Si votre site WordPress est piraté, procédez dans cet ordre : isolez le site, sauvegardez-le en l'état, changez tous les accès, nettoyez à partir de sources saines (cœur, extensions, thème réinstallés), puis demandez un réexamen à Google. Sauter une étape, surtout le changement des accès ou la recherche de la porte d'entrée, est la première cause de récidive. Les signes ne sont pas toujours visibles : une partie des piratages ne touche que ce que voit Google, pas ce que voient vos visiteurs.
Ce guide couvre les symptômes, la procédure de nettoyage étape par étape, le cas particulier du spam SEO invisible et les mesures qui évitent de recommencer dans trois semaines.
Les signes d'un site WordPress piraté
Certains piratages sautent aux yeux. D'autres restent cachés pendant des mois. Voici les symptômes à surveiller, du plus visible au plus discret.
| Symptôme | Ce que cela indique souvent |
|---|
| Redirection vers un casino, une pharmacie ou un faux antivirus, parfois seulement depuis Google ou sur mobile | Code injecté dans .htaccess, dans un fichier PHP ou en base de données |
| Avertissement « Site trompeur » ou « Ce site peut endommager votre ordinateur » dans le navigateur | Site signalé par Google Safe Browsing |
| Pages en japonais, en chinois ou des milliers d'URL inconnues dans les résultats de Google | Spam SEO injecté (japanese keyword hack) |
| Nouvel administrateur WordPress que personne ne connaît | Accès dérobé créé par l'attaquant |
| Nouveau propriétaire dans Google Search Console | L'attaquant a vérifié votre site pour manipuler sitemaps et ciblage |
| Hébergeur qui suspend le site ou signale des envois de spam | Script d'envoi de mails déposé sur le serveur |
| Emails de votre domaine qui finissent en spam | IP du serveur inscrite sur une liste noire |
La documentation officielle de WordPress.org liste des indicateurs similaires : site blacklisté par Google ou Bing, hébergeur qui désactive le site, antivirus des visiteurs qui bloquent la page, création d'utilisateurs non autorisés.
Le cas le plus sournois : le spam SEO invisible
Dans le japanese keyword hack, l'attaquant crée des pages remplies de texte japonais et de liens vers des boutiques de contrefaçon, souvent dans des répertoires aux noms aléatoires. Selon le guide de Google publié sur web.dev, il s'ajoute fréquemment comme propriétaire dans Search Console pour modifier le ciblage géographique ou les sitemaps.
Ces pages utilisent souvent le cloaking : le serveur sert un contenu différent selon le visiteur. Googlebot voit le spam. Vous, en navigation normale, voyez votre site intact, ou une page 404. Le code malveillant teste le user-agent, l'adresse IP ou le référent pour décider quoi afficher.
Pour le repérer :
- Tapez
site:votre-domaine.fr dans Google et parcourez les résultats. Des titres en japonais ou des descriptions de produits que vous ne vendez pas sont un signal clair.
- Dans Search Console, ouvrez le rapport « Problèmes de sécurité », puis testez une URL suspecte avec l'outil d'inspection d'URL : il montre ce que Google reçoit réellement.
- Comparez la réponse servie à un navigateur et à Googlebot en ligne de commande :
curl -s -A "Mozilla/5.0" https://votre-domaine.fr/ | head -40
curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://votre-domaine.fr/ | head -40
Si les deux réponses diffèrent fortement, le site fait du cloaking. Certains scripts vérifient aussi l'IP réelle de Google : un résultat identique ne prouve donc pas que le site est sain. Notre outil de vérification de piratage compare automatiquement ces deux versions. Le phénomène inverse, une erreur servie uniquement à Google, est expliqué dans votre site affiche une erreur à Google, mais pas à vous.
Que faire, dans l'ordre
1. Documentez avant de toucher à quoi que ce soit
Notez ce que vous observez, l'heure, les derniers changements (extension installée, thème modifié, nouvel utilisateur). La FAQ officielle de WordPress.org recommande ce rapport d'incident comme première action. Faites des captures d'écran des redirections et des résultats Google.
2. Mettez le site hors ligne ou en maintenance
Un site qui redirige vers une arnaque continue de faire des victimes et de dégrader votre réputation. Une page de maintenance servie par le serveur (pas par WordPress, qui est compromis) limite les dégâts pendant le nettoyage. Prévenez votre hébergeur : sur un hébergement mutualisé, d'autres sites peuvent être touchés, et il peut avoir des journaux utiles.
3. Sauvegardez le site infecté
Copiez fichiers et base de données, même infectés. Cette copie sert à l'analyse (dates de modification, journaux) et de filet de sécurité si le nettoyage casse quelque chose. Ne la restaurez jamais telle quelle.
4. Changez tous les accès
Tous, pas seulement le mot de passe WordPress :
- comptes administrateurs WordPress (et suppression des comptes inconnus) ;
- FTP / SFTP, SSH, panneau de l'hébergeur ;
- utilisateur MySQL (puis mise à jour de
wp-config.php) ;
- clés secrètes (salts) de
wp-config.php, régénérées via le générateur officiel de WordPress.org : cela déconnecte toutes les sessions ouvertes ;
- compte du registrar et de l'hébergeur DNS, si le moindre doute existe.
Activez la double authentification partout où c'est possible. Analysez aussi les postes de travail avec un antivirus : la FAQ WordPress.org rappelle qu'une partie des infections commence par un vol d'identifiants sur l'ordinateur d'un administrateur.
