Pour nettoyer un site WordPress piraté, procédez toujours dans cet ordre : sauvegardez l'état actuel du site, identifiez la faille d'origine, supprimez les fichiers malveillants et les portes dérobées, restaurez les pages touchées, puis verrouillez WordPress pour empêcher la récidive. L'erreur numéro un, c'est de nettoyer les symptômes en oubliant la porte d'entrée : le site se refait alors pirater en quelques jours.
Le scénario qu'on me confie est presque toujours le même : des contenus et des liens de casino ou de pharmacie apparaissent dans les pages, une partie du site redirige vers une adresse douteuse, et Google finit par afficher l'avertissement « Ce site peut être piraté » dans les résultats. Le trafic s'effondre du jour au lendemain. Voici la méthode complète que j'applique, du diagnostic jusqu'à la sécurisation durable.
Un mot avant de commencer : ne cédez pas à la panique et ne supprimez rien au hasard. Chaque fichier effacé sans comprendre son rôle peut casser le site un peu plus — ou détruire une trace qui vous aurait mené à l'origine de l'attaque.
1. Reconnaître les signes d'un site WordPress piraté
Une compromission ne se voit pas toujours en page d'accueil. Certaines sont bruyantes, d'autres restent invisibles pour le visiteur mais bien réelles pour Google. Voici les signaux les plus fréquents et ce qu'ils révèlent.
| Ce que vous observez | Ce que ça indique |
|---|---|
| Liens ou pages « casino », « viagra », mots-clés japonais | Injection de spam SEO — la compromission la plus courante |
| Le site redirige les visiteurs vers un autre site | Redirection malveillante injectée dans les fichiers ou la base |
| « Ce site peut être piraté » dans les résultats Google | Google a détecté le spam et l'a signalé publiquement |
| Nombre de pages indexées qui explose dans la Search Console | Hack SEO : des centaines de pages cachées servies à Googlebot |
| Page d'administration inaccessible ou compte inconnu | Compte administrateur compromis ou créé par l'attaquant |
| Écran blanc ou erreur critique sur une page | Fichier corrompu par l'injection, souvent un thème ou un plugin |
Le cas le plus sournois est le « hack SEO » : des centaines de pages de spam sont générées puis masquées aux visiteurs, mais servies à Googlebot. Vous ne voyez rien en naviguant sur votre site ; vous le découvrez dans la Search Console, où votre nombre de pages indexées grimpe soudain avec des URL que vous n'avez jamais créées.
2. Avant tout : sauvegarder le site, même infecté
Cela paraît contre-intuitif, mais la première étape est de faire une sauvegarde complète du site dans son état actuel — fichiers et base de données. Deux raisons : garder une trace pour analyser l'origine de l'attaque, et pouvoir revenir en arrière si une manipulation de nettoyage casse quelque chose. Cette copie infectée se range à part, jamais sur le serveur de production.
Si vous disposez d'une sauvegarde propre antérieure à l'infection, c'est un atout précieux. Mais elle ne dispense pas de trouver la faille : restaurer une vieille version sur un serveur encore vulnérable revient à laisser la porte grande ouverte.
3. Trouver l'origine de la faille
C'est l'étape que la plupart des nettoyages bâclent, et c'est pourtant la seule qui empêche la récidive. Une compromission WordPress vient presque toujours de l'une de ces portes :
- Une extension ou un thème obsolète, avec une faille connue et publiquement documentée — la cause de loin la plus fréquente.
- Un compte administrateur compromis : mot de passe faible ou réutilisé, absence de double authentification.
- Un hébergement mutualisé contaminé par un autre site du même serveur.
- Des identifiants FTP ou base de données volés, souvent via un poste infecté.
Pour remonter la piste, je croise plusieurs sources : les journaux d'accès du serveur (quelle adresse IP a modifié quels fichiers, et quand), la date de modification des fichiers (un fichier du cœur de WordPress modifié récemment est suspect), et un scan d'intégrité. Un audit externe aide à objectiver l'état du site : j'utilise souvent Orilyt pour une photographie rapide, que je complète par un scan de malware côté serveur.
4. Nettoyer : fichiers, base de données et portes dérobées
Le nettoyage se joue sur deux fronts à la fois — jamais un seul.
Les fichiers
Comparez les fichiers du cœur de WordPress à une version officielle de la même version : réinstaller le core proprement élimine d'un coup toute modification injectée. Les fichiers malveillants se cachent souvent là où ils ne devraient pas exister : un fichier .php dans wp-content/uploads, un faux plugin dans mu-plugins, ou un script déguisé sous un nom d'apparence légitime.
