WordPress piraté : que faire ? Guide complet de récupération 2026

Accueil / Blog / WordPress piraté : que faire ?

WordPress piraté : ces deux mots suffisent à provoquer une montée de stress chez tout propriétaire de site web. Vous ouvrez votre site et quelque chose ne va pas. Des redirections étranges, des pages que vous n’avez jamais créées, un avertissement de Google en rouge… Le constat est brutal : votre site a été compromis.

Vous n’êtes pas seul dans cette situation. Selon les rapports de Sucuri, près de 90 000 sites WordPress sont piratés chaque jour dans le monde. Ce chiffre vertigineux s’explique par la popularité du CMS, qui propulse plus de 43 % des sites web mondiaux, et par les nombreuses failles exploitables lorsque la sécurité n’est pas prise au sérieux.

Si votre WordPress est piraté, la bonne nouvelle est qu’il est presque toujours possible de récupérer votre site. Encore faut-il agir vite, avec méthode, et éviter les erreurs qui aggraveraient la situation. C’est exactement ce que ce guide va vous permettre de faire.

Que vous gériez un site vitrine pour votre activité à Montpellier, une boutique en ligne ou un blog à fort trafic, vous trouverez ici toutes les étapes pour nettoyer, sécuriser et protéger durablement votre installation WordPress. Et si vous avez besoin d’une aide immédiate, notre équipe propose une intervention d’urgence WordPress piraté avec prise en charge rapide.

Les 10 signes qui indiquent que votre WordPress est piraté

Avant de passer à l’action, il faut d’abord confirmer le diagnostic. Un WordPress piraté ne se manifeste pas toujours de manière évidente. Certains piratages restent silencieux pendant des semaines. Voici les dix signaux d’alerte les plus courants.

1. Redirections de votre WordPress vers des sites suspects

C’est le symptôme le plus visible d’un site WordPress compromis. Vos visiteurs sont automatiquement redirigés vers des pages de phishing, des sites de jeux en ligne ou des pages publicitaires frauduleuses. Cette redirection peut ne se produire que sur mobile ou uniquement pour les visiteurs provenant de Google, ce qui rend la détection plus difficile pour le propriétaire du site.

2. Pages inconnues de votre site web indexées par Google

En tapant site:votredomaine.fr dans Google, vous découvrez des centaines de pages que vous n’avez jamais créées. Ces pages en japonais, en turc ou bourrées de mots-clés pharmaceutiques sont injectées par les pirates pour exploiter l’autorité de votre domaine. Ce type de piratage, appelé « Japanese keyword hack » ou « pharma hack », est extrêmement fréquent sur les installations WordPress négligées.

3. Comptes administrateurs WordPress inconnus

Rendez-vous dans la section Utilisateurs de votre tableau de bord WordPress. Si vous voyez des comptes avec le rôle Administrateur que vous n’avez pas créés, votre site a été compromis. Les attaquants créent ces comptes pour conserver un accès même après un changement de mot de passe.

4. Fichiers modifiés ou inconnus, signe d’un malware

Des fichiers PHP suspects apparaissent à la racine de votre installation ou dans le dossier wp-content/uploads/. Des fichiers légitimes comme wp-config.php ou functions.php ont été modifiés à des dates récentes sans intervention de votre part. C’est un signe classique de piratage par injection de code malveillant.

5. Message d’avertissement de Google sur un site hacké

Google affiche un écran rouge avec le message « Ce site risque d’endommager votre ordinateur » ou « Site trompeur ». Votre site est alors désindexé ou signalé dans les résultats de recherche. La Google Search Console vous envoie également des notifications de sécurité. Cette situation fait chuter votre trafic de manière brutale.

6. Ralentissement anormal du site internet

Votre site, habituellement rapide, devient soudainement très lent. Les temps de chargement explosent. Ce ralentissement peut être causé par des scripts de minage de cryptomonnaie injectés dans votre code, ou par des processus malveillants qui surchargent votre serveur. Un site piraté consomme souvent des ressources serveur considérables.

7. Envoi de spam depuis votre serveur piraté

Votre hébergeur vous informe que votre compte envoie des volumes anormaux d’emails. Votre domaine se retrouve sur des listes noires (blacklists). Les emails légitimes de votre entreprise atterrissent dans les spams de vos correspondants. Les pirates utilisent votre serveur comme relais pour envoyer des campagnes de phishing ou de spam massif.

