées ou si votre site vous fait perdre des clients, confiez le problème à un spécialiste. La plupart de ces pannes se corrigent rapidement quand on sait où chercher.

Questions fréquentes

Comment savoir si mon site WordPress est piraté ?

Les signes les plus fréquents sont des redirections vers d’autres sites (souvent seulement sur mobile ou depuis Google), des pages inconnues dans les résultats Google, des comptes administrateurs que vous n’avez pas créés, une alerte de votre navigateur ou un e-mail de l’hébergeur.

Une extension de sécurité suffit-elle à nettoyer un site piraté ?

Une extension de sécurité aide à repérer les fichiers suspects, mais elle ne trouve pas tout. Les pirates laissent souvent des portes dérobées dans la base de données ou dans des fichiers qui semblent normaux. Un nettoyage complet demande une vérification manuelle.

Google va-t-il pénaliser mon site après un piratage ?

Google peut afficher un avertissement et retirer des pages de ses résultats tant que le site est infecté. Une fois le site nettoyé, vous pouvez demander un réexamen dans la Search Console. Le classement revient généralement après quelques semaines.

À lire aussi