Comment récupérer un site WordPress piraté : étape par étape

Découvrir que votre site WordPress a été piraté est stressant, mais un plan clair rend la situation gérable. L'objectif est de contenir les dégâts, de supprimer le code malveillant, de colmater la brèche par laquelle l'attaquant est entré, puis de confirmer que le site est propre. Négliger la troisième étape est la raison la plus courante pour laquelle des sites sont piratés de nouveau en quelques jours.

Signes que votre site est peut-être compromis

• Les visiteurs sont redirigés vers des sites sans rapport ou suspects, surtout sur mobile ou depuis les résultats de recherche.
• Les résultats de recherche affichent, sous votre domaine, des pages de spam en japonais ou à caractère pharmaceutique.
• Votre navigateur ou Google avertit que le site est dangereux.
• De nouveaux comptes administrateurs que vous n'avez pas créés.
• Votre hébergeur suspend le compte ou signale du spam sortant.
• Des fichiers aux noms aléatoires, ou des fichiers récemment modifiés que vous n'avez pas touchés.

Certains de ces signes ont des explications anodines ; confirmez donc avant de supposer le pire, mais agissez vite si vous trouvez de vraies preuves.

Mesures immédiates : instantané et confinement

Avant de modifier quoi que ce soit, faites une copie complète des fichiers et de la base de données, même infectée. Elle conserve des preuves pour comprendre comment l'attaquant est entré, et vous offre une solution de repli si une étape de nettoyage tourne mal. Stockez-la hors ligne et ne la restaurez pas plus tard par erreur.

Contenez le problème

Si le site diffuse des logiciels malveillants ou du spam, mettez en place une simple page de maintenance ou restreignez l'accès pendant que vous travaillez. Contactez votre hébergeur ; il peut souvent voir ce qui se passe sur le serveur et vous aider à isoler le compte. Dans le même temps, changez les mots de passe importants : panneau de contrôle de l'hébergement, comptes FTP ou SFTP, utilisateur de base de données et comptes administrateurs WordPress. Faites-le depuis un ordinateur sain.

Restaurer ou nettoyer

Vous avez deux grandes options.

• Restaurer depuis une sauvegarde saine. Si vous disposez d'une sauvegarde antérieure à la compromission, c'est généralement le plus rapide. Restaurez, puis mettez immédiatement tout à jour et corrigez le point d'entrée, faute de quoi l'attaquant reviendra.
• Nettoyer manuellement. S'il n'existe aucune sauvegarde saine, vous devrez supprimer les fichiers et entrées de base de données malveillants à la main ou avec des outils d'analyse.

Soyez attentif à la durée dont il faut remonter dans le temps. Les attaquants restent parfois discrets pendant des semaines avant d'agir.

Checklist de nettoyage manuel

1. Remplacez les fichiers du cœur de WordPress par un téléchargement neuf de la même version ou d'une version plus récente. Ne touchez pas à wp-config.php ni à wp-content pour l'instant.
2. Supprimez chaque extension et chaque thème, puis réinstallez-les à neuf depuis des sources de confiance. Écartez ceux dont vous n'avez pas besoin.
3. Inspectez le dossier wp-content/uploads. Il doit contenir des médias, pas des fichiers PHP.
4. Vérifiez wp-config.php et .htaccess à la recherche de code que vous ne reconnaissez pas.
5. Passez en revue les utilisateurs et supprimez les administrateurs inconnus.
6. Recherchez dans la base de données des scripts injectés dans les articles, les options et les widgets.
7. Générez de nouvelles clés secrètes et de nouveaux sels dans wp-config.php, ce qui déconnecte tout le monde.
8. Vérifiez les tâches planifiées à la recherche d'entrées inconnues, car les attaquants s'en servent souvent pour réinfecter.

Trouvez le point d'entrée et vérifiez

Les points d'entrée courants sont une extension ou un thème obsolète, une extension piratée, un mot de passe faible ou réutilisé, ou un autre site compromis sur le même compte. Examinez vos journaux d'accès à la recherche de requêtes suspectes à l'époque de la première modification. Mettez tout à jour, supprimez ce qui est abandonné et activez l'authentification à deux facteurs. Si vous hébergez plusieurs sites dans un même compte, vérifiez-les tous, car un logiciel malveillant peut se propager latéralement.

Vérifiez et demandez un réexamen

Réanalysez le site avec un scanner de logiciels malveillants, parcourez-le depuis différents appareils et vérifiez que les redirections et les pages de spam ont disparu. Si Google ou un navigateur a signalé le site, utilisez Google Search Console pour demander un réexamen lorsque vous êtes certain qu'il est propre. Vérifiez aussi que votre domaine de messagerie n'a pas servi à envoyer du spam.

Durcissez pour que cela ne se reproduise pas

Parcourez une liste de durcissement : gardez les logiciels à jour, utilisez des rôles à moindre privilège, limitez les tentatives de connexion, désactivez la modification de fichiers dans le tableau de bord et conservez des sauvegardes testées hors serveur. Notre checklist de durcissement de la sécurité WordPress aborde chacun de ces points. Pensez aussi à un pare-feu d'application web, qui peut bloquer de nombreuses tentatives d'exploitation avant qu'elles n'atteignent WordPress.

Erreurs à éviter et quand demander de l'aide

• Ne vous contentez pas de supprimer le symptôme visible en espérant que ça suffise. Les portes dérobées sont généralement cachées ailleurs.
• Ne réinstallez pas par-dessus les fichiers infectés sans supprimer les anciens.
• Ne payez pas une personne qui vous contacte à l'improviste en proposant de réparer votre site.
• N'ignorez pas les autres sites du même compte d'hébergement.

Quand demander l'aide d'un professionnel

Si le site est essentiel pour votre activité, si vous traitez des données clients ou si le nettoyage échoue sans cesse, faites appel à un professionnel. Demandez-vous aussi si des données personnelles ont été exposées ; selon l'endroit où vous exercez, il peut exister des obligations de notification. Vérifiez les règles qui vous concernent, ou consultez un conseiller qualifié.

Après la récupération, gardez un œil sur le site pendant plusieurs semaines. Surveillez les nouveaux fichiers, les utilisateurs inattendus et le trafic étrange, et conservez vos journaux. Les réinfections apparaissent généralement en quelques jours si une porte dérobée a été oubliée : une surveillance précoce est donc payante.

Comment nous pouvons vous aider

Un hébergement avec Plesk, le CDN Cloudflare et le SSL gratuit vous offre un meilleur point de départ, et notre équipe peut répondre à vos questions sur la restauration et la sécurisation d'un site. Si vous avez besoin de repartir sur une base neuve et propre, notre service de migration WordPress peut déplacer gratuitement votre site nettoyé vers l'hébergement WordPress.