Site WordPress piraté : que faire pour le récupérer ?

Votre site WordPress est piraté ? Découvrez comment le reconnaître, les étapes pour le récupérer rapidement, le nettoyer et éviter une nouvelle attaque.

Temps de lecture : 10 minutes | Dernière mise à jour : Juin 2026

Votre site WordPress est piraté ? Comment le reconnaître, les étapes pour le récupérer, le nettoyer et éviter une nouvelle attaque. Le guide pour réagir vite.

Audit Gratuit

    Votre site WordPress affiche un message étrange, redirige vers un autre site, ou Google avertit vos visiteurs qu'il est dangereux ? Votre site est probablement piraté. C'est une situation stressante, mais qui se résout avec méthode. Dans ce guide, je vous explique comment reconnaître un piratage, quoi faire en urgence, comment nettoyer votre site et, surtout, comment éviter que cela se reproduise.

    Sommaire

    Comment savoir si mon site WordPress est piraté ?

    Un site WordPress piraté présente presque toujours des signes visibles. Voici les principaux signaux d'alerte, ce qu'ils signifient et le niveau d'urgence associé :

    Signe observé Ce que cela signifie Urgence
    Redirection vers un autre site Code malveillant injecté dans les fichiers ou la base de données Élevée
    Avertissement « site dangereux » de Google Google a détecté du contenu malveillant, le référencement est menacé Élevée
    Contenus ou liens étrangers inconnus Spam injecté pour rediriger vers des sites frauduleux Élevée
    Impossible de se connecter à l'administration Un pirate a peut-être changé vos accès Critique
    Chute brutale du trafic Déclassement par Google lié à une compromission Moyenne à élevée
    Ralentissement anormal du site Serveur détourné pour envoyer du spam ou miner des données Moyenne

    Si vous constatez un seul de ces signes, considérez que votre site est compromis et agissez sans attendre. Plus une intrusion est traitée tôt, moins elle cause de dégâts.

    Site piraté : les 7 étapes pour le récupérer

    Pour récupérer un site WordPress piraté, il faut procéder avec méthode, dans cet ordre précis :

    • 1. Garder son calme et ne rien supprimer au hasard. Une action précipitée peut effacer des preuves utiles ou aggraver la situation.
    • 2. Mettre le site hors ligne temporairement, en mode maintenance, pour protéger vos visiteurs et éviter que Google n'aggrave les sanctions.
    • 3. Sauvegarder l'état actuel du site, même infecté. Cette copie servira d'analyse et de point de repère.
    • 4. Changer tous les mots de passe : administration WordPress, FTP, base de données et compte d'hébergement.
    • 5. Identifier l'origine de l'intrusion grâce à un scan de sécurité et à l'examen des fichiers récemment modifiés.
    • 6. Nettoyer le site en supprimant les fichiers malveillants et les portes dérobées, ou en restaurant une sauvegarde saine antérieure au piratage.
    • 7. Sécuriser le site avant de le remettre en ligne : mises à jour, renforcement des accès, pare-feu.

    Si vous disposez d'une sauvegarde récente et saine, la restauration est souvent la voie la plus rapide et la plus sûre pour repartir sur une base propre.

    Comment nettoyer un site WordPress piraté ?

    Nettoyer un site WordPress piraté consiste à éliminer tout code malveillant et à refermer la faille d'entrée. Concrètement, il faut analyser l'ensemble des fichiers pour repérer les scripts injectés, inspecter la base de données à la recherche de contenus ou d'utilisateurs suspects, et supprimer les éventuelles portes dérobées laissées par le pirate pour revenir plus tard.

    C'est l'étape la plus délicate : une porte dérobée oubliée suffit à laisser le site se faire réinfecter quelques jours plus tard. Si vous avez le moindre doute sur l'exhaustivité du nettoyage, la solution la plus fiable reste de restaurer une sauvegarde antérieure au piratage, puis d'appliquer immédiatement toutes les mises à jour et les mesures de sécurité.

    Faire retirer l'alerte de Google

    Si Google a marqué votre site comme dangereux, l'avertissement ne disparaît pas automatiquement après le nettoyage. Une fois le site propre et sécurisé, vous devez demander un réexamen via la Search Console, dans la section « Sécurité et actions manuelles ». Google revérifie alors le site et, s'il le juge sain, retire l'avertissement, généralement en quelques jours.

    Tant que cette étape n'est pas faite, votre site reste affiché comme dangereux dans les résultats de recherche, et votre trafic en souffre. C'est donc une étape à ne pas oublier une fois la réparation terminée.