8. Liens SEO cachés dans vos pages

En inspectant le code source de vos pages, vous découvrez des liens dissimulés pointant vers des sites tiers. Ces liens sont souvent rendus invisibles par du CSS (display:none ou positionnement hors écran). L’objectif est de détourner votre référencement au profit de sites malveillants.

9. Fichiers .php suspects dans les dossiers d’uploads de WordPress

Le dossier wp-content/uploads/ ne devrait contenir que des images, des PDF et des documents. Si vous y trouvez des fichiers avec l’extension .php, c’est un indicateur sérieux de compromission. Ces fichiers servent généralement de « porte dérobée » (backdoor) permettant aux pirates de revenir même après un nettoyage superficiel.

10. Alertes de sécurité de votre hébergeur

Votre hébergeur suspend votre compte ou vous envoie un email d’alerte signalant une activité malveillante. Les hébergeurs disposent de systèmes de détection automatiques et réagissent lorsqu’un site compromis menace la sécurité de leur infrastructure. Si votre hébergeur vous contacte, prenez la situation au sérieux immédiatement.

Si vous reconnaissez un ou plusieurs de ces signes, il est temps d’agir. Votre site est probablement compromis et chaque heure d’inaction augmente les dégâts : perte de données, dégradation du référencement, atteinte à votre réputation auprès de vos clients.

Les 8 étapes pour nettoyer un WordPress piraté

Le nettoyage d’un WordPress piraté demande de la rigueur et de la méthode. Brûler les étapes ou oublier un élément peut laisser une porte ouverte aux attaquants. Voici la procédure complète, dans l’ordre.

Étape 1 : Passer le site piraté en mode maintenance

Avant toute chose, activez le mode maintenance pour empêcher vos visiteurs d’accéder à un site compromis. Cela protège vos utilisateurs et votre réputation. Si vous avez encore accès au tableau de bord, installez une extension de maintenance WordPress. Sinon, créez un fichier .maintenance à la racine de votre installation ou demandez à votre hébergeur de suspendre temporairement l’affichage du site.

Étape 2 : Changer tous les mots de passe du site WordPress

Changez immédiatement tous les mots de passe associés à votre site : compte administrateur WordPress, accès FTP/SFTP, base de données MySQL, panneau de contrôle hébergeur (cPanel, Plesk), et compte email associé. Utilisez des mots de passe forts d’au moins 16 caractères mélangeant majuscules, minuscules, chiffres et caractères spéciaux. Régénérez également les clés de sécurité dans votre fichier wp-config.php (les « salts ») pour invalider toutes les sessions existantes.

Étape 3 : Scanner le site avec des outils de sécurité spécialisés

Lancez un scan complet de votre installation avec des outils reconnus comme Wordfence ou Sucuri SiteCheck. Ces outils comparent vos fichiers aux versions officielles du noyau WordPress et détectent les modifications suspectes, les fichiers malveillants et les vulnérabilités connues. Notez tous les éléments signalés avant de passer au nettoyage. Si votre site est totalement inaccessible, effectuez le scan directement sur les fichiers via FTP.

Étape 4 : Supprimer le code malveillant (malware) et les backdoors

Supprimez tous les fichiers identifiés comme malveillants par le scan de sécurité. Recherchez manuellement les patterns suspects dans vos fichiers : eval(, base64_decode(, gzinflate(, str_rot13(. Vérifiez en particulier le fichier functions.php de votre thème, le fichier .htaccess et le fichier wp-config.php. Supprimez tout compte administrateur que vous n’avez pas créé. Cette étape est la plus délicate et la plus importante du processus de récupération d’un site compromis.

Étape 5 : Réinstaller les fichiers du noyau WordPress

Téléchargez une copie fraîche de WordPress depuis wordpress.org et remplacez l’intégralité des dossiers wp-admin/ et wp-includes/ ainsi que les fichiers à la racine (sauf wp-config.php que vous avez déjà nettoyé). Réinstallez également vos plugins et votre thème depuis des sources officielles. Ne conservez jamais les anciens fichiers de plugins : supprimez et réinstallez proprement.

