Guide pour débutants pour réparer votre site WordPress piraté

Votre site WordPress est piraté. Les visiteurs peuvent voir des avertissements, les pages peuvent rediriger vers du spam, et votre entreprise pourrait perdre du trafic et des ventes à chaque minute qui passe.

La bonne nouvelle est que vous pouvez le récupérer. La clé est de suivre le bon ordre : contenir la brèche, supprimer le malware, restaurer votre site et le sécuriser contre une autre attaque.

Nous avons aidé des centaines d'utilisateurs WordPress à récupérer des sites piratés, et nous avons également traité des problèmes de sécurité sur nos propres sites.

Aujourd'hui, les attaquants utilisent de plus en plus l'IA pour trouver et exploiter les vulnérabilités nouvellement corrigées des plugins WordPress, rendant une action rapide plus importante que jamais.

Dans ce guide, nous vous montrerons comment réparer votre site WordPress piraté étape par étape, même si vous n'avez jamais nettoyé un piratage auparavant.

Réponse rapide : Contenez d'abord les dégâts depuis l'extérieur de WordPress, puis engagez un service de nettoyage ou effacez le serveur et reconstruisez à partir de fichiers propres.

Voici la séquence complète, avec chaque étape expliquée ci-dessous :

Étape 1. Contenir les dégâts

Avant de nettoyer quoi que ce soit, empêchez le site de causer plus de tort à vos visiteurs et à votre réputation.

Mettez votre site derrière un écran « Bientôt disponible » depuis l'extérieur de WordPress. Le moyen le plus simple est le mode « Under Attack » gratuit de Cloudflare, qui interroge chaque visiteur avant qu'il n'atteigne votre site.

Vous pouvez également utiliser le mode maintenance du panneau de contrôle de votre hébergeur, ou rediriger temporairement votre DNS.

Ensuite, changez immédiatement votre mot de passe d'administration WordPress et le mot de passe de votre compte d'hébergement. Si vous ne pouvez pas vous connecter du tout, consultez notre guide sur ce qu'il faut faire lorsque vous êtes bloqué hors de l'administration WordPress.

Contactez ensuite votre fournisseur d'hébergement avant de supprimer des fichiers, de restaurer une sauvegarde ou d'apporter d'autres modifications majeures à votre site. Votre fournisseur d'hébergement pourra peut-être vous montrer comment l'attaquant est entré et scanner votre site à la recherche de logiciels malveillants.

Posez-leur deux questions : « Comment pensez-vous que l'attaquant a accédé au site ? » et « Avez-vous une sauvegarde récente et propre ? » La première peut vous aider à identifier la vulnérabilité à corriger, tandis que la seconde vous indique si vous avez un point de restauration sûr si le site doit être restauré.

Enfin, documentez tout. Prenez des captures d'écran des symptômes et notez la date, l'heure et exactement ce que vous voyez.

Vous aurez besoin de cet enregistrement pour votre hébergeur, pour un expert en sécurité si vous en engagez un, et pour confirmer que le même symptôme a disparu après le nettoyage.

Étape 2. Décider : Nettoyer un site piraté soi-même ou engager un expert en sécurité ?

Il n'y a pas de mauvaise réponse ici.

Engager un professionnel est le meilleur choix si vous n'êtes pas à l'aise pour travailler dans les fichiers et les bases de données, ou si vous voulez que ce soit fait correctement du premier coup. Les pirates informatiques cachent des portes dérobées, des points d'entrée secrets qui leur permettent de revenir plus tard, dans des endroits auxquels les débutants pensent rarement.

Une porte dérobée manquée signifie que le piratage revient.

Pour un nettoyage professionnel, Wordfence et MalCare proposent tous deux des services de nettoyage solides. Une autre option que nous recommandons est We Watch Your Website, qui fournit un nettoyage de sécurité WordPress approfondi.

Vous pouvez en apprendre davantage dans notre guide sur comment embaucher un expert en sécurité WordPress.

Si vous décidez de le nettoyer vous-même, suivez le reste de ce guide.

