Votre site redirige vers une page que vous ne connaissez pas, affiche des liens étranges, ou Google prévient vos visiteurs qu’il est dangereux. La première heure compte, mais pas de la façon qu’on imagine : ce qui sauve un site piraté, ce n’est pas d’agir vite, c’est de ne pas détruire les preuves ni la dernière sauvegarde saine en essayant de bien faire. Voici les gestes utiles, les trois réflexes qui aggravent la situation, et ce que vous risquez réellement si rien n’est fait.
Au sommaire
- Comment savoir si votre site WordPress a été piraté
- La redirection : le symptôme le plus fréquent
- Les trois réflexes qui aggravent tout
- Ce qu’il faut faire dans l’heure
- Ce que vous risquez si rien n’est fait
- Pourquoi c’est presque toujours une extension
- Tous les sites en panne ne sont pas piratés
- Ce que fait un prestataire, et en combien de temps
- Comment éviter le deuxième piratage
- Questions fréquentes
Comment savoir si votre site WordPress a été piraté
Un site piraté ressemble rarement à ce qu’on imagine. L’écran noir avec un message de revendication existe, mais il est devenu rare : un attaquant qui dégrade visiblement un site perd son accès en quelques heures. L’immense majorité des compromissions cherche exactement l’inverse, rester invisible le plus longtemps possible.
Les signes visibles depuis votre navigateur :
- le site renvoie vers une autre adresse, souvent un site marchand étranger ou une page de paris en ligne ;
- des pages que vous n’avez jamais créées apparaissent dans Google avec le nom de votre domaine ;
- Chrome ou Firefox affichent un écran rouge d’avertissement avant d’ouvrir votre site ;
- des comptes administrateurs inconnus figurent dans votre tableau de bord ;
- vos e-mails professionnels arrivent en courrier indésirable chez vos clients, ou n’arrivent plus du tout.
Les signes qui ne se voient pas : beaucoup de compromissions ne changent rien pour vous. Elles se déclenchent uniquement pour les visiteurs venant de Google, uniquement sur mobile, ou uniquement pour un internaute qui n’est pas connecté à l’administration. Vous consultez votre site tous les jours et vous ne voyez rien, pendant que vos prospects, eux, tombent ailleurs. C’est le cas de figure le plus coûteux, parce qu’il dure des semaines.
Un indice fiable en dehors du site lui-même : une chute brutale et inexpliquée de vos statistiques de visites, ou un pic de pages indexées dans la Search Console. Quand le trafic s’effondre sans raison éditoriale, la piste technique mérite d’être écartée avant la piste référencement.
La redirection : le symptôme le plus fréquent
C’est de loin la situation la plus rapportée : on tape l’adresse du site, et on arrive ailleurs. Parfois immédiatement, parfois après une seconde d’affichage normal, ce qui rend le diagnostic encore plus troublant pour le propriétaire.
Ce que ce symptôme indique, c’est qu’un code a été ajouté quelque part pour détourner les visiteurs vers un site tiers qui, lui, monnétise ce trafic. Votre site n’est pas la cible finale : il est devenu un robinet. C’est pour cela que ces attaques visent en masse des sites de toutes tailles, y compris des vitrines d’artisans sans données sensibles. Le trafic a une valeur indépendamment de ce que vous vendez.
Deux détails qui trompent beaucoup de dirigeants. D’abord, la redirection est souvent conditionnelle : elle ne se déclenche pas si vous êtes connecté à votre administration, ce qui donne l’impression que le problème s’est résolu tout seul. Ensuite, elle peut revenir après avoir disparu : si la porte d’entrée n’a pas été refermée, le code est réinjecté automatiquement, parfois quelques heures plus tard. Un site qui se remet à rediriger après un nettoyage n’a pas été repiraté : il n’a jamais été vraiment nettoyé.
Les trois réflexes qui aggravent tout
La panique produit toujours les trois mêmes gestes. Chacun coûte cher, et les trois ensemble transforment une intervention d’une demi-journée en reconstruction complète.
1. Supprimer des fichiers ou des extensions au jugé. Vous effacez au passage la trace de l’entrée, c’est-à-dire la seule information qui permettra d’empêcher que ça recommence. Un site nettoyé sans savoir par où l’attaque est passée se fait repirater, souvent dans la même semaine.
2. Réinstaller WordPress par-dessus. L’opération ne remplace que les fichiers du cœur, là où le code malveillant se loge presque toujours ailleurs : dans une extension, dans le thème, dans les fichiers téléversés ou dans la base de données. Vous obtenez un site qui semble réparé et qui redirige toujours.
