Pour nettoyer un WordPress piraté, commencez par documenter l’incident, puis verrouillez les accès, sauvegardez l’état infecté et seulement ensuite supprimez le code malveillant. Le guide officiel de WordPress.org suit cet ordre. Ne réinstallez jamais WordPress depuis le tableau de bord : utilisez des copies fraîches des dossiers du cœur, par FTP ou SFTP.
Les signes qui doivent alerter
Ces indicateurs sont courants, sans être exhaustifs :
- un utilisateur administrateur que vous ne reconnaissez pas ;
- des pages, des liens ou des fichiers apparus sans que vous les ayez créés ;
- une redirection inattendue, par exemple vers un autre site, selon le navigateur ou l’appareil ;
- un avertissement de sécurité affiché par le navigateur ou par Google ;
- une lenteur ou une charge serveur anormales, qui peuvent signaler un minage ou un envoi de spam.
Si l’un de ces signes apparaît, passez aux étapes ci-dessous.
1. Documentez l’incident
Notez ce qui vous a alerté, à quelle heure, et ce qui a changé récemment : une extension installée, une mise à jour, un nouvel utilisateur. Ces notes serviront de point de départ à l’enquête.
2. Analysez le site et votre poste
Le guide cite des scanners au niveau de l’application, comme Wordfence, Sucuri, GOTMLS ou Quttera, et des analyseurs distants, comme VirusTotal. Cependant, exécuter un scanner PHP interne sur un site déjà compromis comporte un risque : si les attaquants ont altéré le cœur ou désactivé des hooks, l’analyse peut être faussée ou faire tomber le serveur en erreur 500.
Pour un diagnostic fiable et indépendant, vous pouvez utiliser le scanner externe de malwares WordPress : son analyse statique déportée vérifie vos fichiers face aux checksums officiels de WordPress.org et applique 123 règles YARA pour détecter webshells, backdoors et redirections pirates sans exécuter de code sur votre hébergement. Si votre site affiche un avertissement rouge Google ou a été suspendu par votre hébergeur, le diagnostic d’urgence pour site piraté permet d’identifier immédiatement les fichiers infectés. Pour surveiller l’intégrité de vos fichiers cœur et extensions après assainissement, installez l’extension officielle Genisoft Security Connector sur WordPress.org. Pensez également à analyser votre propre ordinateur, qui est souvent le vecteur de vol d’identifiants initial.
3. Prévenez votre hébergeur
Sur un hébergement mutualisé, d’autres sites peuvent être touchés. L’hébergeur peut confirmer une intrusion et prendre des mesures côté serveur.
4. Verrouillez les accès
Changez tous les points d’entrée : FTP ou SFTP, wp-admin, le panneau de l’hébergeur et la base de données. Forcez ensuite la réinitialisation des mots de passe, surtout pour les administrateurs. Le guide indique aussi de régénérer les clés secrètes de wp-config.php, ce qui déconnecte les sessions actives.
5. Sauvegardez l’état infecté
Avant de nettoyer, copiez les fichiers et la base de données. Cette copie sert de référence, et de preuve si vous devez déposer plainte.
6. Remplacez les fichiers du cœur
Remplacez les dossiers wp-admin et wp-includes par des copies fraîches de la même version de WordPress. Puis vérifiez les fichiers les plus visés :
.htaccess, très souvent modifié par les attaquants ;index.php;- les fichiers du thème, comme
header.php,footer.phpetfunctions.php.
Le code malveillant peut aussi se trouver dans des fichiers d’extension ou de thème. Vérifiez-les en plus des fichiers du cœur.
7. Mettez à jour et changez les mots de passe
Une fois le site propre, mettez WordPress à jour, puis changez de nouveau tous les mots de passe. Des changements faits avant le nettoyage peuvent avoir survécu. Pour une démarche plus large de maintenance sécurisée, voyez notre article sur la mise à jour sécurisée de PrestaShop et WordPress sur VPS.
8. Cherchez la porte d’entrée
Une simple suppression ne suffit pas : il faut comprendre comment l’attaquant est entré pour fermer ce chemin. Une extension vulnérable, un mot de passe faible ou un poste compromis sont les causes les plus fréquentes. Les journaux du serveur peuvent montrer les requêtes suspectes ; notre article sur la détection des attaques WordPress dans les logs détaille cette lecture.
Restaurer une sauvegarde saine
Des utilisateurs du forum officiel conseillent souvent de restaurer une sauvegarde connue saine, puis de changer tous les identifiants, plutôt que de nettoyer les fichiers à la main. C’est un avis de la communauté, non une consigne officielle. Vérifiez que la sauvegarde est antérieure à l’infection.
Après le nettoyage
Surveillez le site pendant plusieurs jours : nouvel administrateur, fichier modifié, redirection apparue. Les forums décrivent des réinfections fréquentes, généralement dues à une porte dérobée résiduelle, un script persistant en base de données ou une tâche cron compromise. Si le malware revient en boucle ou si vous souhaitez sécuriser l’opération, vous pouvez confier la désinfection à un service de nettoyage WordPress accompagné pour assainir durablement fichiers et base de données.
Questions fréquentes
Peut-on nettoyer un site sans le mettre hors ligne ?
Mieux vaut le mettre en maintenance pendant le nettoyage, pour éviter que les visiteurs soient infectés ou que de nouvelles modifications soient faites.
Le site peut-il se réinfecter après un nettoyage ?
Oui. Des témoignages sur le forum officiel décrivent ce cas, le plus souvent quand la porte d’entrée reste ouverte.
Faut-il prévenir les clients ?
Si des données personnelles ont pu être exposées, une notification peut être obligatoire. Consultez un juriste ou la CNIL pour votre cas.
Sources
- Guide officiel « My site was hacked » : wordpress.org
- Retours de la communauté sur les réinfections et la restauration : wordpress.org/support