Étape 3. Trouver où le malware se cache

Commencez par un scan gratuit à distance des logiciels malveillants pour identifier rapidement les fichiers ou le code qui pourraient nécessiter une inspection plus approfondie. Nous recommandons le plugin gratuit Wordfence pour cela, mais considérez le scanner comme un assistant, pas comme un verdict.

Vérifiez ensuite ces endroits courants où les logiciels malveillants WordPress peuvent se cacher :

• Faux fichiers qui imitent le cœur de WordPress. Un fichier wp-quelquechose.php errant dans un dossier où il n'a pas sa place, ou une deuxième copie de wp-load.php.
• Fichiers PHP dans /wp-content/uploads/. Le dossier uploads est normalement utilisé pour les images, les documents et autres médias, donc les fichiers PHP dans ce répertoire méritent une attention immédiate.
• Plugins obligatoires inconnus dans /wp-content/mu-plugins/. Ces plugins se chargent automatiquement avec WordPress et n'apparaissent pas sur la page Plugins normale, ce qui en fait un endroit attrayant pour que les attaquants cachent du code malveillant.
• Fichiers récemment modifiés. Ouvrez le gestionnaire de fichiers de votre hébergeur et triez par date de dernière modification. Portez une attention particulière aux fichiers qui ont été modifiés autour du moment où le problème a commencé, surtout si vous n'avez pas effectué ces modifications vous-même.
• Code malveillant dans la base de données. Les lignes injectées peuvent provoquer des redirections, des pages de spam et des infections répétées même après le nettoyage des fichiers.
• Un fichier .htaccess falsifié. Recherchez les règles de redirection que vous n'avez pas ajoutées.
• Utilisateurs administrateur ou FTP inconnus. Supprimez tout compte que vous ne reconnaissez pas. Un compte inconnu pourrait donner à un attaquant un autre moyen d'accéder à votre site après le nettoyage des fichiers.
• Plugins utilitaires que vous n'avez pas installés. Des plugins comme WPCode, Code Snippets ou File Manager sont sûrs en eux-mêmes, mais les pirates les installent parfois pour injecter du code. Si un plugin est apparu sans que vous l'ayez installé, c'est un signal d'alarme.
• Tâches planifiées suspectes. Les pirates utilisent les tâches cron de WordPress pour réinfecter un site à intervalles réguliers.
• Votre compte CDN. De nombreux sites stockent leurs clés API CDN dans WordPress. Un pirate peut utiliser ces clés pour modifier des fichiers au niveau du CDN et ajouter des skimmers de cartes ou d'autres codes malveillants, alors vérifiez votre tableau de bord CDN pour les modifications que vous n'avez pas effectuées.

Pour un examen plus approfondi de l'endroit le plus courant où se cache une porte dérobée, consultez notre guide sur comment trouver une porte dérobée dans WordPress et la corriger.

Étape 4. Sauvegarder d'abord le site piraté

Avant de commencer à supprimer des fichiers ou à apporter d'autres modifications, créez une sauvegarde complète du site piraté, y compris ses fichiers et sa base de données.

Cela peut sembler contre-intuitif, mais cette sauvegarde vous donne un instantané du site avant le début du nettoyage. Si quelque chose tourne mal pendant le processus, vous pouvez vous y référer pour identifier ce qui a changé. Elle peut également fournir des preuves utiles à votre hébergeur, à un expert en sécurité ou à votre compagnie d'assurance si vous devez documenter l'incident.

Étiquetez clairement cette sauvegarde comme la copie infectée et conservez-la séparément de toute sauvegarde propre que vous prévoyez de restaurer. Vous ne devriez pas l'utiliser pour remettre le site en ligne.

Cette étape supplémentaire vous offre un filet de sécurité avant de commencer à supprimer les logiciels malveillants.

Étape 5. Nettoyer le malware : tout effacer et reconstruire proprement

Le seul nettoyage fiable est un effacement complet. Supprimez tout du serveur, c'est-à-dire tous les fichiers WordPress et tout le reste dans le compte d'hébergement, puis reconstruisez à partir de sources connues et propres.

Une réinstallation de WordPress seule ne suffit pas. La plupart des gens installent WordPress dans le dossier principal de leur compte d'hébergement, mais les portes dérobées vivent souvent entièrement en dehors, ailleurs dans le compte, dans la racine web, ou dans une tâche cron.

