Découvrir que son site WordPress est piraté provoque toujours le même mélange de panique et d’incompréhension. On voit des redirections douteuses, un message d’alerte Google, un hébergeur qui désactive le site, ou simplement une chute brutale de trafic. Dans la plupart des cas que j’ai accompagnés, les propriétaires de sites n’avaient ni sauvegarde récente ni procédure claire. Pourtant, il existe des outils gratuits qui permettent de comprendre rapidement ce qui se passe et où regarder.
Le but n’est pas de remplacer un nettoyage professionnel complet, surtout si le site génère du chiffre d’affaires ou contient des données sensibles, mais de reprendre la main, calmer la situation et poser un diagnostic fiable. Plus le diagnostic est précis, plus le nettoyage sera efficace, que vous le fassiez vous-même ou confiiez le travail à quelqu’un d’expérimenté.
Savoir reconnaître un piratage WordPress
Avant de courir sur tous les scanners en ligne, il faut s’assurer qu’il s’agit bien d’un piratage et pas simplement d’un bug, d’un plugin cassé ou d’une mise à jour ratée. Les signaux classiques reviennent souvent.
Un premier ensemble d’indices visibles côté visiteur. Des redirections vers des sites de jeux d’argent, des pages de pharmacie douteuse ou du contenu pour adultes. Cela peut n’apparaître que pour certains navigateurs, certains pays ou seulement sur mobile. Les pirates aiment conditionner leurs attaques pour rester sous le radar du propriétaire du site.
Un second type d’indices concerne l’administration. Impossible de se connecter, mot de passe rejeté alors qu’il est correct, nouvel utilisateur administrateur inconnu, ou encore configuration de votre compte modifiée. Quand le tableau de bord finit par s’afficher mais que des plugins inconnus ou des thèmes désactivés apparaissent, il faut immédiatement suspecter une compromission.
Enfin, des signaux externes trahissent souvent une urgence WordPress piraté. Google affiche un avertissement du type « ce site peut être piraté », l’hébergeur vous envoie un mail mentionnant des fichiers suspects ou un envoi massif de spam, ou encore un outil d’emailing signale que votre domaine figure sur une liste noire. Tous ces éléments appellent la même réponse : ne rien toucher dans la précipitation et commencer par un diagnostic structuré.
Avant tout : sécuriser le périmètre
J’ai vu des sites aggravés par de « bonnes intentions » mal exécutées : suppression au hasard de fichiers, réinstallation partielle de WordPress, nettoyage direct sur le serveur sans copie préalable. La priorité, même dans l’urgence, reste d’éviter de perdre des données et de ne pas effacer les preuves utiles au diagnostic.
Premier réflexe, changer les mots de passe critiques : accès admin WordPress pour les comptes encore accessibles, compte FTP ou SFTP, accès à l’espace client chez l’hébergeur, base de données si possible. Il faut aussi vérifier que l’adresse email associée à votre utilisateur administrateur n’a pas été modifiée, sinon toute procédure de récupération de mot de passe devient caduque.
Deuxième réflexe, réaliser une copie des fichiers et de la base de données, même si elle contient des fichiers malveillants. L’objectif n’est pas de repartir de cette sauvegarde, mais de disposer d’un instantané complet de l’état du site au moment du piratage. Cette copie permet de comparer, de chercher les différences plus tard, et de revenir en arrière si une manipulation tourne mal.
Troisième réflexe, réduire la surface d’attaque. Si le site diffuse du contenu malveillant dangereux (téléchargements infectés, phishing), certains hébergeurs acceptent de bloquer l’accès public au site tout en laissant ouvert l’accès FTP ou SFTP. On évite ainsi d’exposer davantage les visiteurs le temps de l’investigation, tout en gardant la main pour travailler.
Une fois le périmètre stabilisé, les outils gratuits de diagnostic deviennent beaucoup plus efficaces. Ils permettront d’identifier la nature du piratage, la profondeur de l’infection, et surtout les portes d’entrée probables.
Outils en ligne pour un premier scan externe
Les scanners externes ont un avantage majeur : ils se comportent comme des visiteurs. Ils voient ce que voit un internaute ou un robot de moteur de recherche, y compris certaines redirections conditionnelles que vous ne voyez pas depuis votre propre navigateur.
