Votre site WordPress est piraté à répétition. Voici pourquoi le nettoyage n'a pas tenu

Le spam est revenu

Vous cherchez votre entreprise dans Google et vous tombez sur des pages que vous n'avez jamais écrites. Des liens de casino. Des pubs de pharmacie. Des titres dans une langue que personne dans votre équipe ne parle. Quelqu'un a fait le ménage le mois dernier. C'est revenu.

Si votre site WordPress est piraté à répétition, ce n'est presque jamais de la malchance. Les pirates ne sont jamais partis. Le nettoyage a enlevé ce qui se voyait et a laissé en place leur porte d'entrée.

Nous recevons plus de ces appels que jamais. Les pirates utilisent maintenant l'IA pour trouver et exploiter les failles plus vite, les sites de PME et d'organismes sont frappés plus durement, et le nettoyage habituel ne tient plus. Voici ce que nous avons appris en les réparant.

Les signes que votre site WordPress a été piraté

Certains signes sautent aux yeux. La plupart sont discrets. Surveillez :

• Des pages dans Google que vous n'avez pas créées. Cherchez site:votredomaine.com et faites défiler. Les pages de spam apparaissent souvent seulement dans les résultats de recherche, pas sur le site lui-même.
• Des administrateurs que vous ne reconnaissez pas. Vérifiez la section Utilisateurs du tableau de bord. Les pirates aiment les noms qui ont l'air techniques, ou la copie du nom d'un vrai membre du personnel.
• Des fichiers qui ne devraient pas être là. Des fichiers PHP dans le dossier des téléversements, ou des fichiers qui ressemblent à des fichiers de WordPress sans en être, comme wp-cron-quelquechose.php.
• Des visiteurs redirigés ailleurs. Souvent seulement sur mobile, ou seulement quand ils arrivent de Google, donc vous ne le voyez jamais vous-même.
• Des formulaires ou des paiements qui cessent de fonctionner sans bruit. Une extension est désactivée, un réglage de paiement change, et personne ne s'en rend compte pendant des semaines.
• Un avertissement de votre hébergeur, de Google ou de votre navigateur. À ce stade, le piratage est souvent là depuis un moment.

Pourquoi le nettoyage d'un site WordPress échoue

Un nettoyage typique supprime les fichiers infectés, en restaure quelques-uns à partir d'une sauvegarde et change le mot de passe de l'administrateur. Tout semble réglé. Deux semaines plus tard, le spam est de retour.

C'est que le spam visible est la dernière étape de l'attaque, pas la première. La firme de sécurité Sucuri a publié les principales causes de réinfection dès 2011. Plus de dix ans plus tard, elles correspondent toujours à ce que nous voyons :

Une porte dérobée est encore là. Avant de faire quoi que ce soit de visible, les pirates cachent de petits programmes qui leur permettent de revenir. Dans les dossiers d'extensions, les fichiers du thème, le dossier des téléversements et même la base de données. Il suffit d'en oublier un pour que le site leur appartienne de nouveau.

La porte d'entrée est encore ouverte. La plupart des piratages commencent par une faille dans une extension. Patchstack a recensé 11 334 nouvelles vulnérabilités dans l'écosystème WordPress en 2025, 42 % de plus que l'année précédente, et 91 % d'entre elles touchaient des extensions. WordPress lui-même n'en avait presque pas. Si l'extension qui les a laissés entrer est encore là et pas à jour, ils reviennent par le même chemin.

Des mots de passe et des comptes ont été volés. Les pirates copient les mots de passe, créent des administrateurs supplémentaires et prennent parfois le contrôle du compte d'hébergement lui-même. Changer un seul mot de passe n'y change rien.

Le serveur lui-même est compromis. Sur un hébergement partagé bon marché, un site piraté peut infecter ses voisins. Nettoyer WordPress ne sert à rien si le serveur en dessous leur appartient encore.

