Site WordPress piraté : que faire dans les premières heures ?

Une redirection inconnue, une page modifiée, un compte administrateur inattendu ou une alerte de l’hébergeur peuvent signaler une compromission WordPress. La priorité n’est pas de supprimer immédiatement tout ce qui paraît suspect. Il faut limiter l’impact, conserver les éléments utiles au diagnostic et organiser les décisions. Une action précipitée peut effacer des journaux, modifier les dates de fichiers ou rendre impossible la compréhension de la porte d’entrée.

Pour relier ce guide à une mise en œuvre concrète, consultez l’intervention sur un site WordPress piraté : cette page précise les prérequis du diagnostic, du confinement et de la remise en service.

Confirmer l’autorisation et définir le périmètre

Avant toute intervention, identifiez le propriétaire du site et obtenez son autorisation explicite. Précisez les domaines, sous-domaines, comptes d’hébergement et environnements concernés. Un même espace peut contenir plusieurs sites partageant des fichiers, une base, un utilisateur système ou des secrets. Intervenir hors de ce périmètre serait à la fois risqué et illégitime.

Notez qui décide d’une coupure, qui peut contacter l’hébergeur et qui doit être informé. Conservez une chronologie simple : heure de découverte, symptômes, alertes reçues, dernières modifications légitimes et actions déjà réalisées. Cette trace facilite le diagnostic et évite que plusieurs personnes appliquent des changements contradictoires.

Contenir sans détruire les indices

Si le site diffuse du contenu dangereux, collecte des données à l’insu des visiteurs ou redirige le trafic, réduisez son exposition. Selon le contexte, cela peut passer par une page de maintenance au niveau du serveur, une restriction d’accès ou une suspension coordonnée avec l’hébergeur. Évitez d’installer dans l’urgence une nouvelle extension de sécurité sur le site compromis : son installation modifie l’état à analyser et son exécution peut supprimer des fichiers sans conserver de contexte.

Ne travaillez pas directement depuis un poste dont la sécurité est douteuse. Utilisez un poste maîtrisé, vérifiez les destinataires avant de transmettre des accès et ne partagez pas les mots de passe dans une conversation collective. Si des identifiants doivent être révoqués, documentez l’ordre et gardez un accès de reprise contrôlé.

Préserver fichiers, base et journaux

Créez une copie de l’état disponible avant les modifications : fichiers WordPress, répertoire des médias, fichiers de configuration et export de la base. Conservez-la dans un emplacement isolé, avec une date claire et des droits limités. Si possible, calculez des empreintes de contrôle afin de détecter une modification ultérieure. Une copie infectée n’est pas destinée à être remise en production ; elle sert à comprendre et, parfois, à récupérer un contenu légitime.

Demandez à l’hébergeur les journaux HTTP, PHP, SFTP ou SSH, d’authentification et du panneau d’administration encore disponibles. Leur durée de conservation peut être courte. Exportez également les événements des protections externes, du CDN et des services d’envoi d’e-mails. La disponibilité de ces éléments influence directement le niveau de confiance du diagnostic.

Révoquer les accès avec méthode

Changez les secrets depuis un environnement fiable : comptes d’hébergement, SFTP ou SSH, base de données, administrateurs WordPress, clés d’API et comptes de services. Commencez par les accès capables de recréer les autres. Supprimez ou suspendez les comptes inconnus, mais consignez leur identifiant et leurs droits avant l’action. Renouvelez les clés de sécurité WordPress afin d’invalider les sessions actives.

Un changement de mot de passe ne suffit pas si un fichier persistant, une tâche planifiée ou un autre site compromis peut recréer un accès. Vérifiez donc les tâches cron, les utilisateurs système, les clés SSH, les administrateurs WordPress et les intégrations externes dans le périmètre autorisé.

Choisir une stratégie de remise en service

Le diagnostic doit comparer plusieurs options : nettoyer l’installation, restaurer une sauvegarde réputée saine ou reconstruire sur une base propre. La date probable de compromission, la qualité des sauvegardes, les modifications métier récentes et la visibilité sur les journaux orientent ce choix. Aucun prestataire sérieux ne peut promettre un nettoyage garanti sans connaître l’étendue de l’incident.

Avant la réouverture, testez sur un environnement isolé les comptes, formulaires, commandes, paiements, e-mails, tâches planifiées et accès aux fichiers. Mettez à jour les composants, retirez ceux qui sont inutilisés et corrigez la cause probable. Une surveillance renforcée après remise en ligne reste nécessaire.

Erreurs fréquentes à éviter

• Supprimer en masse les fichiers signalés avant d’avoir conservé une copie.
• Restaurer une sauvegarde sans vérifier sa date, son intégrité et la porte d’entrée.
• Limiter l’analyse au seul site visible alors que l’hébergement en contient plusieurs.
• Annoncer publiquement des détails techniques qui faciliteraient une nouvelle intrusion.
• Considérer l’absence de symptôme comme une preuve d’assainissement complet.

Checklist des premières heures

• Obtenir l’autorisation du propriétaire et fixer le périmètre.
• Documenter les symptômes, horaires et actions déjà effectuées.
• Contenir l’exposition sans effacer les preuves disponibles.
• Copier fichiers, base et journaux dans un espace isolé.
• Coordonner la révocation des accès et préserver un accès de reprise.
• Contrôler les autres sites, comptes et tâches du même environnement.
• Décider entre nettoyage, restauration et reconstruction après diagnostic.
• Prévoir tests, retour arrière et surveillance avant la remise en service.

Faire analyser l’incident

Une réponse utile distingue ce qui est observé, ce qui est probable et ce qui reste impossible à confirmer. Pour cadrer un diagnostic, préserver l’existant et préparer un plan de remise en service, consultez la prestation intervention sur site WordPress piraté.