Étape 6 : Vérifier la base de données WordPress

Les pirates injectent parfois du code directement dans la base de données. Accédez à phpMyAdmin et vérifiez la table wp_users pour détecter des comptes suspects. Examinez la table wp_options, en particulier les champs siteurl et home qui peuvent avoir été modifiés. Recherchez les contenus suspects dans la table wp_posts en filtrant les articles ou pages contenant des iframes ou des scripts inconnus.

Étape 7 : Restaurer une sauvegarde saine, antérieure au piratage, si nécessaire

Si le nettoyage manuel s’avère trop complexe ou si l’étendue de la compromission est trop importante, restaurez une sauvegarde antérieure au piratage. Assurez-vous que cette sauvegarde est effectivement saine en la scannant avant la restauration. Après restauration, appliquez immédiatement toutes les mises à jour disponibles et changez à nouveau tous les mots de passe. Attention : une restauration sans correction de la faille initiale vous expose à un nouveau piratage.

Étape 8 : Demander un réexamen à Google après le piratage

Si Google a signalé votre site comme dangereux, rendez-vous dans la Google Search Console, section « Problèmes de sécurité ». Après avoir nettoyé votre site, cliquez sur « Demander un examen » en décrivant les mesures correctives que vous avez prises. Google analyse généralement votre site sous 24 à 72 heures. Si le nettoyage est complet, l’avertissement sera levé et votre site retrouvera progressivement sa position dans les résultats de recherche.

Ces huit étapes constituent la procédure standard pour récupérer un site WordPress piraté. Si vous n’êtes pas à l’aise avec les manipulations techniques, ne prenez pas de risque : une erreur peut aggraver la situation. Notre équipe intervient quotidiennement sur ce type de problématique avec un processus éprouvé.

Les causes fréquentes d’un piratage WordPress

Comprendre comment votre site a été compromis est indispensable pour éviter que la situation ne se reproduise. Dans la grande majorité des cas, le piratage n’est pas le fait d’un attaquant ciblé : ce sont des robots automatisés qui exploitent des failles connues à grande échelle. Voici les causes les plus courantes.

Plugins et thèmes obsolètes (52 % des piratages)

C’est la cause numéro un. Les plugins et les thèmes qui ne sont pas mis à jour contiennent des vulnérabilités connues et documentées publiquement. Les pirates n’ont même pas besoin de chercher : ils exploitent automatiquement les failles référencées dans les bases de données CVE. Un seul plugin obsolète suffit à compromettre l’ensemble de votre installation. Plus votre site comporte de plugins, plus la surface d’attaque est grande.

Mots de passe WordPress faibles

Les attaques par force brute restent un vecteur de piratage majeur. Les robots testent automatiquement des milliers de combinaisons identifiant/mot de passe sur votre page de connexion wp-login.php. Si votre mot de passe est « admin123 », « motdepasse » ou le nom de votre entreprise suivi de l’année, il sera trouvé en quelques minutes. Un mot de passe faible sur le compte FTP ou la base de données est tout aussi dangereux.

Plugins et thèmes pirates (nulled)

Télécharger des plugins ou des thèmes premium depuis des sources non officielles est l’un des moyens les plus sûrs de se faire pirater. Ces versions « nulled » ou « crackées » contiennent presque systématiquement des backdoors et du code malveillant. L’économie réalisée sur le coût de la licence se paie au centuple lorsque votre site est compromis et que vous devez payer une intervention de nettoyage.

Hébergement WordPress peu sécurisé

Un hébergement mutualisé bas de gamme peut exposer votre site aux vulnérabilités des autres sites hébergés sur le même serveur. Si un site voisin est piraté, l’attaquant peut parfois accéder à vos fichiers par contamination croisée. L’absence de pare-feu applicatif (WAF), de détection d’intrusion ou de versions PHP à jour sur le serveur augmente considérablement le risque.

Absence de certificat SSL sur le site web

Un site sans HTTPS transmet toutes les données en clair, y compris les identifiants de connexion. Sur un réseau non sécurisé (Wi-Fi public par exemple), ces informations peuvent être interceptées par un attaquant. Au-delà de la sécurité, l’absence de SSL pénalise également votre référencement puisque Google favorise les sites en HTTPS depuis plusieurs années.

