Cyberattaque sur un site WordPress Que faire dans les premières heures ?
Un site WordPress piraté exige des décisions rapides mais méthodiques : isoler, préserver les preuves, sécuriser les accès, identifier la porte d'entrée, restaurer proprement et surveiller la réinfection. Repères pratiques pour dirigeants de PME.
Ce contenu est fourni à titre informatif et ne remplace pas un conseil professionnel adapté à votre situation.
Vérifiez les sources officielles à jour avant toute décision.
Ce qu'il faut retenir de ce dossier
Une cyberattaque sur un site WordPress peut prendre plusieurs formes : redirections malveillantes, spam SEO, compte administrateur inconnu, fichiers PHP suspects, pages injectées, formulaire détourné, malware, backdoor ou blocage complet du site. La première erreur consiste à supprimer trop vite les traces ou à restaurer sans comprendre la cause.
Dans les premières heures, les priorités sont simples : limiter l'exposition, préserver les preuves, sécuriser les accès, identifier la porte d'entrée, puis seulement restaurer et surveiller. WordPress rappelle que la sécurité vise la réduction du risque, pas son élimination complète, et insiste sur les sauvegardes, la limitation des accès, les mises à jour, les journaux et la surveillance.
Pour une PME, l'enjeu n'est pas seulement technique. Il faut aussi décider qui intervient, qui communique, qui contacte l'hébergeur, qui vérifie les données personnelles, qui suit Google Search Console et qui documente l'incident pour éviter une réinfection.
Ne pas confondre urgence et précipitation
Lorsqu'un site WordPress semble piraté, la réaction naturelle est de vouloir tout remettre en ligne immédiatement. C'est compréhensible : le site peut être un outil commercial, un support de contact, une boutique ou un portail client. Mais une restauration trop rapide peut effacer des preuves, réintroduire la faille ou remettre en ligne une sauvegarde déjà compromise.
Le bon réflexe est de gérer l'incident comme une séquence : contenir, observer, sécuriser, diagnostiquer, restaurer, vérifier, surveiller. Cette méthode évite de traiter seulement le symptôme visible, par exemple une page injectée, alors que la vraie porte d'entrée peut être une extension vulnérable, un compte administrateur compromis, un accès FTP ancien ou un mot de passe réutilisé.
Limiter l'exposition sans détruire les traces
La première décision consiste à limiter les dégâts. Selon la situation, il peut être préférable de mettre le site en maintenance, de bloquer temporairement certains accès, de désactiver l'exécution PHP dans certains dossiers ou de demander à l'hébergeur d'isoler l'espace compromis. L'objectif est de protéger les visiteurs et les données, tout en conservant suffisamment d'éléments pour comprendre l'incident.
⛔Si le site sert du malware
Couper ou restreindre rapidement l'accès public. Un site qui infecte ou redirige les visiteurs doit être isolé avant toute action de confort.
🛒Si le site est e‑commerce
Bloquer temporairement les paiements et préserver les commandes. Vérifier les connecteurs de paiement, les comptes administrateurs et les emails transactionnels.
📩Si les formulaires sont détournés
Désactiver provisoirement les formulaires concernés, contrôler les notifications, les destinataires et les données stockées.
🔐Si un compte admin apparaît
Ne pas se contenter de le supprimer. Il faut comprendre comment il a été créé et vérifier les autres accès : FTP, hébergement, base de données, emails.
Préserver ce qui permettra de comprendre l'incident
Avant de nettoyer, il faut conserver les éléments utiles : journaux serveur, liste des fichiers modifiés récemment, comptes utilisateurs, extensions installées, date des dernières mises à jour, captures d'écran, messages d'alerte, emails suspects, logs SMTP, avertissements Google ou alertes de l'hébergeur.
Cette étape peut sembler secondaire dans l'urgence, mais elle évite de perdre la cause racine. Sans journaux et sans copie de l'état compromis, le nettoyage devient un pari : le site peut être remis en ligne, puis se faire réinfecter quelques heures ou quelques jours plus tard.
17Cyber est le guichet officiel d'assistance en ligne pour les victimes de cybermalveillance. Il permet de qualifier la menace, d'obtenir des premières mesures et, lorsque nécessaire, d'être orienté vers les bons interlocuteurs ou vers les forces de l'ordre.
