Site WordPress piraté : que faire dans la première heure

Votre site affiche des pages que vous n’avez jamais écrites. Ou vos visiteurs sont renvoyés vers un site de jeux en ligne. Ou Google affiche un avertissement avant d’y accéder. Ou votre hébergeur vous écrit qu’il a suspendu votre compte. Dans tous ces cas, la tentation est la même : tout effacer, tout réinstaller, et repartir de zéro au plus vite.

C’est le mauvais réflexe, parce qu’il efface les traces qui permettent de comprendre comment l’attaque a eu lieu. Voici ce qu’il faut faire dans la première heure, dans l’ordre, et ce qu’il vaut mieux ne pas toucher. Si vous préférez confier le problème tout de suite, la page dépannage WordPress explique comment je prends en charge un site piraté.

Comment savoir si votre site est vraiment piraté

Une panne et un piratage se ressemblent parfois. Un écran blanc juste après une mise à jour vient souvent d’une incompatibilité entre deux extensions, et il se répare autrement. Certains signes, eux, doivent vous alerter :

• des pages ou des articles que vous n’avez pas écrits, souvent dans une autre langue
• des visiteurs redirigés vers un autre site, parfois seulement depuis un téléphone ou depuis Google
• un avertissement de Google ou de votre navigateur qui signale un site dangereux
• un compte administrateur que personne ne connaît
• un message de votre hébergeur qui signale un envoi massif d’emails ou un compte suspendu
• des clients qui vous préviennent d’un comportement étrange du site

La documentation officielle de WordPress liste ces mêmes indices sur sa page FAQ My site was hacked (en anglais). Si vous en constatez au moins un, traitez la situation comme un piratage jusqu’à preuve du contraire.

Ce qu’il ne faut surtout pas faire

Trois réflexes compliquent presque toujours la suite.

Ne supprimez rien. Les fichiers suspects, les comptes inconnus et les pages ajoutées sont des preuves. Ils indiquent par où l’attaquant est entré. Les effacer avant d’en avoir fait une copie, c’est perdre la meilleure piste pour fermer la faille.

Ne réinstallez pas WordPress par-dessus. Une réinstallation remplace les fichiers de base de WordPress, mais elle laisse en place ce qui a été ajouté ailleurs, dans le thème, dans les extensions ou dans le dossier des images. Le site a l’air propre, et l’attaquant garde sa porte d’entrée.

Ne restaurez pas une sauvegarde au hasard. Vous ne savez pas encore depuis quand le site est compromis. Une sauvegarde d’il y a une semaine peut contenir le même code malveillant, et la restaurer écrase au passage l’état actuel, dont vous aurez besoin pour comprendre ce qui s’est passé.

La première heure, dans l’ordre

Ces étapes reprennent les recommandations de Cybermalveillance.gouv.fr pour un site piraté et celles de la documentation WordPress. Elles ne demandent aucune compétence technique particulière.

1. Notez ce que vous voyezFaites des captures d’écran, notez l’heure de la découverte et ce qui a changé récemment : une extension ajoutée, une mise à jour, un accès donné à quelqu’un.
2. Faites une copie de l’état actuelDepuis votre espace client ou en le demandant à votre hébergeur, sauvegardez les fichiers et la base de données du site tels qu’ils sont, infection comprise. Rangez cette copie à part et ne la restaurez pas.
3. Prévenez votre hébergeurIl peut confirmer l’intrusion, vérifier si d’autres sites du serveur sont touchés, et suspendre l’affichage du vôtre si vos visiteurs sont exposés.
4. Changez les mots de passeCeux de votre espace chez l’hébergeur, des accès FTP qui servent à transférer les fichiers, de tous les comptes administrateurs WordPress et de la boîte email liée au site. Faites-le depuis un ordinateur que vous savez sain, car un poste infecté peut avoir servi à voler ces accès.
5. Rassemblez vos accèsHébergement, administration du site, nom de domaine. La personne qui interviendra en aura besoin, et les chercher plus tard fait perdre des heures.

Le mot de passe de la base de données doit aussi changer, mais il est inscrit dans la configuration du site : le modifier sans reporter la nouvelle valeur coupe le site. Laissez cette partie à la personne qui fera le nettoyage.

Les autres mots de passe se changent deux fois. Une première fois maintenant, pour couper l’accès de l’attaquant. Une seconde fois après le nettoyage, comme le recommande la documentation WordPress, au cas où la faille aurait permis de récupérer les nouveaux.

Une copie d’un site infecté vaut mieux que pas de copie du tout. C’est elle qui permet de comprendre, de prouver et de réparer.

Si des données de vos clients ont pu être exposées

Si votre site contient un formulaire de contact, des comptes clients ou une boutique, l’intrusion a pu exposer des données personnelles : noms, emails, adresses, historiques de commande.

Dans ce cas, le RGPD impose de notifier la violation à la CNIL lorsqu’elle présente un risque pour les personnes concernées, si possible dans les 72 heures après sa découverte. La démarche se fait en ligne. La page de la CNIL consacrée à la notification précise qu’une première déclaration peut être complétée ensuite, si l’analyse est encore en cours.

Vous pouvez aussi porter plainte, avec les captures et la copie faites plus tôt. Pour savoir par où commencer, 17Cyber, le service d’assistance en ligne de la police et de la gendarmerie, oriente les victimes selon leur situation.

Ce que demande un nettoyage complet

Une fois la première heure passée, le nettoyage peut commencer. Il doit trouver la porte d’entrée, sans quoi l’attaquant revient quelques jours plus tard par le même chemin.

Concrètement, il faut repérer les fichiers ajoutés ou modifiés, comparer WordPress, le thème et les extensions avec leurs versions officielles, contrôler la base de données et la liste des utilisateurs, identifier l’extension vulnérable ou l’accès volé, puis tout remettre à jour. Si Google a signalé le site, une demande de réexamen se fait une fois le site propre, depuis la Search Console, l’outil de Google destiné aux propriétaires de sites.

Quand j’interviens sur un site piraté, le diagnostic est offert. Le nettoyage coûte dès 290 € HT : le forfait dépend de l’ampleur de l’infection, et je l’annonce avant de commencer. Il est compris dans la maintenance Critique si je fais les mises à jour du site depuis au moins un mois. Vous recevez ensuite un compte rendu écrit, sur ce modèle.

• Faille exploitéeTrouvée
• Fichiers malveillants supprimésFait
• Mots de passe renouvelésFait
• Extensions à mettre à jourÀ surveiller
• SauvegardesÀ corriger

Éviter que ça recommence

Cybermalveillance.gouv.fr cite trois portes d’entrée classiques : un mot de passe trop faible, une mauvaise configuration, une faille de sécurité non corrigée. Les protections sont connues, et elles demandent surtout de la régularité.

• des mises à jour régulières de WordPress, du thème et des extensions, testées avant d’être appliquées
• des sauvegardes régulières et complètes du site
• des mots de passe longs et différents pour chaque accès, et la double authentification sur les comptes administrateurs
• la suppression des extensions et des comptes qui ne servent plus
• une surveillance qui prévient dès que le site ne répond plus

C’est ce que couvre la maintenance d’un site WordPress. Avec des sauvegardes propres et datées, un piratage se règle beaucoup plus vite : on sait à partir de quand le site était sain, et on peut y revenir une fois la faille fermée.