Un client vous signale que votre site l’a redirigé vers une page douteuse. Google affiche un avertissement à côté de votre adresse. Ou bien votre hébergeur vous écrit que votre compte envoie des milliers d’e-mails. Ce sont des signes classiques d’un site WordPress piraté. Si cela vous arrive, ne paniquez pas, mais ne laissez pas traîner non plus. Dans cet article, je vous explique comment reconnaître un piratage, quels gestes faire tout de suite, ce qu’il vaut mieux confier à un professionnel et comment limiter le risque que cela recommence.
Pourquoi les sites WordPress sont visés
WordPress fait fonctionner une très grande partie des sites dans le monde. C’est sa force, mais cela en fait aussi une cible de choix. La plupart des attaques ne visent pas votre entreprise en particulier : ce sont des robots qui parcourent le web à la recherche de sites vulnérables, sans distinction de taille ou de secteur.
Dans la grande majorité des cas que je rencontre, le point d’entrée est l’un de ceux-ci :
- une extension ou un thème pas à jour, qui contient une faille connue et publiée ;
- une extension ou un thème « premium » téléchargé sur un site non officiel, souvent livré avec un code malveillant déjà intégré ;
- un mot de passe faible ou réutilisé pour l’administration, l’accès FTP ou l’espace d’hébergement ;
- un ancien compte utilisateur oublié, par exemple celui d’un ancien prestataire ou stagiaire ;
- un hébergement mal entretenu, avec une version de PHP très ancienne ou plusieurs sites partageant le même espace sans cloisonnement.
Autrement dit, le WordPress lui-même est rarement en cause : c’est le manque d’entretien qui ouvre la porte.
Les signes qui doivent vous alerter
Un piratage n’est pas toujours spectaculaire. Certains sont faits pour rester discrets le plus longtemps possible. Voici les symptômes à surveiller.
Ce que vous ou vos visiteurs pouvez voir
- Des redirections vers d’autres sites (jeux, pharmacie, arnaques), parfois uniquement sur mobile ou uniquement quand on arrive depuis Google, ce qui les rend difficiles à reproduire.
- Des fenêtres publicitaires ou du contenu que vous n’avez jamais ajouté.
- Une page d’accueil remplacée par un message des pirates.
- Un avertissement du navigateur indiquant que le site est dangereux ou trompeur.
Ce que vous pouvez voir dans Google
- Des pages inconnues dans les résultats de recherche : tapez site:votredomaine.fr dans Google. Si vous voyez des pages en japonais, en russe ou vantant des produits sans rapport avec votre activité, c’est un signal fort.
- Des titres ou descriptions modifiés dans les résultats, alors que vous n’avez rien changé.
- Une alerte dans Google Search Console, dans la section consacrée aux problèmes de sécurité. Si vous ne consultez pas encore cet outil, je vous explique quels rapports regarder dans l’article Google Search Console : les 5 rapports à consulter chaque mois.
Ce que vous pouvez voir côté technique
- Des comptes administrateurs que vous ne connaissez pas dans le menu Utilisateurs.
- Impossible de vous connecter alors que votre mot de passe n’a pas changé.
- Un message de votre hébergeur signalant des envois d’e-mails massifs, une consommation anormale ou une suspension du compte.
- Vos e-mails arrivent en spam chez vos clients, parce que votre domaine a été utilisé pour envoyer des messages indésirables.
- Un site soudainement très lent, sans raison apparente. Ce n’est pas toujours un piratage, mais cela mérite une vérification.
Les premiers gestes à faire tout de suite
Si vous constatez un ou plusieurs de ces signes, voici l’ordre dans lequel je vous conseille d’agir :
- Ne supprimez rien dans la précipitation. Effacer des fichiers au hasard peut casser le site sans retirer le code malveillant, et faire disparaître des indices utiles pour comprendre l’origine de l’attaque.
- Changez vos mots de passe depuis un ordinateur sain : administration WordPress, espace client de l’hébergeur, accès FTP, base de données et boîte e-mail liée au site. Utilisez des mots de passe longs et différents pour chaque accès.