Changer les mots de passe ne suffit pas
La sécurisation des accès doit être large. Un attaquant peut être entré par WordPress, mais aussi par FTP, l'hébergement, la messagerie, un poste utilisateur compromis, une extension vulnérable ou un ancien compte prestataire. WordPress recommande notamment de limiter les accès, d'utiliser des mots de passe forts, d'activer la double authentification et de supprimer les extensions non utilisées.
| Accès à contrôler | Risque | Action immédiate |
|---|---|---|
| Administrateurs WordPress | Contrôle total du site | Réinitialiser les mots de passe, supprimer les comptes inconnus, activer la double authentification. |
| FTP / SFTP / SSH | Modification directe des fichiers | Révoquer les accès anciens, créer des comptes nominatifs, vérifier les connexions récentes. |
| Hébergement / Plesk / cPanel | Accès fichiers, base, emails, sauvegardes | Changer le mot de passe, activer MFA si disponible, vérifier les comptes secondaires. |
| Base de données | Injection, création de comptes, modification de contenu | Changer l'utilisateur ou le mot de passe SQL si nécessaire, vérifier wp_users et wp_options. |
| Messagerie | Réinitialisation de mots de passe, détournement d'emails | Changer les accès, vérifier les règles de transfert et les connexions suspectes. |
Identifier la porte d'entrée avant de restaurer
Restaurer une sauvegarde sans comprendre la faille peut remettre en ligne un site vulnérable. Le diagnostic doit rechercher la porte d'entrée probable : extension obsolète, thème abandonné, compte administrateur compromis, fichier PHP déposé dans wp‑content/uploads, code malveillant injecté dans un fichier légitime, permissions trop ouvertes, mot de passe faible, poste utilisateur infecté ou accès hébergeur non maîtrisé.
- 1Comparer les fichiers avec une version saine
Rechercher les fichiers PHP récents, les modifications inattendues dans le thème, les extensions, le cœur WordPress, le dossier
wp‑content/uploadset les fichiers de configuration. Une porte dérobée peut être un nouveau fichier, mais aussi une ligne de code ajoutée dans un fichier légitime. - 2Contrôler la base de données
Vérifier les comptes administrateurs, les options WordPress, les scripts injectés dans le contenu, les redirections et les tâches planifiées.
- 3Auditer extensions et thèmes
Identifier les composants non maintenus, vulnérables, premium non mis à jour, doublonnés ou inutilisés.
- 4Relire les journaux
Repérer les requêtes suspectes, connexions administrateur, uploads inhabituels, erreurs PHP et accès depuis des IP inconnues.
Restaurer proprement, puis durcir
La restauration doit partir d'une sauvegarde antérieure à la compromission, mais cette sauvegarde doit être vérifiée. Il faut ensuite appliquer les mises à jour, supprimer les composants inutiles, corriger les permissions, désactiver l'édition de fichiers depuis le tableau de bord et renforcer les accès.
WordPress indique que les hébergeurs fiables doivent fournir des versions stables et récentes des logiciels serveur, ainsi que des méthodes fiables de sauvegarde et de récupération. Le durcissement WordPress recommande aussi de tenir le cœur, les thèmes et les extensions à jour, de supprimer les plugins inutilisés, de protéger wp‑config.php, de limiter les droits et de surveiller les journaux.
🧹Nettoyer
Supprimer fichiers malveillants, comptes inconnus, plugins inutilisés, thèmes abandonnés et redirections suspectes.
🛡️Durcir
MFA, mots de passe forts, droits limités, désactivation de l'édition de fichiers, permissions adaptées, WAF si nécessaire.
📈Surveiller
Contrôle des logs, scans de malware, surveillance Google Search Console, alertes hébergeur et vérification des formulaires.
Ne pas oublier Google, les navigateurs et les visiteurs
Une compromission WordPress peut déclencher des alertes navigateur, des messages de sécurité, une détection de spam SEO ou une baisse de confiance dans les résultats Google. Une fois le site nettoyé, il faut contrôler Google Search Console, vérifier les pages indexées, chercher les URLs inconnues, consulter les rapports de sécurité et demander un réexamen si une alerte a été émise.
La partie visible du problème n'est pas toujours la plus grave. Le spam SEO peut créer des centaines de pages cachées, des liens vers des sites frauduleux ou des redirections conditionnelles visibles uniquement pour certains visiteurs ou robots. C'est pourquoi le contrôle doit porter à la fois sur le site, la base, les journaux et l'index Google.
Vérifier rapidement les obligations RGPD
Une cyberattaque sur un site WordPress peut impliquer des données personnelles : comptes clients, formulaires de contact, commandes WooCommerce, journaux, adresses e‑mail ou messages transmis par les visiteurs. Le sujet doit donc être traité dès les premières heures, en parallèle du diagnostic technique.
