Votre site affiche autre chose que ce que vous avez publié

Un site WordPress piraté ne prévient pas toujours par une page de revendication. Le plus souvent, les signes sont indirects :

  • Des redirections vers des sites douteux, parfois uniquement depuis Google ou depuis un mobile — l’attaquant les masque à l’administrateur.
  • Des pages que vous n’avez jamais créées apparaissent dans les résultats de recherche : pharmacie en ligne, contrefaçon, casino.
  • Un avertissement navigateur (« site trompeur ») ou une alerte Google Search Console.
  • Un e-mail de votre hébergeur signalant des envois de spam ou une activité anormale depuis votre espace.
  • Un compte administrateur inconnu, des extensions que personne n’a installées, des fichiers modifiés récemment sans raison.
  • Rien du tout — les compromissions les plus rentables pour l’attaquant sont celles qui restent discrètes.

Si un ou plusieurs de ces signes vous parlent, la suite de cet article est écrite pour vous. Et elle commence par ce qu’il ne faut surtout pas faire.

Le pire réflexe : « réinstaller et prier »

Face à un site compromis, le réflexe le plus répandu — souvent conseillé sur les forums — consiste à tout effacer, réinstaller WordPress, restaurer une sauvegarde et espérer que ça tienne. En réponse à incident, nous voyons ce que cela produit : le site est réinfecté quelques jours ou quelques semaines plus tard, parce que la vulnérabilité d’origine est toujours là, ou que l’attaquant possède toujours des accès valides.

Et il y a plus grave : en effaçant tout, vous avez détruit les preuves. Sans les fichiers compromis et les journaux, il devient impossible de répondre aux trois questions qui comptent : par où l’attaquant est-il entré, qu’a-t-il fait, et des données personnelles ont-elles été exposées ? Ces réponses conditionnent vos obligations légales, votre déclaration d’assurance — et la certitude que le problème est réellement réglé.

Les 5 premiers gestes, dans l’ordre

  1. Isolez le site sans rien effacer. Passez le site en maintenance ou demandez à votre hébergeur de bloquer l’accès public. L’objectif est de protéger vos visiteurs et de stopper l’activité de l’attaquant — pas de faire disparaître le problème. Ne supprimez aucun fichier, ne « nettoyez » rien à ce stade.
  2. Sauvegardez l’état compromis. Copie complète des fichiers et export de la base de données, tels quels, malware compris, stockés hors du serveur. C’est contre-intuitif — on sauvegarde un site infecté — mais cette copie est votre scène de crime : c’est elle qui permettra l’analyse.
  3. Préservez les journaux. Logs du serveur web (accès et erreurs), journaux FTP/SSH, historique de connexion de l’hébergeur. Sur beaucoup d’offres mutualisées, ces journaux sont écrasés au bout de quelques jours : téléchargez-les immédiatement, avant qu’ils ne disparaissent.
  4. Établissez une chronologie. Notez, même approximativement : la première anomalie constatée, les dernières extensions ou thèmes installés, les dernières mises à jour, les comptes créés récemment, les personnes ayant accès à l’administration. Ces repères orientent toute l’analyse qui suit.
  5. Changez tous les accès — depuis un poste sain. Mots de passe de l’administration WordPress, de l’hébergeur, du FTP/SSH, de la base de données, de l’adresse e-mail associée au compte, et activez la double authentification. Le détail qui change tout : faites-le depuis un autre ordinateur que celui utilisé habituellement. Si l’attaque est passée par un voleur de mots de passe installé sur votre poste, changer vos accès depuis ce même poste revient à les redonner aussitôt à l’attaquant.

Ce que « nettoyer » veut vraiment dire

Un nettoyage sérieux distingue deux choses que les offres de « suppression de malware » confondent souvent : la charge — le code malveillant que l’on voit, redirections, spam, scripts injectés — et la porte d’entrée — la vulnérabilité ou l’accès qui a permis de l’installer : extension non maintenue, mot de passe volé, hébergement mal configuré, parfois un script tiers compromis, comme dans l’attaque JavaScript qui a touché des milliers de sites WordPress que nous avions analysée.

Supprimer la charge sans fermer la porte, c’est repeindre par-dessus l’humidité. D’autant que les attaquants installent presque systématiquement plusieurs accès de secours : fichiers PHP déposés dans les répertoires d’uploads, code ajouté à des fichiers légitimes du thème, comptes administrateurs discrets, tâches planifiées qui retéléchargent la charge après nettoyage. En trouver un ne signifie pas les avoir tous trouvés.

Un nettoyage complet suit donc une logique d’enquête : analyser les journaux et les fichiers pour dater l’intrusion et identifier la porte d’entrée, recenser tous les accès de l’attaquant, puis reconstruire à partir de sources saines — cœur WordPress, thèmes et extensions réinstallés depuis leurs dépôts officiels, contenus vérifiés — avec des accès neufs, une configuration durcie et une surveillance dans les semaines qui suivent.

Quand appeler un expert

Certaines situations dépassent le cadre du dépannage technique :

  • Le site traite des données personnelles — comptes clients, formulaires, commandes. Une compromission peut constituer une violation de données au sens du RGPD, avec notification à la CNIL sous 72 heures lorsqu’il existe un risque pour les personnes. Encore faut-il pouvoir documenter ce qui a été exposé : c’est exactement ce que permettent les preuves préservées.
  • Vous avez une assurance cyber. La prise en charge repose sur un dossier : chronologie, éléments techniques, rapport d’analyse. Un site effacé puis réinstallé laisse peu à présenter.
  • Le site encaisse des paiements ou est réinfecté malgré vos nettoyages : la porte d’entrée vous échappe, et chaque jour compte.

C’est notre métier. Yneos intervient en réponse à incident avec une approche forensique : préserver, analyser, évincer l’attaquant, remettre en service — et vous fournir le rapport exploitable pour la CNIL, l’assurance ou un dépôt de plainte. En cas d’urgence, appelez directement le 04 85 69 31 04 avant toute manipulation : un premier échange est gratuit, et quelques minutes au téléphone évitent souvent des gestes irréversibles.

Et une fois l’incident derrière vous, la vraie conclusion n’est pas « le site remarche », mais « cela ne se reproduira pas » : un audit et une sécurisation de votre site ou application transforment l’incident en point de départ d’un site durci — mises à jour maîtrisées, accès réduits au nécessaire, surveillance en place.