Si vous réinstallez WordPress et laissez le reste du serveur intact, cette porte dérobée réinfectera votre nouvelle installation.

Reconstruisez de manière propre :

• Téléchargez les nouveaux fichiers principaux de WordPress depuis WordPress.org.
• Téléchargez de nouvelles copies de vos plugins et de votre thème à partir de leurs sources officielles. Ne réutilisez jamais les anciens fichiers.
• Créez un nouveau fichier wp-config.php à partir de zéro.

Ce n'est qu'après l'effacement complet que vous devriez restaurer à partir d'une sauvegarde, et seulement une que vous êtes certain qu'elle date d'avant le piratage. Même dans ce cas, ne restaurez que votre contenu et votre base de données, pas les anciens fichiers exécutables.

Consultez notre tutoriel sur comment restaurer WordPress à partir d'une sauvegarde pour plus de détails.

Ramenez votre contenu avec soin. Réajoutez les téléchargements et les médias uniquement après les avoir vérifiés pour les fichiers PHP errants, et nettoyez manuellement les lignes injectées si vous restaurez la base de données.

La fonction de nettoyage automatique d'un plugin de sécurité peut aider, et elle élimine bien les infections connues au niveau de WordPress. Mais elle peut ne pas détecter une porte dérobée au niveau du serveur qui se trouve en dehors de WordPress, c'est pourquoi la réinitialisation et la reconstruction sont la valeur par défaut la plus sûre.

Ne lancez pas un scanner et considérez que c'est terminé.

Étape 6. Réinitialiser tous les mots de passe, clés et jetons API

Oui, vous avez changé vos mots de passe à l'étape 1. Maintenant que le site est propre, faites-le à nouveau, et élargissez le cercle, car le pirate a peut-être surveillé tout ce que vous avez tapé pendant que le site était encore infecté.

Réinitialisez tous les mots de passe : comptes d'administration WordPress, hébergement, FTP ou SFTP, la base de données et tout compte de messagerie connecté au site. Utilisez un gestionnaire de mots de passe pour que chacun d'eux soit fort et unique.

Notre guide sur la meilleure façon de gérer les mots de passe peut vous aider. Si votre site a de nombreux utilisateurs, vous pouvez forcer une réinitialisation de mot de passe pour tous.

Ensuite, régénérez vos clés secrètes WordPress. Ces clés, également appelées sels, se trouvent dans wp-config.php et sécurisent les cookies de connexion.

Les réinitialiser déconnecte toute personne détenant encore un cookie détourné, même après le changement des mots de passe. Générez un nouvel ensemble de clés et collez-les dans votre wp-config.php, et notre article sur les clés de sécurité WordPress explique où elles se trouvent.

Enfin, faites pivoter toutes les clés API et jetons que le site utilise. Cela garantit que toutes les informations d'identification auxquelles l'attaquant a pu accéder ne peuvent plus être utilisées pour se connecter à vos services.

Étape 7. Supprimer les avertissements « Ce site pourrait être piraté »

Votre site est propre, mais Google peut toujours en dissuader les gens. Cet avertissement ne disparaît pas rapidement de lui-même, vous devez donc demander un examen.

Ouvrez Google Search Console et accédez au rapport Problèmes de sécurité. Une fois que vous avez corrigé tous les problèmes signalés, sélectionnez les problèmes et cliquez sur le bouton Demander un examen.

Décrivez ce qui n'allait pas et ce que vous avez fait pour le corriger. Les examens prennent généralement quelques jours, et parfois plus longtemps.

Pendant que vous attendez, vérifiez votre site sur Google Safe Browsing pour voir son état actuel, et gardez le site en ligne et propre. Des demandes d'examen répétées avec un site infecté ralentissent le processus.

Étape 8. Renforcer WordPress pour que cela ne se reproduise plus jamais

Maintenant, prenez quelques mesures supplémentaires pour empêcher le pirate de réintégrer votre site. Faites-les dans l'ordre, en commençant par les mesures qui bloquent certaines des méthodes les plus courantes par lesquelles les attaquants regagnent l'accès.