3. Restaurer la première sauvegarde venue. C’est le geste le plus dommageable. La compromission date presque toujours de plusieurs semaines avant les premiers symptômes : restaurer la sauvegarde d’hier réinstalle le problème, et écrase parfois la dernière copie réellement saine. Avant de restaurer, il faut savoir quand l’intrusion a eu lieu. Sans cette date, une restauration est un tirage au sort.
Un quatrième réflexe, plus rare mais redéfinitif : mettre le site hors ligne en supprimant l’installation pour « repartir propre ». Vous perdez alors le contenu, l’historique et les positions acquises, pour un problème qui se réglait sans cela.
Ce qu'il faut faire dans l'heure
Les gestes utiles sont étonnamment peu techniques. Ils servent à conserver l’état des lieux et à limiter la casse, pas à réparer.
- Notez l’heure et les symptômes exacts. Ce que vous voyez, depuis quel appareil, connecté ou non à l’administration. Ces détails orientent le diagnostic bien plus qu’on ne le croit.
- Faites des captures d’écran. Page redirigée, avertissement du navigateur, liste des utilisateurs, alertes reçues. Elles servent au diagnostic et, si nécessaire, au dépôt de plainte.
- Prévenez votre hébergeur et demandez-lui de conserver les journaux de connexion. Beaucoup ne les gardent que quelques jours : passé ce délai, l’origine de l’intrusion devient introuvable.
- Changez les mots de passe depuis un autre appareil que celui qui administre le site, et coupez les accès des comptes inutilisés.
- Ne touchez à rien d’autre et appelez un professionnel. Si le site accepte des paiements ou stocke des comptes clients, cette étape passe avant toutes les autres.
Si vous hésitez entre « j’attends demain » et « j’appelle maintenant » : chaque heure d’exposition augmente le nombre de pages parasites indexées par Google, et c’est ce travail de désindexation qui allonge ensuite la remise en état.
Ce que vous risquez si rien n'est fait
Un site piraté laissé en l’état ne se dégrade pas lentement : il franchit des seuils.
L’avertissement Google. Dès que la compromission est détectée, votre site peut être signalé comme dangereux. Les visiteurs voient un écran rouge avant d’entrer. Le retrait de cet avertissement n’est pas automatique après nettoyage : il faut demander un réexamen, et l’obtenir.
Les positions perdues. Les pages parasites indexées sous votre domaine diluent votre pertinence. Une fois nettoyées, elles doivent être désindexées une par une. C’est la partie la plus longue, et celle dont les effets se font sentir des mois après.
Les e-mails bloqués. Un serveur compromis sert souvent à envoyer du courrier indésirable. Votre domaine se retrouve sur des listes noires, et vos devis n’arrivent plus chez vos clients. Beaucoup d’entreprises découvrent le piratage par ce biais.
L’obligation de déclarer. Si votre site héberge des données personnelles — un simple formulaire de contact suffit, et a fortiori des comptes clients — une intrusion constitue une violation de données au sens du RGPD. Lorsqu’elle présente un risque pour les personnes concernées, elle doit être notifiée à la CNIL dans les 72 heures, et les personnes doivent être informées si le risque est élevé. C’est le point que les dirigeants ignorent le plus souvent, et c’est celui qui transforme un incident technique en sujet juridique. Nous l’avions abordé sous un autre angle dans notre article sur les règles de la CNIL applicables aux e-mails.
Pourquoi c'est presque toujours une extension
La question revient systématiquement : qu’est-ce que j’ai fait de mal ? La réponse est presque toujours : rien. Les attaques ne sont pas ciblées, elles sont automatisées. Des robots parcourent le web à la recherche de sites utilisant une extension dont la faille vient d’être publiée, et exploitent tout ce qui répond.
Les chiffres du rapport Patchstack 2026 donnent l’échelle : 11 334 nouvelles vulnérabilités recensées dans l’écosystème WordPress sur la seule année 2025, soit 42 % de plus qu’en 2024, dont 91 % dans les extensions et non dans WordPress lui-même.
Le point décisif n’est pas le nombre, c’est le délai. Environ la moitié des failles à fort impact sont exploitées dans les vingt-quatre heures suivant leur publication, avec une médiane de cinq heures pour les extensions les plus ciblées. Cinq heures, c’est moins qu’une journée de travail. Une mise à jour repoussée au week-end n’est pas un petit retard administratif.