5. Nettoyez à partir de sources saines
Ne cherchez pas à corriger fichier par fichier. Remplacez :
- Le cœur de WordPress : supprimez
wp-admin et wp-includes, puis réinstallez la même version depuis wordpress.org. Avec WP-CLI, wp core verify-checksums liste les fichiers du cœur modifiés.
- Les extensions et le thème : supprimez-les puis réinstallez-les depuis leur source officielle.
wp plugin verify-checksums --all vérifie les extensions du répertoire officiel. Supprimez celles qui ne servent plus.
- Le dossier
wp-content/uploads : il ne doit contenir aucun fichier .php.
- Les fichiers
.htaccess : Google recommande de les remplacer par une version par défaut, car ils servent souvent aux redirections et au cloaking.
- La base de données : cherchez les balises
<script> et les iframes dans wp_posts et wp_options, et les utilisateurs inconnus dans wp_users.
find . -name "*.php" -path "*uploads*"
find . -name "*.php" -mtime -30 -not -path "./wp-content/cache/*"
grep -rl "eval(base64_decode" --include=*.php .
Ces commandes ne trouvent pas tout. Les scripts malveillants sont souvent obfusqués. Si vous disposez d'une sauvegarde antérieure à l'infection, restaurer cette sauvegarde puis appliquer immédiatement les mises à jour est souvent plus sûr qu'un nettoyage manuel.
6. Trouvez la porte d'entrée
C'est l'étape la plus souvent oubliée. Selon le rapport 2026 de Patchstack, 91 % des nouvelles vulnérabilités découvertes dans l'écosystème WordPress en 2025 concernaient des extensions, 9 % des thèmes, et seulement 6 vulnérabilités le cœur. Le même rapport indique que 46 % des failles n'avaient pas de correctif au moment de leur divulgation publique. Croisez les journaux d'accès du serveur (requêtes POST inhabituelles, appels à xmlrpc.php ou à des fichiers d'extension) avec la date de modification des premiers fichiers infectés. Vérifiez aussi que le site n'expose pas de fichiers sensibles comme .env, une sauvegarde .sql ou un dossier .git avec notre vérificateur de fichiers sensibles.
7. Faites lever les avertissements
- Dans Search Console, supprimez les propriétaires inconnus, puis demandez un réexamen depuis le rapport « Problèmes de sécurité ».
- Laissez les pages de spam renvoyer une erreur 404 ou 410 pour qu'elles sortent de l'index. Ne les bloquez pas dans
robots.txt : Google ne verrait plus qu'elles ont disparu.
- Si votre serveur a envoyé du spam, vérifiez son IP sur les listes noires. Notre guide sur les blacklists DNS et comment en sortir détaille la procédure.
8. Évaluez la fuite de données
Si le site stocke des données personnelles (comptes clients, commandes WooCommerce, formulaires), une compromission peut constituer une violation de données au sens du RGPD. Le responsable de traitement doit alors la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes concernées.
Éviter la récidive
Un site nettoyé mais dont la faille reste ouverte sera repiraté, souvent par le même robot. Les mesures qui comptent :
- Mises à jour : activez les mises à jour automatiques des extensions maintenues, et remplacez celles qui ne sont plus mises à jour depuis longtemps.
- Moins d'extensions : chaque extension est une surface d'attaque. Supprimez (ne désactivez pas seulement) celles qui ne servent pas.
- Comptes : un administrateur par personne, double authentification, aucun compte partagé.
- Édition de fichiers désactivée : ajoutez
define( 'DISALLOW_FILE_EDIT', true ); dans wp-config.php, comme le recommande le guide de durcissement de WordPress.
- Sauvegardes externes : quotidiennes, conservées hors du serveur, et testées.
- Surveillance externe : beaucoup de piratages sont découverts par un client ou par Google, des semaines plus tard. Une vérification régulière de ce que le site sert à Googlebot raccourcit ce délai.
Ce que Domains Defender peut surveiller
Le plan Pro de Domains Defender détecte l'injection de spam SEO (défacement et cloaking), vérifie l'inscription des IP web et mail sur 14 listes noires DNSBL et consulte Google Safe Browsing et URLhaus. Il alerte aussi quand un enregistrement DNS change. Il ne nettoie pas le site et ne bloque pas les attaques : il vous prévient plus tôt. Les détails sont sur la page des plans.
Questions fréquentes
Mon site WordPress redirige vers un autre site, mais seulement depuis Google. Pourquoi ?
Le code malveillant teste le référent : il redirige les visiteurs qui arrivent depuis un moteur de recherche et laisse passer ceux qui tapent l'adresse directement. C'est fait pour que l'administrateur ne voie rien. Cherchez dans .htaccess, dans wp-config.php, dans functions.php du thème et dans la table wp_options.
Une extension de sécurité suffit-elle à nettoyer un site piraté ?
Elle aide à repérer les fichiers modifiés, mais elle tourne dans un WordPress compromis et ne trouve pas tout. Le nettoyage fiable passe par la réinstallation du cœur, des extensions et du thème depuis leurs sources officielles, et par le changement de tous les accès.
Combien de temps pour sortir de l'avertissement Google ?
Une fois le site nettoyé, le réexamen se demande dans Search Console. Le délai dépend de Google et n'est pas garanti. Les pages de spam déjà indexées disparaissent progressivement à mesure que Google les recrawle et reçoit une erreur 404 ou 410.
Faut-il prévenir ses clients ?
Si des données personnelles ont pu être consultées ou volées, oui dans la plupart des cas : le RGPD impose d'informer les personnes concernées quand la violation présente un risque élevé pour elles, en plus de la notification à la CNIL.