Dans la plupart des cas, un WordPress piraté est la conséquence d’une accumulation de négligences. Aucune de ces failles n’est insurmontable, mais elles exigent une vigilance constante et une gestion rigoureuse de votre installation.

7 mesures pour sécuriser durablement votre WordPress

Nettoyer un WordPress piraté ne suffit pas. Si vous ne corrigez pas les failles qui ont permis l’intrusion, votre site sera de nouveau compromis dans les semaines ou les mois qui suivent. Voici les sept mesures de sécurisation que nous recommandons à tous nos clients, qu’ils gèrent un site vitrine ou une boutique en ligne.

1. Installer un plugin de sécurité robuste (Wordfence ou Sucuri)

Un plugin de sécurité constitue votre première ligne de défense. Wordfence, avec sa version gratuite déjà très complète, propose un pare-feu applicatif, un scanner de malwares, une protection contre les attaques par force brute et un monitoring en temps réel. Sucuri offre des fonctionnalités similaires avec en plus un CDN/WAF cloud qui filtre le trafic malveillant avant même qu’il n’atteigne votre serveur. Configurez les alertes email pour être prévenu immédiatement en cas d’activité suspecte.

2. Activer l’authentification à deux facteurs (2FA) sur WordPress

L’authentification à deux facteurs ajoute une couche de protection décisive à votre connexion. Même si un attaquant découvre votre mot de passe, il ne pourra pas se connecter sans le code temporaire généré par votre application d’authentification (Google Authenticator, Authy). Activez le 2FA pour tous les comptes ayant un rôle d’éditeur ou supérieur. C’est l’une des mesures les plus simples et les plus efficaces contre le piratage.

3. Limiter les tentatives de connexion pour freiner le piratage

Par défaut, WordPress autorise un nombre illimité de tentatives de connexion. C’est une invitation aux attaques par force brute. Configurez une limitation à 3 ou 5 tentatives avant blocage temporaire de l’adresse IP. Les plugins Wordfence ou Limit Login Attempts Reloaded permettent de mettre cela en place en quelques clics. Vous pouvez également modifier l’URL de connexion par défaut (wp-login.php) pour une adresse personnalisée.

4. Activer les mises à jour automatiques de WordPress

Depuis WordPress 5.6, il est possible d’activer les mises à jour automatiques pour le noyau, les plugins et les thèmes directement depuis le tableau de bord. Activez au minimum les mises à jour de sécurité du noyau et les mises à jour des plugins WordPress indispensables. Pour les mises à jour majeures, un processus de test préalable sur un environnement de staging est recommandé pour éviter les incompatibilités.

5. Mettre en place des sauvegardes automatiques du site internet

Une sauvegarde récente et saine est votre meilleure assurance en cas de piratage. Configurez des sauvegardes automatiques quotidiennes avec un plugin comme UpdraftPlus. Stockez les sauvegardes sur un service externe (Google Drive, Dropbox, Amazon S3) et non sur le même serveur que votre site. Conservez au moins 30 jours d’historique pour pouvoir restaurer une version antérieure au piratage si celui-ci est détecté tardivement.

6. Modifier le préfixe des tables de la base de données WordPress

Par défaut, WordPress utilise le préfixe wp_ pour toutes ses tables. Ce préfixe standard facilite les attaques par injection SQL puisque l’attaquant connaît d’avance la structure de votre base. Modifiez ce préfixe lors de l’installation ou après coup à l’aide d’un plugin dédié. Choisissez un préfixe aléatoire comme x7k2_ pour compliquer la tâche des scripts automatisés.

7. Souscrire un contrat de maintenance WordPress

La sécurité d’un site WordPress n’est pas un événement ponctuel, c’est un processus continu. Un contrat de maintenance WordPress professionnel garantit des mises à jour régulières, une surveillance permanente, des sauvegardes vérifiées et une intervention rapide en cas de problème. C’est l’investissement le plus rentable pour la pérennité de votre site web. Vous pouvez confier ce travail à un webmaster qui suit votre site au mois, sans engagement.

