Site WordPress piraté : les signes, l'ordre des opérations, et la faille qu'on oublie de refermer

Un site vitrine piraté se découvre rarement par soi-même. C’est un client qui appelle parce que le site l’a envoyé ailleurs, c’est une mention rouge sous votre nom dans les résultats de recherche, c’est l’hébergeur qui suspend le compte pour envoi massif de courriels. Depuis votre écran d’administrateur, tout paraissait normal — et c’était voulu.

Première chose à savoir, parce qu’elle change l’état d’esprit : cela ne vous visait pas. Un robot parcourt le web à la recherche d’une version vulnérable d’une extension répandue, la trouve, entre, et installe ce qu’il installe partout. Votre site n’est pas une cible, c’est un support. Ce n’est ni une négligence honteuse ni une attaque personnelle : c’est de la maintenance en retard.

Reconnaître une intrusion

Les signes utiles sont ceux qu’un visiteur voit et que vous ne voyez pas. Les intrus soignent cette asymétrie : le code vérifie souvent d’où vient le visiteur avant de se déclencher.

Une redirection conditionnelle. Le site fonctionne quand vous tapez l’adresse, et détourne vers une page étrangère quand on arrive depuis un résultat de recherche, ou depuis un téléphone. Testez toujours dans une fenêtre de navigation privée, depuis un mobile, en passant par Google.

Des pages inconnues indexées. Cherchez site:votredomaine.fr dans un moteur. Si des dizaines de pages apparaissent dans une langue que vous ne parlez pas, ou autour de produits que vous ne vendez pas, votre site héberge le contenu de quelqu’un d’autre.

Un avertissement. La mention « Ce site peut être piraté » dans les résultats, ou une page d’interstitiel rouge du navigateur, signifie que le problème est déjà public.

Un comportement de messagerie anormal. Vos courriels partent en indésirable, ou l’hébergeur suspend le compte : le serveur envoie du courrier indésirable à votre place.

Un utilisateur que vous ne reconnaissez pas dans la liste des comptes, en particulier avec le rôle administrateur. C’est la confirmation la plus directe.

L’ordre des opérations

L’ordre compte davantage que les outils. Nettoyer avant d’avoir coupé les accès revient à balayer devant quelqu’un qui continue d’entrer.

1. Figer, sans tout effacer. Faites d’abord une copie complète du site tel qu’il est — fichiers et base. Elle ne servira pas à restaurer quoi que ce soit, mais à comprendre après coup ce qui a été touché, et à récupérer un contenu qu’on aurait supprimé trop vite.

2. Couper l’accès public. Une page de maintenance vaut mieux qu’un site qui continue de rediriger vos clients pendant que vous travaillez.

3. Reprendre la main sur les identifiants. Tous, pas seulement celui de WordPress : le compte administrateur du site, l’accès FTP ou SSH, l’utilisateur de la base de données, et le compte chez l’hébergeur lui-même. Puis régénérez les clés d’authentification du fichier de configuration : cela invalide toutes les sessions ouvertes, y compris celle de l’intrus, qui autrement resterait connecté malgré le changement de mot de passe. Supprimez les comptes créés à votre insu, et vérifiez qui peut créer un compte.

4. Remplacer le code, ne pas le nettoyer. C’est le point qui fait gagner le plus de temps. Le cœur de WordPress, chaque extension et le thème se réinstallent depuis leur source officielle, en version neuve. On ne cherche pas les lignes ajoutées une par une : on écrase. Ce qui se conserve, c’est le dossier des médias, la base, et vos personnalisations si elles sont dans un thème enfant — chacun de ces trois éléments devant être inspecté ensuite.

5. Puis seulement la base et les fichiers restants. Regardez la liste des utilisateurs, les options de site — l’adresse du site est une cible classique —, les articles et pages récemment modifiés, et les commentaires. Côté fichiers, deux endroits concentrent l’essentiel : le fichier .htaccess, souvent porteur de la redirection, et le dossier des médias, qui n’a aucune raison de contenir des fichiers exécutables. Trier par date de modification révèle en quelques secondes ce qui a bougé un jour où vous n’avez rien fait.

La sauvegarde, et son piège

Restaurer une sauvegarde est la solution la plus rapide — à une condition qui n’est presque jamais remplie : savoir quand l’intrusion a eu lieu.

Un piratage reste souvent discret plusieurs semaines avant de se manifester. Si vos sauvegardes ne remontent qu’à quinze jours et que le code malveillant est là depuis un mois, vous restaurez le piratage en même temps que le site, et il ressort peu après. Les dates de modification des fichiers, les journaux de connexion de l’hébergeur et la date de création du compte administrateur inconnu donnent en général une fourchette exploitable.

Quand la date reste incertaine, la reconstruction est plus sûre que la restauration : on repart d’une installation neuve et on ne réintroduit que du contenu, inspecté.

Refermer la porte : l’étape que tout le monde saute

Un site remis à neuf sans que la cause soit identifiée est repiraté par le même chemin, souvent dans la semaine. Quatre causes couvrent la grande majorité des cas sur un site vitrine.

Une extension ou un thème non mis à jour. C’est la première, de loin. Une vulnérabilité publiée est exploitée en masse dans les jours qui suivent, précisément parce qu’elle est publiée. La contrepartie tient dans la gestion des mises à jour : elles ne sont pas un confort, elles sont la serrure.

Un thème ou une extension premium obtenus hors des circuits officiels. Les versions gratuites de produits payants circulent modifiées ; la modification est le modèle économique de celui qui les diffuse.

Un mot de passe réutilisé. Le même mot de passe qu’ailleurs, exposé par la fuite d’un autre service, suffit. Un mot de passe unique par service et la double authentification sur les comptes qui la proposent ferment ce chemin.

Un voisinage infecté. Sur un hébergement mutualisé mal cloisonné, ou lorsqu’un même compte héberge plusieurs sites, un site négligé contamine les autres. Un vieux site oublié dans un sous-dossier est une cause fréquente et invisible.

Ajoutez-y deux mesures de bon rapport : supprimer réellement les extensions et thèmes inutilisés, plutôt que de les désactiver — un code désactivé reste un fichier accessible — et limiter les tentatives de connexion.

Ce qui reste à faire une fois le site propre

Si le site avait été signalé, demandez un réexamen depuis la console de recherche, en indiquant ce qui a été corrigé. La levée de l’avertissement n’est pas immédiate et ne dépend plus de vous.

Vérifiez ensuite l’index pendant quelques semaines : les pages parasites peuvent y rester après leur disparition du serveur, et il faut demander leur retrait. Surveillez enfin la liste des utilisateurs et les dates de modification des fichiers : une récidive se voit là en premier.

Reste la question des données. Un site vitrine sans espace client ne stocke en général que des messages de formulaire. Mais dès que des données personnelles ont pu être consultées ou extraites, la notification à l’autorité de contrôle et l’information des personnes concernées deviennent une obligation à traiter sans attendre, en lien avec vos mentions légales et votre politique de confidentialité.

Enfin, sachez à quel moment passer la main. Si les injections reviennent après un nettoyage complet, si vous n’avez plus les accès d’hébergement, ou si le site portait des données clients, l’intervention d’un professionnel coûte moins cher qu’un second cycle de piratage.