Découvrir que votre site WordPress a été piraté est une situation stressante qui peut faire paniquer n’importe quel propriétaire de site. Pourtant, vous n’êtes pas seul : plus de 500 sites WordPress sont piratés chaque jour, selon les données de Kinsta. La bonne nouvelle ? La majorité des sites compromis peuvent être nettoyés et restaurés avec une méthodologie rigoureuse. Dans ce guide complet, je vous accompagne étape par étape pour récupérer votre site WordPress piraté, éliminer tous les fichiers malveillants et mettre en place des mesures de sécurité pour éviter que cela ne se reproduise.
Comment savoir si votre site WordPress est réellement piraté ?
Avant de se lancer dans le protocole de récupération, il est essentiel de confirmer que votre site a bien été compromis. Certains dysfonctionnements peuvent ressembler à un piratage sans en être un.
Signes évidents d’un site WordPress compromis
- Modifications non autorisées du contenu : Des pages, articles ou images ont été modifiés ou supprimés sans votre intervention
- Liens suspects ajoutés automatiquement : Vous remarquez des liens vers des sites de spam dans votre footer, sidebar ou au milieu de vos articles
- Redirections automatiques : Votre site redirige les visiteurs vers des pages externes malveillantes ou publicitaires
- Page d’accueil défacée : Votre homepage affiche un message laissé par les hackers ou un contenu complètement différent
- Impossibilité de se connecter : Votre compte administrateur a été supprimé ou vos identifiants ne fonctionnent plus
- Alerte Google Search Console : Google vous envoie un avertissement de sécurité ou affiche « Ce site peut avoir été piraté » dans les résultats de recherche
- Site blacklisté : Les navigateurs affichent un message d’avertissement de sécurité avant d’accéder à votre site
- Ralentissement inexpliqué : Les performances de votre site se dégradent brutalement sans raison apparent.
- Nouveaux comptes administrateurs inconnus : Des utilisateurs que vous n’avez pas créés apparaissent dans votre liste d’utilisateurs WordPress
Selon une étude de MelaPress, 96% des propriétaires de sites WordPress ont fait face à au moins un incident de sécurité, et 64% ont subi une violation complète. Ces chiffres montrent l’ampleur du problème et l’importance d’agir rapidement.

Phase 1 : Isoler et sécuriser immédiatement
Étape 1 : Mettre le site en mode maintenance
Activez immédiatement le mode maintenance pour protéger vos visiteurs et éviter que Google ne référence du contenu malveillant. Vous pouvez utiliser un plugin gratuit comme « Coming Soon & Maintenance Mode » ou ajouter ce code dans votre fichier .htaccess :
RewriteEngine on
RewriteCond %{REMOTE_ADDR} !^123\.456\.789\.000
RewriteCond %{REQUEST_URI} !/maintenance.html$ [NC]
RewriteRule .* /maintenance.html [R=302,L]
Remplacez 123.456.789.000 par votre adresse IP pour conserver l’accès au site pendant le nettoyage
Étape 2 : Changer TOUS les mots de passe
Considérez que tous vos identifiants sont compromis et changez-les immédiatement dans cet ordre de priorité :
Mot de passe administrateur WordPress
Mot de passe de votre compte d’hébergement (cPanel/Plesk)
Mot de passe FTP/SFTP
Mot de passe de la base de données MySQL
Mots de passe de tous les autres comptes utilisateurs WordPress
Utilisez des mots de passe complexes d’au moins 16 caractères combinant majuscules, minuscules, chiffres et caractères spéciaux. Un gestionnaire de mots de passe comme Bitwarden ou 1Password peut vous aider à générer et stocker ces identifiants de manière sécurisée.
Étape 3 : Contacter votre hébergeur
Informez immédiatement votre hébergeur de la situation. Votre hébergeur peut :
- Vérifier si d’autres sites sur votre serveur mutualisé sont compromis (pour éviter une réinfection)
- Consulter les logs d’accès et d’erreurs pour identifier l’origine du piratage
- Restaurer une sauvegarde récente si disponible
- Activer des protections temporaires ou lever d’éventuelles suspensions de compte
Certains hébergeurs premium proposent même des services gratuits de nettoyage de malwares pour leurs clients.