    Pourquoi un site WordPress se fait pirater

    La plupart des piratages WordPress n'ont rien de personnel : ce sont des attaques automatisées qui exploitent des failles connues sur des milliers de sites à la fois. Les causes les plus fréquentes sont une extension ou un thème non mis à jour, un mot de passe faible, une version de WordPress obsolète, ou une extension installée depuis une source non fiable.

    Autrement dit, un site piraté est presque toujours un site qui a pris du retard sur son entretien. C'est précisément ce qu'une maintenance régulière permet d'éviter : en gardant le site à jour et surveillé, on referme les portes avant que les pirates ne les trouvent.

    Comment éviter un nouveau piratage

    Une fois le site réparé, l'objectif est qu'il ne soit pas piraté de nouveau. Les mesures de prévention sont simples mais doivent être appliquées avec régularité :

    • appliquer les mises à jour de WordPress, du thème et des extensions sans attendre ;
    • utiliser des mots de passe forts et la double authentification ;
    • installer un pare-feu et effectuer des scans de sécurité réguliers ;
    • réaliser des sauvegardes automatiques stockées hors du serveur ;
    • supprimer les extensions et thèmes inutilisés ;
    • surveiller le site en continu pour détecter toute anomalie au plus tôt.

    La prévention coûte toujours beaucoup moins cher qu'une réparation après piratage. Pour approfondir, vous pouvez lire mon guide complet sur la sécurité WordPress et celui sur la sauvegarde de votre site.

    Faut-il faire appel à un professionnel ?

    Nettoyer un site piraté demande du temps, de la méthode et une bonne connaissance de WordPress. Si vous n'êtes pas à l'aise techniquement, ou si le site est important pour votre activité, faire appel à un professionnel est souvent le choix le plus sûr : un nettoyage incomplet expose à une réinfection rapide.

    Je peux intervenir pour nettoyer votre site, identifier la faille, le sécuriser et le remettre en ligne. Et pour éviter que cela ne se reproduise, mes forfaits de maintenance incluent la surveillance et la sécurisation continue de votre site. Pour faire le point, vous pouvez demander un audit gratuit.

    Questions fréquentes sur le piratage WordPress

    Comment savoir si mon site WordPress est piraté ?

    Les signes les plus fréquents sont l'apparition de contenus ou de liens étrangers, des redirections vers d'autres sites, un avertissement de Google « ce site peut être dangereux », une chute brutale du trafic, ou l'impossibilité de se connecter à l'administration. Un seul de ces signes suffit à considérer le site comme compromis.

    Que faire en premier quand mon site est piraté ?

    La première chose à faire est de mettre le site en mode maintenance pour protéger vos visiteurs, puis de changer tous les mots de passe (administration, FTP, base de données, hébergement). Il faut ensuite sauvegarder l'état actuel du site, identifier l'origine de l'intrusion, nettoyer les fichiers infectés et sécuriser le site avant de le remettre en ligne.

    Combien de temps faut-il pour réparer un site piraté ?

    Cela dépend de l'ampleur de l'infection. Une intrusion simple, détectée tôt et avec une sauvegarde saine disponible, peut être réglée en quelques heures. Un piratage profond, avec plusieurs portes dérobées et sans sauvegarde récente, demande un travail plus long d'analyse et de nettoyage. La rapidité de détection joue un rôle déterminant.

    Vais-je perdre le contenu de mon site ?

    Pas nécessairement. Si vous disposez d'une sauvegarde récente et saine, le site peut être restauré sans perte de contenu. C'est tout l'intérêt de sauvegarder régulièrement : en l'absence de sauvegarde, la récupération est plus difficile et certains contenus peuvent être définitivement perdus.

    Comment faire retirer l'avertissement « site dangereux » de Google ?

    Une fois le site nettoyé et sécurisé, il faut demander un réexamen via la Search Console, dans la section Sécurité et actions manuelles. Google revérifie alors le site et, s'il le juge sain, retire l'avertissement, généralement en quelques jours. Sans cette demande, l'avertissement reste affiché.

    Comment éviter que mon site soit piraté de nouveau ?

    La prévention repose sur des mises à jour régulières, des mots de passe forts avec double authentification, un pare-feu, des sauvegardes automatiques hors site et une surveillance continue. La plupart des piratages exploitent des failles connues sur des sites mal entretenus : une maintenance régulière réduit fortement le risque.