Sécurité WordPress · panorama
Un site piraté, ce n’est pas toujours spectaculaire. Le plus souvent, l’attaque est silencieuse : un article que vous n’avez jamais écrit, un compte administrateur apparu de nulle part, des liens invisibles glissés dans votre pied de page. Le site fonctionne en apparence, et pendant ce temps, quelqu’un s’en sert.
Je nettoie et je sécurise des sites WordPress compromis régulièrement. Cette page rassemble ce que j’ai appris sur le terrain : comment reconnaître un piratage, quelles sont les grandes familles d’attaques, et comment on remet réellement un site d’aplomb — pas en surface, mais à la racine. Si vous êtes en train de gérer une urgence, sachez déjà une chose : la panique est mauvaise conseillère, et la première action n’est jamais de « réparer », c’est de diagnostiquer.
Les signes varient selon l’intention de l’attaquant. Voici ceux que je rencontre le plus souvent.
Une page factice à la place de votre site, une redirection automatique (souvent uniquement sur mobile, pour échapper à votre vigilance), des fenêtres publicitaires, un cadenas SSL qui saute. Ce sont les piratages « bruyants » — désagréables, mais au moins on les repère tout de suite.
Un article publié que personne n’a rédigé — souvent de la publicité pour des casinos en ligne ou des sites de paris. Un compte administrateur que vous ne connaissez pas dans la liste des utilisateurs. Des liens cachés dans votre pied de page, invisibles pour vous mais lus par Google. Un pic de spam dans vos formulaires. Ces attaques ne cassent rien : elles exploitent votre site pour en tirer profit, et elles peuvent empoisonner votre référencement pendant des mois avant que vous ne remarquiez quoi que ce soit.
Des fichiers modifiés récemment que vous n’avez pas touchés, un php.ini ou un .htaccess altéré, des fichiers .php apparus dans le dossier uploads (où il ne devrait jamais y en avoir), des connexions étranges dans vos journaux d’erreurs. Ceux-là, il faut souvent aller les chercher en ligne de commande — mais ce sont eux qui racontent la vérité de l’intrusion.
Tous les piratages ne se ressemblent pas, et ils ne se traitent pas de la même façon.
L’attaquant crée un compte administrateur, puis publie des articles ou insère des liens cachés vers des sites tiers — casinos, paris, contrefaçon. Le but n’est pas de vous nuire directement, mais d’exploiter l’autorité de votre domaine pour référencer ses propres contenus. Discret, et toxique pour votre SEO.
Votre site est détourné pour rediriger les visiteurs vers une page malveillante, ou pour héberger à votre insu une fausse page de connexion (imitant Microsoft, une banque, un service connu) destinée à voler des identifiants. Souvent accompagnée de code JavaScript volontairement illisible, dissimulé dans vos fichiers.
La plus vicieuse : l’attaquant installe des extensions invisibles, masque sa présence à l’administrateur, détourne des outils légitimes pour se cacher, et laisse des portes dérobées pour revenir. Le site a l’air sain vu du tableau de bord — le mal vit dans les recoins que l’interface ne montre pas.
Des milliers de tentatives de connexion par jour, une saturation du serveur, une exploitation de failles connues. Parfois le prélude à une intrusion, parfois une nuisance en soi qui fait tomber le site.
L’erreur la plus fréquente, quand on découvre un site piraté, c’est de vouloir « réparer » tout de suite — restaurer une sauvegarde, réinstaller au hasard. On efface alors les preuves, on masque parfois le vrai problème, et on laisse la porte d’entrée ouverte pour la prochaine intrusion. Ma méthode suit toujours le même fil.
Avant de nettoyer, je remonte le fil : quand l’attaque a-t-elle eu lieu, par où, qu’a fait l’attaquant précisément ? Les journaux du serveur racontent l’histoire heure par heure — la création d’un compte frauduleux, l’injection d’un fichier, la modification du pied de page. Sans cette chronologie, on nettoie à l’aveugle.
Supprimer le code injecté, les comptes frauduleux, les fichiers malveillants — y compris ceux qui se cachent là où un scan automatique ne regarde pas. Un scan antimalware qui ne trouve rien ne prouve pas qu’un site est sain : les infections les plus sérieuses vivent dans des fichiers de thème légitimes, des extensions masquées ou le contenu éditorial, des endroits qu’un outil considère comme normaux. La vérification humaine reste irremplaçable.
Sur une boutique, il est hors de question de tout réinstaller en écrasant les commandes, les paniers et les comptes clients. Le bon travail consiste à repartir sur un socle propre tout en reconnectant la base de données saine — nettoyer sans détruire.
Nettoyer ne suffit jamais. Il faut fermer la faille exploitée : renouveler tous les mots de passe (WordPress, FTP, SSH, base de données), régénérer les clés de sécurité, installer et configurer un pare-feu, restreindre les fichiers sensibles, interdire l’exécution de code dans les dossiers d’upload, et activer la double authentification sur les comptes critiques. Nettoyer sans sécuriser, c’est laisser la porte ouverte.
Chaque piratage a sa signature. J’ai documenté plusieurs interventions réelles, anonymisées, pour montrer concrètement à quoi ressemble le travail de remise en état — du nettoyage en ligne de commande à la traque de malwares invisibles.
Si vous reconnaissez un des signes décrits ici, ou si quelque chose vous semble simplement anormal, le premier pas est un diagnostic — regarder ce qui s’est vraiment passé avant de toucher à quoi que ce soit. Je propose une prise en charge complète, de l’urgence au nettoyage jusqu’à la sécurisation durable. N’attendez pas qu’un site compromis abîme votre référencement ou votre réputation : plus l’intervention est précoce, plus elle est simple.