Phase 2 : Sauvegarder le site dans son état actuel
Même si votre site est compromis, créez une sauvegarde complète avant toute manipulation. Cette sauvegarde vous permettra de :
- Conserver les contenus récents publiés depuis votre dernière sauvegarde propre
- Analyser l’attaque ultérieurement pour comprendre la méthode utilisée
- Restaurer le site si une erreur survient pendant le nettoyage
Sauvegardez via votre panneau d’hébergement (cPanel > Backup), via FTP/SFTP, ou avec un plugin comme UpdraftPlus. Téléchargez la sauvegarde sur votre ordinateur et ne la laissez pas sur le serveur compromis.
Phase 3 : Scanner et identifier les fichiers infectés
Utilisez des outils professionnels pour détecter tous les fichiers malveillants présents sur votre installation WordPress.
Meilleurs plugins de détection de malwares
Installez l’un de ces plugins de sécurité réputés via FTP si nécessaire :
| Plugin | Points forts | Version gratuite |
|---|---|---|
| Wordfence Security | Scan approfondi, firewall intégré, détection en temps réel | Oui (scan limité) |
| Sucuri Security | Monitoring continu, nettoyage de réputation, support expert | Oui (scan basique) |
| MalCare | Nettoyage automatique en un clic, interface simple | Oui (scan uniquement) |
| Jetpack Scan | Intégration native WordPress.com, réparation automatique | Non (payant) |
Lancez un scan complet de votre site et notez tous les fichiers signalés comme suspects ou infectés. La plupart des plugins génèrent un rapport détaillé avec l’emplacement exact de chaque menace.
Vérification manuelle des fichiers critiques
En complément du scan automatique, inspectez manuellement ces fichiers souvent ciblés par les hackers :
- .htaccess (à la racine de WordPress) : Cherchez des redirections suspectes ou du code obfusqué
- wp-config.php : Vérifiez qu’aucun code malveillant n’a été ajouté avant ou après la balise de fermeture PHP
- functions.php de votre thème actif : Recherchez des fonctions inconnues ou du code encodé en base64
- Dossier wp-content/uploads/ : Identifiez les fichiers PHP qui n’ont rien à faire ici (ce dossier ne devrait contenir que des médias)
Les hackers utilisent souvent du code obfusqué (difficile à lire) pour cacher leur malware. Méfiez-vous des fonctions comme eval(), base64_decode(), gzinflate() ou str_rot13() utilisées de manière inhabituelle.
Phase 4 : Nettoyer le site en profondeur
C’est l’étape la plus technique du processus de récupération. Si vous n’êtes pas à l’aise, faites appel à un professionnel : un nettoyage incomplet laissera des backdoors qui permettront au pirate de revenir.
Remplacer les fichiers core de WordPress
Téléchargez une version fraîche de WordPress depuis WordPress.org (exactement la même version que celle installée) :
Supprimez complètement les dossiers
/wp-admin/et/wp-includes/de votre serveur via FTPUploadez les nouveaux dossiers
/wp-admin/et/wp-includes/de la version propre téléchargéeRemplacez tous les fichiers à la racine de WordPress SAUF
wp-config.phpet.htaccess
Cette opération garantit que les fichiers système de WordPress sont parfaitement propres.
Réinstaller tous les thèmes et plugins
Supprimez puis réinstallez chaque thème et plugin depuis les sources officielles :
Notez la liste complète de vos plugins et thèmes actifs
Supprimez physiquement TOUS les dossiers de
/wp-content/plugins/et/wp-content/themes/(sauf le thème par défaut)Réinstallez uniquement les plugins et thèmes nécessaires depuis le répertoire officiel WordPress ou les sites des développeurs légitimes
Mettez immédiatement tout à jour vers les dernières versions
Les plugins et thèmes nulled (versions piratées de plugins premium) représentent 29% des sites infectés selon Sucuri. N’utilisez jamais de versions piratées : elles contiennent souvent des backdoors intentionnels.
Nettoyer la base de données
Les hackers injectent fréquemment du code malveillant directement dans votre base de données MySQL. Connectez-vous à phpMyAdmin via votre hébergeur et effectuez ces vérifications :
Table wp_posts :
SELECT * FROM wp_posts WHERE post_content LIKE '%
