📑 Sommaire

    La réaction instinctive au moment où vous découvrez le piratage est presque toujours la même : supprimer des fichiers tout de suite, retirer des extensions, essayer de « nettoyer » quelque chose. Cela aggrave le plus souvent la situation — vous détruisez les traces de l’attaque et vous passez à côté de la porte dérobée. L’ordre ci-dessous est conçu pour réduire les pertes au minimum.

    1. Isolez d’abord, ne supprimez pas

    Le premier objectif est d’arrêter les dégâts, pas de nettoyer. Passez le site en mode maintenance ou bloquez l’accès au niveau du serveur, afin que vos visiteurs ne soient pas exposés au code malveillant et que les moteurs de recherche ne signalent pas votre site comme « dangereux ».

    • Mettez le site hors ligne temporairement (page de maintenance ou restriction d’accès au niveau serveur).
    • Fermez toutes les sessions administrateur et changez les mots de passe — tableau de bord, FTP, base de données et compte d’hébergement compris.
    • Si le site encaisse des paiements, informez votre prestataire de paiement.

    ⚠️ Ne supprimez encore aucun fichier

    Supprimer immédiatement les fichiers malveillants est l’erreur la plus courante. Ces fichiers et les journaux du serveur sont la seule preuve de la façon dont l’attaquant est entré. Si vous ne trouvez pas la faille, le site nettoyé sera piraté de nouveau en quelques jours. Copiez d’abord, nettoyez ensuite.

    2. Faites une copie forensique de l’état actuel

    Cela peut sembler excessif, mais c’est indispensable : faites une sauvegarde dans son état piraté et rangez-la à part. Cette copie sert à deux choses : analyser la faille et récupérer un fichier légitime supprimé par erreur pendant le nettoyage. Ne restaurez jamais cette sauvegarde en production ; elle sert uniquement à l’examen.

    3. Déterminez quand ils sont entrés

    Pour pouvoir revenir à une sauvegarde saine, vous devez connaître la date de l’attaque. Sinon vous restaurerez une sauvegarde contenant elle aussi le code malveillant et reviendrez au même point. Où regarder :

    • Dates de modification des fichiers : listez les fichiers modifiés récemment ; des fichiers du cœur modifiés à une date inattendue sont le premier indice.
    • Journaux d’accès du serveur : requêtes POST suspectes, connexions admin depuis des adresses IP inconnues.
    • Nouveaux utilisateurs : comptes administrateurs que vous n’avez pas créés.
    • Tâches planifiées : les attaquants laissent des entrées cron pour persister.

    4. Revenez à une sauvegarde saine ANTÉRIEURE à l’attaque

    Une fois la date connue, la marche à suivre est claire : restaurez une sauvegarde antérieure. Deux points sont ici décisifs.

    Premièrement, vous devez être certain que la sauvegarde est réellement saine. Une attaque commence souvent des semaines avant d’être remarquée ; même « la sauvegarde d’hier » peut contenir du code malveillant. Si vos sauvegardes sont analysées, vous savez laquelle est saine — c’est toute la différence entre deviner et savoir.

    Deuxièmement, restaurer signifie perdre des données : les commandes, inscriptions et commentaires postérieurs à la sauvegarde disparaissent. Envisagez donc d’exporter d’abord les enregistrements critiques (commandes, par exemple) depuis la base actuelle.

    5. Colmatez la faille — sinon cela recommencera

    Revenir à une sauvegarde saine ne supprime que l’ effet ; si la cause demeure, l’attaquant repassera par la même porte. Les points d’entrée les plus fréquents :

    • Extension ou thème non mis à jour : entrée par balayage automatisé des failles connues. C’est la cause la plus courante.
    • Mot de passe administrateur faible : cassé par force brute.
    • Extensions abandonnées : une extension non mise à jour depuis des années est une porte ouverte.
    • Voisinage en hébergement mutualisé : la compromission d’un autre site sur le même serveur.

    Première tâche après restauration : mettre à jour le cœur, les thèmes et les extensions, supprimer les inutilisés (désactiver ne suffit pas : tant que les fichiers sont là, ils restent exploitables), renouveler tous les mots de passe et activer l’authentification à deux facteurs.

    6. Vérifiez que tout est propre

    Le travail n’est pas terminé parce que le site est de nouveau en ligne. Les portes dérobées sont généralement discrètes. Faites analyser vos nouvelles sauvegardes, réexaminez les comptes administrateurs et les tâches planifiées. Si les moteurs de recherche vous ont signalé comme « site dangereux », demandez un réexamen.

    🛡 Pour que ce soit plus simple la prochaine fois

    La partie la plus épuisante est la question « quelle sauvegarde est saine ? ». Si vos sauvegardes passent régulièrement par une analyse antimalware et que vous disposez d’une copie immuable (WORM) , votre point de retour sain subsiste même si un attaquant pénètre votre système. Comparez les méthodes ou essayez directement 14 jours gratuits .

    Ce qu’il ne faut pas faire

    • Ne payez pas la rançon. Payer ne garantit pas le retour des données et fait de vous une cible récurrente.
    • Ne supprimez pas seulement le fichier visible. La porte dérobée est presque toujours ailleurs.
    • Ne réutilisez pas les mêmes mots de passe. L’attaquant les possède peut-être déjà.
    • N’écrasez pas votre unique sauvegarde. Une nouvelle sauvegarde faite dans la panique peut écraser la copie saine qu’il vous reste.

    Questions fréquentes

    Comment récupérer un site WordPress piraté ?

    Dans cet ordre : isolez le site, faites une copie de l’état actuel à des fins d’analyse, déterminez la date de l’attaque, revenez à une sauvegarde saine antérieure, colmatez la faille qui a permis l’intrusion (mises à jour, mots de passe, suppression des extensions inutilisées), puis vérifiez le nettoyage. Supprimer les fichiers immédiatement est l’erreur la plus fréquente, car cela rend impossible l’identification de la faille.

    Restaurer un site piraté depuis une sauvegarde suffit-il ?

    Non. La restauration supprime l’effet, pas la cause. Si la faille utilisée subsiste, l’attaquant reviendra rapidement. Après la restauration, vous devez mettre à jour le cœur, les thèmes et les extensions, supprimer les inutilisés, renouveler tous les mots de passe et activer l’authentification à deux facteurs.

    Comment savoir quelle sauvegarde est saine ?

    Une attaque commence généralement des semaines avant d’être remarquée : même la sauvegarde la plus récente peut contenir du code malveillant. Déterminez le début de l’attaque à partir des dates de modification des fichiers et des journaux d’accès, puis revenez à une sauvegarde antérieure. Si vos sauvegardes sont régulièrement analysées, vous le savez au lieu de le deviner.

    Dois-je payer une rançon après un piratage ?

    Non. Payer ne garantit pas le retour des données, finance l’attaquant et fait de vous une cible récurrente. Si vous disposez d’une sauvegarde indépendante et immuable, vous n’avez même pas à négocier.

    Mon site est piraté : mon hébergeur peut-il m’aider ?

    Les hébergeurs apportent généralement une aide au niveau du serveur et peuvent restaurer la sauvegarde dont ils disposent ; mais celle-ci est le plus souvent conservée peu de temps et n’a pas été analysée. Disposer de votre propre sauvegarde indépendante, datée et analysée simplifie radicalement la récupération.