Deux cas particuliers reviennent souvent chez les TPE. Les extensions abandonnées d’abord : une extension installée il y a six ans, dont l’auteur a cessé la maintenance, ne recevra jamais de correctif et n’affiche aucune alerte. Les thèmes à licence expirée ensuite : le thème continue de fonctionner, mais ne reçoit plus aucune mise à jour, sans le moindre avertissement dans le tableau de bord.
Tous les sites en panne ne sont pas piratés
Avant de conclure au piratage, il faut écarter une cause bien plus banale : la mise à jour qui casse.
L’exemple le plus récent date du 19 août 2026, avec la sortie de WordPress 7.1. Dans les heures qui ont suivi, des sites utilisant l’une des extensions de cache les plus vendues de l’écosystème se sont retrouvés en erreur fatale : écran blanc, administration inaccessible comprise. Aucune attaque, aucune faille, simplement deux logiciels devenus incompatibles du jour au lendemain.
Pour le dirigeant, le symptôme est identique — le site ne répond plus — et la conclusion instinctive est « on m’a piraté ». La réponse, elle, n’a rien à voir : dans un cas il faut chercher une intrusion, dans l’autre il faut revenir en arrière sur une version. C’est exactement pour cela que les deux premiers réflexes de la liste plus haut sont « notez » et « ne touchez à rien » plutôt que « restaurez ».
Ce que fait un prestataire, et en combien de temps
Une intervention sérieuse ne commence pas par le nettoyage. Elle commence par dater l’intrusion et identifier par où elle est passée ; sans cela, tout le reste est provisoire.
Le déroulé, décrit en résultats plutôt qu’en manipulations : isoler le site pour arrêter la diffusion, dater la compromission à partir des journaux du serveur, identifier la porte d’entrée, assainir les fichiers et la base de données, refermer la brèche, puis rétablir la réputation du domaine auprès de Google et des services de messagerie.
Sur les délais, l’honnêteté impose de distinguer deux choses. Un site vitrine peu complexe, avec des journaux serveur disponibles, est généralement remis en ligne dans la journée. La remise en état complète — désindexation des pages parasites, retrait de l’avertissement Google, sortie des listes noires de messagerie — s’étale sur plusieurs semaines. C’est cette seconde partie que personne n’anticipe, et c’est elle qui coûte le plus cher en activité perdue.
Deux facteurs allongent nettement l’intervention : des journaux déjà effacés par l’hébergeur, et un site sur lequel on a déjà « essayé des choses ». Un audit du site préalable permet, dans les cas douteux, de trancher rapidement entre panne et compromission.
Comment éviter le deuxième piratage
Un site qui a été compromis une fois l’est souvent une deuxième. Non par acharnement, mais parce que les conditions qui ont permis la première intrusion n’ont pas changé : les mêmes extensions, le même rythme de mise à jour, la même absence de sauvegarde vérifiée.
La protection ne tient pas à un outil miracle mais à trois conditions tenues dans la durée : des mises à jour appliquées rapidement et testées avant déploiement, puisque le délai d’exploitation se compte en heures ; des sauvegardes externalisées et vérifiées, parce qu’une sauvegarde jamais restaurée n’est qu’une hypothèse ; et une surveillance qui détecte la compromission avant vos clients, ce qui divise la facture par dix.
Tenir ces trois conditions soi-même est possible, mais suppose de suivre les publications de failles toutes les semaines et de savoir revenir en arrière quand une mise à jour casse un affichage. C’est le contenu même d’un contrat de maintenance WordPress : mises à jour testées, sauvegardes automatisées, surveillance continue et interlocuteur joignable quand quelque chose cloche.
Chez ARC EN SOFT, nous reprenons régulièrement des sites compromis créés par d’autres prestataires : le site est audité, remis à niveau, puis entre en maintenance. Il n’est nécessaire ni d’avoir fait créer son site chez nous, ni de changer d’hébergeur.
Votre site est piraté ou vous avez un doute ?
Ne touchez à rien et appelez-nous au 03 27 31 69 78. Nous datons la compromission, identifions la porte d’entrée et remettons le site en ligne, puis nous nous occupons de la réputation de votre domaine auprès de Google et des messageries. Si le doute porte simplement sur une panne, nous vous le dirons aussi.
Questions fréquentes sur les sites WordPress piratés
Comment savoir si mon site WordPress a été piraté ?