Les portes dérobées (backdoors) sont le vrai enjeu. Ce sont de petits scripts qui permettent à l'attaquant de revenir même après le nettoyage. On les repère souvent à des fonctions comme eval, base64_decode ou gzinflate employées pour masquer du code. En oublier une seule, et tout le travail est à refaire une semaine plus tard.
La base de données
Le spam ne vit pas que dans les fichiers : il s'injecte aussi en base. Liens cachés au bas des articles et des pages, scripts glissés dans la table wp_options, comptes administrateurs fantômes créés à votre insu. Il faut passer la base au peigne fin, retirer les contenus injectés et supprimer tout utilisateur que vous n'avez pas créé.
5. Restaurer les pages touchées et remettre en ligne
Une fois le site propre, on restaure ce qui a été défiguré ou cassé : reconstruire une page devenue inaccessible, retirer les redirections, vérifier que chaque gabarit s'affiche normalement. C'est aussi le moment de tout tester en navigation privée pour confirmer qu'aucun contenu parasite ne subsiste et qu'aucune redirection ne se déclenche.
6. Sécuriser pour que ça ne revienne pas
Le nettoyage sans sécurisation ne tient pas. Une fois le site sain, je verrouille systématiquement :
- Mettre à jour WordPress, tous les thèmes et toutes les extensions — et supprimer ceux qui ne servent plus.
- Changer tous les mots de passe (admin, FTP, base de données, hébergement) et régénérer les clés de sécurité (salts) dans
wp-config.phppour déconnecter toutes les sessions actives. - Activer la double authentification sur les comptes administrateurs.
- Limiter les tentatives de connexion et installer un pare-feu applicatif (WAF).
- Durcir la configuration : désactiver l'éditeur de fichiers dans l'administration, corriger les droits des fichiers, masquer la version de WordPress.
Beaucoup de ces réflexes rejoignent l'hygiène de base d'un site sérieux, que je détaille dans mon article sur la mise en conformité RGPD d'un site WordPress.
7. Nettoyer les traces dans Google
Le site est propre, mais Google garde en mémoire les URL de spam et, parfois, l'avertissement de sécurité. Cette dernière étape est indispensable pour récupérer votre référencement :
- Dans la Search Console, section Sécurité et actions manuelles, demander un examen une fois le site nettoyé.
- Laisser les fausses pages renvoyer une erreur 404 ou 410 pour signaler à Google qu'elles n'existent plus, et utiliser l'outil de suppression d'URL pour les cas urgents.
- Resoumettre le sitemap et surveiller la désindexation progressive des URL parasites.
Le faire soi-même ou déléguer ?
Si vous êtes à l'aise techniquement et que l'infection est superficielle, le guide ci-dessus vous permet de vous en sortir. Mais dès qu'il y a des portes dérobées, un hack SEO massif ou une boutique en ligne en jeu, l'enjeu n'est plus le nettoyage visible : c'est la certitude d'avoir tout retiré et de ne pas se refaire pirater le mois suivant. C'est précisément là que j'interviens — diagnostic, nettoyage complet, sécurisation et rapport avant/après — pour remettre le site d'aplomb et le protéger dans la durée.
FAQ
Combien de temps faut-il pour nettoyer un site WordPress piraté ?
Une fois les accès disponibles, un nettoyage standard se traite généralement en un à deux jours. La vraie variable n'est pas la suppression du spam, qui va vite, mais l'identification de la faille d'origine et la chasse aux portes dérobées : c'est ce travail invisible qui garantit que l'infection ne revient pas.
Un site WordPress nettoyé peut-il être piraté à nouveau ?
Oui, et c'est la cause d'échec la plus fréquente. Si l'on retire le spam sans corriger la porte d'entrée — extension vulnérable, compte compromis, porte dérobée oubliée — le site se refait pirater en quelques jours. C'est pourquoi trouver l'origine et sécuriser WordPress compte autant que le nettoyage lui-même.
Vaut-il mieux nettoyer le site existant ou tout reconstruire ?
Dans la majorité des cas, nettoyer suffit dès lors qu'on a identifié et supprimé toutes les portes dérobées. La reconstruction complète ne se justifie que si le site est profondément compromis, sans sauvegarde propre, ou si l'infection est trop diffuse pour être isolée avec certitude.
Spam injecté, pages inaccessibles, alerte Google : je diagnostique l'origine, nettoie en profondeur, sécurise et vous remets un rapport avant/après. Le premier rendez-vous est gratuit — on étudie votre besoin ensemble.
Démarrons votre projet ↗
Freelance expert No-Code, WordPress et Go High Level — 6 ans d'expérience, 50+ projets livrés pour des clients en France, au Canada et en Espagne.