Partez du principe que vos clés et vos données clients ont été copiées

Dès que les pirates peuvent exécuter du code sur votre serveur, ils peuvent lire tout ce que WordPress peut lire. Y compris le fichier qui contient le mot de passe de votre base de données, et chaque réglage enregistré dans celle-ci.

Les clés d'API sont ce que la plupart des nettoyages oublient. Les extensions de paiement, les services de courriel, les outils d'infolettre, les cartes et les extensions SMTP gardent toutes des clés dans WordPress. Une clé de paiement volée peut servir à consulter des transactions ou à émettre des remboursements. Une clé de courriel ou d'infolettre volée permet aux pirates d'écrire à votre vraie liste, à partir de votre vraie adresse. C'est l'hameçonnage le plus convaincant qui soit. Supprimer le logiciel malveillant n'annule aucune de ces clés. Elles fonctionnent jusqu'à ce que vous les remplaciez.

Vos listes de clients et de courriels sont peut-être parties aussi. Commandes, entrées de formulaires, dossiers de donateurs et de membres, abonnés à l'infolettre. Si les pirates ont eu accès à la base de données, ils ont pu tout copier.

Quoi faire :

• Renouvelez chaque clé, pas seulement les mots de passe. Créez de nouvelles clés dans chaque service, installez-les sur le site propre, puis révoquez les anciennes. Paiements, courriel, infolettre, SMTP, Google et toute application connectée. Générez aussi de nouvelles clés de sécurité WordPress, ce qui déconnecte tout le monde.
• Changez le mot de passe de la base de données et tout mot de passe enregistré dans les réglages d'une extension.
• Surveillez les comptes liés à ces clés. Cherchez des remboursements, de nouveaux webhooks, de nouveaux utilisateurs ou des campagnes que vous n'avez pas envoyées.

Quoi faire dans les premières 24 heures

Agissez vite, mais dans le bon ordre.

1. Faites une sauvegarde complète avant de supprimer quoi que ce soit. Fichiers et base de données. Vous en aurez besoin pour comprendre ce qui s'est passé, et peut-être pour récupérer du contenu plus tard.
2. Changez tous les mots de passe. Administrateurs WordPress, hébergement, base de données, FTP, comptes courriel liés au site et registraire du domaine. Activez la vérification en deux étapes partout où c'est possible. Renouvelez ensuite vos clés d'API, comme décrit plus haut.
3. Supprimez les utilisateurs que vous ne pouvez pas expliquer. Notez d'abord leur nom et leur date de création. Cette date vous dit souvent quand l'attaque a commencé.
4. Vérifiez l'argent. Regardez les réglages de paiement, de dons et de commandes. Assurez-vous que les paiements arrivent toujours dans votre compte et que les formulaires fonctionnent.
5. Ouvrez Google Search Console. Consultez le rapport Problèmes de sécurité et cherchez les pages que vous n'avez pas créées.

Nettoyer ou reconstruire ?

Nettoyer coûte moins cher quand le piratage est récent, limité et bien compris. Une reconstruction coûte plus cher au départ et revient souvent moins cher sur un an.

Reconstruisez quand :

• Le site a été réinfecté après un nettoyage.
• Vous ne savez pas comment ils sont entrés.
• Les pirates ont eu un accès administrateur ou un accès à l'hébergement.
• Le site utilise des extensions ou des thèmes que vous ne pouvez pas mettre à jour, ou qui sont abandonnés.
• Votre hébergeur ne peut pas ou ne veut pas vous aider.

Reconstruire ne veut pas dire repartir de zéro. Vous gardez vos pages, vos articles, vos événements et vos images. Ils sont vérifiés un par un et transférés vers une installation WordPress neuve, sur un serveur propre. Les extensions et les thèmes sont réinstallés à partir de sources fiables. Chaque mot de passe et chaque clé d'API est remplacé. Rien d'exécutable ne passe du site piraté au nouveau. C'est ce qui fait que ça tient.