Les signes les plus courants sont une redirection vers un site inconnu, l’apparition dans Google de pages que vous n’avez jamais créées sous votre nom de domaine, un avertissement rouge du navigateur, des comptes administrateurs que vous ne reconnaissez pas, ou vos e-mails professionnels qui partent en courrier indésirable. Attention : beaucoup de compromissions sont conditionnelles et ne se déclenchent que pour les visiteurs venant de Google ou sur mobile. Une chute brutale et inexpliquée du trafic est parfois le seul indice visible.
Mon site WordPress est piraté, que faire en premier ?
Notez l’heure et les symptômes, faites des captures d’écran, demandez à votre hébergeur de conserver les journaux de connexion, changez vos mots de passe depuis un autre appareil, puis arrêtez-vous là et appelez un professionnel. Ne supprimez aucun fichier, ne réinstallez pas WordPress par-dessus et ne restaurez pas de sauvegarde avant de savoir à quelle date l’intrusion a eu lieu : ces trois gestes détruisent les traces nécessaires au diagnostic et empêchent d’empêcher la récidive.
Mon site WordPress redirige vers un autre site, pourquoi ?
Une redirection signifie qu’un code a été injecté pour détourner vos visiteurs vers un site tiers qui monnétise ce trafic. Elle est souvent conditionnelle — inactive quand vous êtes connecté à votre administration — ce qui donne l’illusion qu’elle a disparu. Elle revient tant que la faille d’origine n’est pas refermée : un site qui recommence à rediriger après nettoyage n’a pas été repiraté, il n’a jamais été complètement nettoyé.
Combien de temps faut-il pour nettoyer un site WordPress piraté ?
Il faut distinguer deux délais. La remise en ligne d’un site vitrine, lorsque les journaux serveur sont disponibles, prend généralement moins d’une journée. La remise en état complète — désindexation des pages parasites, retrait de l’avertissement Google après demande de réexamen, sortie des listes noires de messagerie — s’étale sur plusieurs semaines. Deux facteurs allongent l’intervention : des journaux déjà effacés et un site sur lequel on a déjà tenté des manipulations.
Mon hébergeur peut-il nettoyer mon site à ma place ?
Non, sauf offre spécifique. Un hébergeur gère le serveur, pas le contenu de votre site : il peut suspendre un compte qui envoie du courrier indésirable, fournir des journaux de connexion et parfois restaurer une sauvegarde, mais l’identification de la faille, l’assainissement des fichiers et de la base de données puis la récupération de la réputation du domaine ne relèvent pas de sa prestation. C’est aussi pourquoi hébergement et maintenance sont deux choses distinctes.
Faut-il déclarer un piratage de site à la CNIL ?
Oui, dans de nombreux cas. Si votre site héberge des données personnelles — un simple formulaire de contact suffit — une intrusion constitue une violation de données au sens du RGPD. Lorsqu’elle présente un risque pour les personnes concernées, elle doit être notifiée à la CNIL dans un délai de 72 heures, et les personnes concernées doivent être informées directement si le risque est élevé. Conservez les captures d’écran et l’horodatage : ils documentent la déclaration.
Peut-on être piraté sans avoir commis d'erreur ?
Presque jamais. Les attaques ne sont pas ciblées : des robots parcourent le web à la recherche de sites utilisant une extension dont la faille vient d’être publiée. Selon le rapport Patchstack 2026, 91 % des vulnérabilités recensées se trouvent dans les extensions et non dans WordPress lui-même, et la moitié des failles à fort impact sont exploitées dans les vingt-quatre heures suivant leur publication. Un site vitrine d’artisan est une cible aussi valable qu’une boutique : c’est le trafic qui est revendu, pas vos données.
Pourquoi un site piraté l'est-il souvent une deuxième fois ?
Parce que les conditions qui ont permis la première intrusion n’ont pas changé. Trois éléments font la différence dans la durée : des mises à jour appliquées rapidement et testées avant déploiement, des sauvegardes externalisées et réellement vérifiées, et une surveillance qui détecte la compromission avant vos clients. C’est le contenu d’un contrat de maintenance ; le tenir soi-même suppose de suivre les publications de failles chaque semaine.
Article rédigé par l’équipe d’ARC EN SOFT, agence web à Valenciennes depuis 2006, organisme de formation certifié Qualiopi et Activateur France Num. Nous assurons la maintenance de plus de 100 sites WordPress et WooCommerce de TPE et PME des Hauts-de-France et de Wallonie. Chiffres de vulnérabilité cités : rapport Patchstack 2026.
