Site internet · Sécurité
Site WordPress piraté : les bons gestes, dans l’ordre
Par Jeremy Damamme · Publié le 20 octobre 2026
En bref
Si votre site WordPress est piraté, mettez-le hors ligne ou en maintenance, conservez les preuves, changez tous les mots de passe (administration, hébergement, base de données, FTP), puis restaurez une sauvegarde saine ou nettoyez les fichiers. Mettez à jour WordPress, le thème et les extensions, et demandez à Google un nouvel examen dans la Search Console si une alerte s’affiche.
| Ce que vous voyez | Ce que c’est souvent |
|---|---|
| Les visiteurs sur téléphone sont redirigés vers un autre site | Code malveillant injecté dans un fichier ou une extension |
| Des pages en langue étrangère apparaissent dans Google | Pages de spam créées sur votre domaine |
| Google affiche « Ce site a peut-être été piraté » | Problème de sécurité détecté par Google |
| Un compte administrateur inconnu | Accès pris par un tiers |
| L’hébergeur suspend le site ou bloque l’envoi d’emails | Envoi de spam depuis votre serveur |
Tout de suite
- Couper : passez le site en maintenance ou demandez à l’hébergeur de le suspendre, pour ne pas exposer vos visiteurs.
- Garder des preuves : captures d’écran, journaux de l’hébergeur, copie des fichiers. Utiles pour un dépôt de plainte et pour comprendre l’entrée.
- Changer tous les accès : comptes WordPress, espace hébergeur, base de données, FTP, et la boîte email liée au compte administrateur.
- Prévenir : votre hébergeur, et si des données personnelles de clients ont pu être exposées avec un risque pour eux, la CNIL, si possible dans les 72 heures.
Nettoyer le site
La voie la plus sûre est de restaurer une sauvegarde antérieure au piratage, puis de tout mettre à jour avant de remettre en ligne. Sans sauvegarde saine, il faut remplacer les fichiers de WordPress par une version officielle, réinstaller le thème et les extensions depuis leur source, et inspecter la base de données et le dossier des médias.
Supprimez les extensions inutilisées ou abandonnées par leur éditeur : ce sont les portes d’entrée les plus fréquentes.
Rétablir la confiance de Google
Dans Google Search Console, le rapport « Problèmes de sécurité » indique ce que Google a détecté. Une fois le site nettoyé, demandez un examen depuis ce rapport. Supprimez aussi les pages de spam créées sur votre domaine, ou renvoyez-les en erreur 404 ou 410, pour qu’elles sortent de l’index.
Éviter la récidive
- Mises à jour automatiques de WordPress et des extensions, ou un contrat de maintenance qui les assure.
- Sauvegardes quotidiennes stockées hors du serveur.
- Double authentification sur les comptes administrateurs, et un compte par personne.
- Des accès à votre nom : si un ancien prestataire détient l’hébergement, voir récupérer son site.
Réparer ou refaire ?
Si le site est ancien, peu mis à jour et rapporte peu de demandes, le piratage est souvent l’occasion de repartir sur une base saine : voir la refonte de site. Sinon, un nettoyage complet suivi d’une vraie maintenance suffit.
Vous préférez en parler directement ? Réserver 20 minutes
Questions fréquentes
Comment savoir si mon site WordPress est piraté ?
Redirections vers d’autres sites, pages inconnues dans les résultats Google, alerte de sécurité dans la Search Console, compte administrateur inconnu ou suspension par l’hébergeur sont les signes les plus fréquents.
Faut-il porter plainte ?
C’est possible et recommandé si le piratage a causé un préjudice. Conservez les preuves avant de nettoyer. Le dispositif Cybermalveillance.gouv.fr accompagne les entreprises victimes.
Combien de temps pour que Google retire l’alerte ?
Après le nettoyage, demandez un examen depuis le rapport Problèmes de sécurité de la Search Console. Google traite la demande après vérification du site.
Une extension de sécurité suffit-elle ?
Elle aide à détecter et bloquer, mais ne remplace ni les mises à jour, ni les sauvegardes, ni des mots de passe solides avec double authentification.