La CNIL rappelle que toutes les violations ne doivent pas nécessairement être notifiées. En revanche, lorsqu'une violation de données personnelles entraîne un risque pour les droits et libertés des personnes concernées, le responsable du traitement doit documenter l'incident et notifier la CNIL au plus tôt, dans un délai maximal de 72 heures. Si le risque est élevé, les personnes concernées doivent aussi être informées dans les meilleurs délais.
Les décisions qui aggravent souvent l'incident
Checklist dirigeant : premières heures après compromission
| Action | Objectif |
|---|---|
| Mettre le site en sécurité | Protéger les visiteurs et limiter la diffusion du malware ou des redirections. |
| Créer une copie de l'état compromis | Conserver les preuves et permettre l'analyse de la porte d'entrée. |
| Contacter l'hébergeur | Obtenir logs, isolation temporaire, sauvegardes et assistance technique. |
| Réinitialiser les accès critiques | WordPress, FTP/SFTP, hébergement, base de données, messagerie, registrar. |
| Identifier la faille probable | Extension, thème, compte, fichier, permission, accès prestataire ou poste compromis. |
| Restaurer depuis une version saine | Remettre en ligne sans réintroduire la compromission. |
| Mettre à jour et durcir | Fermer la porte d'entrée et réduire la surface d'attaque. |
| Surveiller pendant plusieurs jours | Détecter une réinfection, des pages spam ou de nouvelles tentatives. |
Ce que les lecteurs demandent souvent
Faut‑il couper immédiatement le site ?
Si le site redirige les visiteurs, diffuse du malware, expose des données ou affiche du contenu frauduleux, oui, il faut limiter l'accès rapidement. Si le problème est moins critique, une mise en maintenance contrôlée peut suffire le temps du diagnostic.
Une restauration de sauvegarde suffit‑elle ?
Non, pas toujours. Une sauvegarde peut être déjà compromise ou restaurer un site qui contient encore la faille. Il faut identifier la porte d'entrée avant de considérer l'incident comme traité.
Doit‑on déposer plainte ?
Selon la nature de l'incident, notamment fraude, extorsion, vol de données ou préjudice important, il peut être nécessaire de signaler les faits et de déposer plainte. 17Cyber est le guichet officiel d'assistance en ligne qui peut qualifier la menace et orienter la victime vers les bons interlocuteurs.
Que faire si des données personnelles sont concernées ?
Il faut documenter l'incident, déterminer quelles données ont pu être exposées et évaluer le risque pour les personnes concernées. Si la violation présente un risque pour leurs droits et libertés, la CNIL doit être notifiée au plus tôt et dans un délai maximal de 72 heures après la prise de connaissance de la violation. En cas de risque élevé, les personnes concernées doivent aussi être informées dans les meilleurs délais. Ce dossier ne remplace pas un avis juridique ou DPO.
Comment éviter une réinfection ?
Supprimer les backdoors, corriger la faille, mettre à jour les composants, supprimer les extensions inutiles, changer les accès, durcir WordPress, vérifier l'hébergement et surveiller les logs après remise en ligne.
Conclusion
Une cyberattaque WordPress se traite rarement en un seul clic. Le vrai objectif n'est pas seulement de faire disparaître le symptôme visible, mais de comprendre comment l'attaquant est entré, ce qu'il a modifié et comment éviter qu'il revienne.
Pour une PME, les premières heures doivent suivre une méthode claire : contenir, préserver, sécuriser, diagnostiquer, restaurer, vérifier et surveiller. Cette discipline réduit le risque de réinfection et permet de reprendre l'activité avec davantage de maîtrise.
Un diagnostic court peut suffire à déterminer les priorités : urgence visiteur, données exposées, sauvegarde saine, faille probable, qualité de l'hébergement, sécurité des accès et surveillance post‑incident.
Sources
- developer.wordpress.org : WordPress.org, Hardening WordPress ; WordPress.org, Editing wp‑config.php
- 17Cyber, Mon assistance en ligne
- CNIL, Violations de données personnelles : les règles à suivre
- Google Search Central, Security issues
- ANSSI, 10 règles d'or en matière de sécurité numérique
- WordPress.org, Updating WordPress
Votre site WordPress présente un signe de compromission ?
Une intervention structurée permet de sécuriser l'urgence, préserver les traces, identifier la cause et remettre le site en ligne proprement.