Comparatif des mesures de sécurisation de WordPress

La combinaison de ces mesures crée un dispositif de sécurité WordPress solide qui dissuade la grande majorité des attaques automatisées. Aucune protection n’est infaillible, mais un site bien sécurisé devient une cible beaucoup moins attractive pour les pirates.

WordPress piraté : faire soi-même ou faire appel à un professionnel comme Site Web Montpellier ?

Face à un WordPress piraté, la question se pose inévitablement : tenter de résoudre le problème seul ou confier l’intervention à un expert ? Les deux approches ont leurs mérites, mais les conséquences d’un mauvais choix peuvent être lourdes.

Le nettoyage du site piraté en autonomie (DIY)

Si vous avez des compétences techniques solides en PHP, en gestion de bases de données et en administration serveur, il est possible de nettoyer votre site WordPress vous-même en suivant les étapes décrites dans ce guide. L’avantage principal est évidemment le coût : l’intervention est gratuite, hors le temps que vous y consacrez.

Cependant, les chiffres sont éloquents : environ 40 % des sites nettoyés par leurs propriétaires sont de nouveau piratés dans les trois mois. La raison est simple : sans expertise approfondie, il est extrêmement difficile d’identifier et de supprimer toutes les backdoors dissimulées dans le code. Un seul fichier oublié et l’attaquant revient. De plus, le temps passé à chercher, comprendre et nettoyer représente souvent plusieurs jours de travail, pendant lesquels votre site reste hors service ou compromis.

L’intervention d’un professionnel de la sécurité WordPress

Un spécialiste en sécurité WordPress facture généralement entre 200 et 800 EUR pour une intervention complète de nettoyage et de sécurisation. Ce tarif inclut le diagnostic approfondi, la suppression de tous les malwares et backdoors, la réinstallation propre et le durcissement de la sécurité.

L’avantage décisif du professionnel est son expérience. Il sait exactement où chercher les backdoors, quels fichiers vérifier, comment auditer la base de données et quelles mesures de sécurisation appliquer pour éviter la récidive du piratage. L’intervention est généralement terminée en quelques heures au lieu de plusieurs jours.

Notre intervention à Site Web Montpellier

Chez Site Web Montpellier, nous intervenons sur les sites compromis avec un engagement de prise en charge sous 24 à 48 heures. Notre processus comprend un audit complet de la compromission, un nettoyage intégral avec vérification manuelle, la mise en place des mesures de sécurisation, un rapport détaillé de l’intervention et un suivi post-nettoyage pour vérifier qu’aucune backdoor n’a été oubliée.

Nos clients partout en France font confiance à notre équipe pour retrouver un site web sain et sécurisé. Vous pouvez consulter nos réalisations pour découvrir les projets que nous accompagnons au quotidien.

Le choix dépend de votre niveau technique et de l’importance de votre site internet pour votre activité. Pour un site professionnel générant du chiffre d’affaires, l’intervention d’un spécialiste est un investissement raisonnable qui vous évite des semaines de stress et de perte de revenus.

Conclusion : face à un WordPress piraté, agir vite, agir bien

Un WordPress piraté n’est pas une fatalité, mais c’est une urgence. Chaque heure d’inaction permet aux attaquants d’approfondir leur emprise, de voler des données, de dégrader votre référencement et de compromettre la confiance de vos visiteurs.

Les étapes sont claires : identifier les signes de compromission, nettoyer méthodiquement votre installation WordPress, corriger les failles qui ont permis l’intrusion, puis mettre en place un dispositif de sécurisation durable. Que vous choisissiez d’intervenir vous-même ou de confier la mission à un professionnel, l’essentiel est d’agir sans attendre.

Si votre site WordPress est piraté et que vous avez besoin d’une aide immédiate, notre équipe est disponible pour une intervention d’urgence WordPress piraté. Diagnostic, nettoyage, sécurisation : nous prenons en charge l’intégralité du processus pour que vous puissiez vous concentrer sur votre activité en toute sérénité.

La sécurité de votre site web n’est pas un luxe. C’est une responsabilité envers vos visiteurs, vos clients et votre activité. Prenez-la au sérieux, et votre WordPress restera un outil fiable et performant au service de votre réussite.

Questions fréquentes sur le piratage WordPress