1. Désactivez l'éditeur de fichiers intégré. Ajoutez cette ligne à votre wp-config.php :

define('DISALLOW_FILE_EDIT', true);

Cela empêche toute personne ayant accès au tableau de bord WordPress de modifier directement les fichiers de thèmes et de plugins. Cela ajoute une couche de protection importante si un compte administrateur est compromis.

Vous pouvez également suivre notre guide sur la façon de désactiver les éditeurs de thèmes et de plugins dans WordPress.

2. Arrêtez l'exécution de PHP dans votre dossier de téléchargements. Même si un pirate y glisse un fichier .php malveillant dans /wp-content/uploads/, cette règle oblige le serveur à refuser de l'exécuter.

Sur Apache, ajoutez ceci à un nouveau fichier .htaccess à l'intérieur du dossier de téléchargements :

<Files *.php>
deny from all
</Files>

Sur Nginx, demandez à votre hébergeur d'ajouter la règle de localisation correspondante. Notre tutoriel sur la façon de désactiver l'exécution de PHP dans certains répertoires WordPress vous guide à travers cela.

3. Supprimez complètement les installations de plugins du tableau de bord. C'est le contrôle avancé que nous utilisons sur nos propres sites.

Si vos modifications passent par un pipeline de déploiement comme Git, vous n'avez pas du tout besoin d'installer de plugins depuis wp-admin. Verrouillez-le en ajoutant define('DISALLOW_FILE_MODS', true); à wp-config.php et poussez toutes les modifications de code via le pipeline.

Terminez ensuite la liste :

• Configurez des sauvegardes automatisées hors site avec un plugin comme Duplicator. Si vous aviez une sauvegarde propre à l'étape 5, la reconstruction a pris quelques minutes au lieu de quelques jours, alors mettez cela en place dès aujourd'hui. Voici comment sauvegarder votre site WordPress.
• Installez un pare-feu ou un plugin de sécurité avec une analyse continue des logiciels malveillants.
• Activez des mots de passe forts et l'authentification à deux facteurs pour chaque compte.
• Limitez les tentatives de connexion et protégez votre zone wp-admin.
• Définissez les bonnes permissions de fichiers et de dossiers.
• Mettez à jour le cœur de WordPress, les plugins et les thèmes dans le bon ordre de mise à jour, et supprimez tout ce que vous n'utilisez pas.
• N'exécutez que des plugins et des thèmes provenant de sources fiables. N'utilisez jamais de versions annulées ou piratées, car elles contiennent souvent des logiciels malveillants cachés à l'intérieur.

Foire aux questions

Comment savoir si mon site WordPress a été piraté ?

Les signes courants sont un avertissement du navigateur ou de Google sur votre site, votre site redirigeant les visiteurs vers des sites Web étranges, des liens ou des pages de spam que vous n'avez pas créés, des utilisateurs administrateurs que vous ne reconnaissez pas, une baisse soudaine du trafic, ou votre hébergeur suspendant le compte.

Comment puis-je nettoyer mon site WordPress ?

Sauvegardez d'abord le site infecté, puis supprimez tout dans le compte d'hébergement, pas seulement le dossier WordPress. Reconstruisez avec des fichiers WordPress core, plugin et thème frais provenant de sources officielles, plus un nouveau wp-config.php, et restaurez uniquement le contenu d'une sauvegarde antérieure au piratage.

Wordfence supprime-t-il les malwares ?

Le plugin gratuit Wordfence analyse les malwares et peut réparer les fichiers core modifiés, et le service payant inclut un nettoyage pratique. Comme tout scanner, il fonctionne au niveau de WordPress, donc une porte dérobée ailleurs sur le serveur peut lui survivre, et c'est pourquoi nous recommandons toujours un nettoyage complet pour les infections graves.

Nous espérons que ce guide vous a aidé à réparer votre site WordPress piraté et à le sécuriser définitivement. Pour continuer sur cette lancée, consultez notre guide complet de sécurité WordPress, ou si le nettoyage vous semble trop important, voici nos conseils sur l'embauche d'un expert en sécurité WordPress.