Faire disparaître les pages de spam de Google

Réparer le site ne répare pas vos résultats de recherche. Google peut continuer d'afficher des pages de spam sous votre nom pendant des semaines.

• Faites répondre « disparue » aux adresses de spam. Une réponse « 410 Gone » indique à Google que la page a été retirée volontairement, ce qui va plus vite qu'une erreur générique.
• Utilisez l'outil Suppressions de Search Console pour les pires pages. Il les masque pendant environ six mois, le temps que Google repasse. Il ne les retire pas de l'index à lui seul.
• Soumettez un sitemap propre pour que Google trouve d'abord vos vraies pages.
• Demandez un réexamen si Google a signalé le site comme piraté.

Comptez quelques semaines, pas quelques jours. Cette partie suit le calendrier de Google.

Éviter que ça se reproduise

Les sites qui restent propres ont trois choses en commun.

Les mises à jour se font en heures, pas en semaines. Pour les failles les plus exploitées, Patchstack a mesuré un délai médian de cinq heures entre leur publication et la première attaque. Nous avons écrit sur cette vitesse dans ce que php2shell nous a appris sur la vitesse de correction. Si mettre votre site à jour veut dire attendre que quelqu'un trouve le temps, vous êtes exposé.

Les sauvegardes sont ailleurs. Une sauvegarde sur le même serveur disparaît avec lui. Gardez des copies hors du serveur, et vérifiez que vous pouvez vraiment en restaurer une.

Les administrateurs se connectent avec la vérification en deux étapes. Les mots de passe volés sont l'une des portes d'entrée les plus courantes, et la vérification en deux étapes en bloque la grande majorité.

Notre approche

Nous concevons des agents IA sur mesure et les logiciels qui les entourent, et nous exploitons ces logiciels nous-mêmes. Les mêmes réflexes s'appliquent : chaque mise à jour est une routine, chaque sauvegarde est testée, et rien n'est accessible sur Internet sans une connexion devant.

Quand un site WordPress piraté nous arrive, nous utilisons aussi l'IA du côté de la défense. Nous analysons chaque article, chaque page et chaque ligne de la base de données à la recherche de code caché, nous révisons chaque résultat à la main, et nous transférons seulement le contenu vérifié vers un serveur propre. Ensuite, nous planifions les mises à jour, les sauvegardes hors site et la surveillance, pour que le site reste propre une fois notre travail terminé.

Si votre site WordPress est piraté à répétition, envoyez-nous son adresse. Nous y jetterons un premier coup d'œil et nous vous dirons franchement si un nettoyage tiendra ou si une reconstruction est la meilleure solution.

Questions fréquentes

Est-ce que je peux simplement restaurer une vieille sauvegarde ?

Seulement si vous savez qu'elle date d'avant l'attaque, et que vous fermez la porte d'entrée avant de remettre le site en ligne. Les pirates restent souvent tranquilles pendant des semaines avant de faire quoi que ce soit de visible, donc la sauvegarde du mois dernier contient peut-être déjà la porte dérobée.

Est-ce qu'une extension de sécurité va régler le problème ?

Une extension de sécurité peut trouver des logiciels malveillants connus et bloquer certaines attaques. Elle ne peut pas retirer une porte dérobée qu'elle ne reconnaît pas, ni réparer un serveur compromis ou un compte d'hébergement volé.

Combien de temps avant que Google arrête d'afficher le spam ?

Généralement quelques semaines après que le site est propre et que les adresses de spam répondent « disparue ». L'outil Suppressions peut masquer les pires pages plus tôt.

Est-ce que mon site est visé à cause de qui nous sommes ?

Presque jamais. Les attaques sont automatisées. Des robots balaient tout Internet à la recherche de n'importe quel site qui utilise une extension vulnérable. Ne pas être à jour suffit pour devenir une cible.