- Prévenez votre hébergeur. Il peut parfois vous indiquer les fichiers suspects, vous fournir une sauvegarde antérieure ou vous aider à isoler le site.
- Repérez vos sauvegardes. Notez la date à laquelle vous pensez que le problème a commencé, et vérifiez quelles sauvegardes existent avant cette date.
- Mettez éventuellement le site en maintenance si des visiteurs sont redirigés vers des pages dangereuses, pour protéger vos clients le temps du nettoyage.
Nettoyer le site : ce qu’il faut vraiment faire
Restaurer une sauvegarde peut sembler la solution la plus simple. C’est parfois suffisant, mais pas toujours : si la faille d’origine n’est pas corrigée, le site sera de nouveau piraté, parfois en quelques jours. Et il arrive que les sauvegardes disponibles soient elles-mêmes déjà infectées.
Un nettoyage sérieux comprend en général :
- l’analyse des fichiers et de la base de données pour repérer le code ajouté ;
- le remplacement des fichiers de WordPress, des thèmes et des extensions par des versions saines téléchargées depuis leurs sources officielles ;
- la suppression des comptes utilisateurs inconnus et des extensions inutilisées ;
- l’identification et la correction de la faille qui a permis l’intrusion ;
- la mise à jour de l’ensemble des composants ;
- si Google a signalé le site, une demande de réexamen dans la Search Console une fois le nettoyage terminé ;
- la suppression ou la redirection des pages parasites créées par les pirates, pour qu’elles disparaissent progressivement des résultats de recherche.
Ce travail demande de l’expérience, car les codes malveillants sont souvent dissimulés à plusieurs endroits, avec des noms de fichiers qui ressemblent à ceux de WordPress. Si vous n’êtes pas à l’aise avec les fichiers du serveur et la base de données, il est plus sûr de le confier à un professionnel.
Éviter que cela se reproduise
La bonne nouvelle, c’est que la plupart des piratages peuvent être évités avec un entretien régulier. Les mesures les plus efficaces sont aussi les plus simples :
- Faire les mises à jour régulièrement, de WordPress, du thème et des extensions. Je détaille la méthode dans l’article Mettre à jour WordPress sans risque.
- N’installer que des extensions et thèmes issus de sources officielles, et supprimer ceux que vous n’utilisez plus.
- Utiliser des mots de passe solides et activer la double authentification quand c’est possible.
- Faire le ménage dans les comptes utilisateurs et donner à chacun uniquement les droits dont il a besoin.
- Disposer de sauvegardes automatiques, stockées en dehors du serveur, et vérifier de temps en temps qu’elles sont bien exploitables.
- Choisir un hébergement entretenu, avec une version de PHP récente et un minimum de surveillance. Vous trouverez plus d’informations sur ma page hébergement web.
C’est précisément le rôle d’un contrat de maintenance WordPress : je m’occupe des mises à jour, des sauvegardes et de la surveillance du site, et j’interviens rapidement si quelque chose d’anormal apparaît. Vous n’avez pas à y penser, et en cas de problème, vous savez qui appeler.
En résumé
Un site WordPress piraté se manifeste souvent par des redirections, des pages inconnues dans Google, des comptes administrateurs suspects ou une alerte de votre hébergeur. Face à ces signes, commencez par changer vos mots de passe, prévenir votre hébergeur et repérer vos sauvegardes, sans rien supprimer à la hâte. Le nettoyage doit ensuite traiter à la fois le code malveillant et la faille qui l’a laissé entrer. Enfin, des mises à jour régulières, des sauvegardes fiables et des accès bien protégés évitent la plupart des attaques.
Vous pensez que votre site a été piraté, ou vous voulez éviter que cela arrive ? Décrivez-moi votre situation via le formulaire de demande de devis : je regarde votre site et je vous propose une intervention de nettoyage ou une formule de maintenance adaptée à vos besoins.