Le plus connu reste Sucuri SiteCheck. Il suffit de saisir l’URL du site pour obtenir une analyse des scripts suspects, des iframes cachées, des redirections et de la réputation du domaine (listes noires, alertes de sécurité). Le rapport indique souvent le type de malware détecté, par exemple injection de spam SEO ou scripts de redirection masqués. En revanche, il ne voit que ce qui est servi publiquement, donc pas les fichiers arrière-plan qui n’affichent rien aux visiteurs.
D’autres scanners comme Quttera ou VirusTotal URL Scan apportent des angles différents. Quttera se concentre beaucoup sur les scripts et les iframes malicieuses, tandis que VirusTotal recoupe plusieurs moteurs antivirus. Il arrive qu’un service ne trouve rien et qu’un autre signale un problème, d’où l’intérêt de croiser les résultats.
Il faut garder en tête les limites de ces outils. Un site peut être massivement compromis sans qu’aucun scanner externe ne signale quoi que ce soit. Par exemple, des comptes administrateurs ajoutés dans la base de données, des portes dérobées dans des fichiers PHP accessibles seulement sous certaines conditions, ou des scripts utilisés pour l’envoi de spam depuis le serveur. C’est pour cela que je les utilise toujours comme un premier indicateur, jamais comme seule référence.
Plugins gratuits pour scanner votre WordPress de l’intérieur
Quand l’accès à l’administration WordPress reste possible, les plugins de sécurité gratuits deviennent très utiles. Ils regardent la structure du site, le cœur de WordPress, les thèmes, les plugins, et parfois la base de données. Leur rôle principal : signaler ce qui diffère de la version officielle ou ce qui ressemble à du code malveillant.
Parmi les plus utilisés, Wordfence Security propose une version gratuite largement suffisante pour un diagnostic. Le scan vérifie l’intégrité des fichiers du noyau WordPress, des extensions du répertoire officiel, et cherche des signatures de malware connues. Dans un cas typique d’injection dans un fichier functions.php de thème, Wordfence mettra en évidence les lignes de code ajoutées et proposera souvent une restauration du fichier original pour les fichiers standards.
Un autre outil intéressant est le plugin gratuit de Sucuri Security. Il se concentre davantage sur l’intégrité des fichiers et la surveillance des modifications. Sur un site piraté depuis longtemps, j’ai déjà vu cet outil révéler un ancien fichier de porte dérobée resté oublié dans un coin du thème, difficile à repérer manuellement tant son nom ressemblait à un fichier légitime.
Il existe aussi des solutions comme iThemes Security (version gratuite) qui ne sont pas des scanners complets de malware, mais qui fournissent des journaux d’activité, bloquent des adresses IP suspectes et renforcent quelques réglages de base. Dans une situation d’urgence, ces fonctions sont secondaires par rapport au scan lui-même, mais elles aident à comprendre ce qui se passe en arrière-plan.
Là encore, l’erreur fréquente consiste à cliquer sur tous les boutons de réparation ou de suppression suggérés sans lecture. Chaque suppression de fichier ou modification automatique devrait être précédée d’une sauvegarde et d’une rapide analyse. Un plugin peut considérer comme « modifié » un fichier réellement personnalisé, et l’écraser à tort. En diagnostic, mieux vaut noter les anomalies et les fichiers suspects, puis décider, pas l’inverse.
Voici un premier ensemble de plugins utiles dans ce contexte, à installer un par un pour éviter les conflits et laisser le temps à chaque outil de faire son travail :
- Wordfence Security (version gratuite) pour le scan de malware et la vérification d’intégrité Sucuri Security pour l’analyse de l’état du site et la surveillance de fichiers iThemes Security (version gratuite) pour les journaux d’activité et quelques renforcements simples All In One WP Security & Firewall pour un durcissement basique après diagnostic WP Health Check (ou équivalent) pour vérifier la santé globale et repérer certains dysfonctionnements
Les outils de l’hébergeur, souvent sous-estimés
Beaucoup de diagnostics réussis commencent par un détour par l’espace client chez l’hébergeur. Certains proposent leur propre scanner de malware gratuit, parfois basique, parfois très efficace. Il se contente parfois de lister des fichiers suspects, ce qui suffit déjà pour cibler une investigation.
Les journaux de serveur, notamment les logs d’accès et d’erreur, peuvent révéler des indices précieux. Sur un site compromis, on y trouve souvent des appels répétés à un même fichier étrange, situé par exemple dans wp-content/uploads/2023/07/ avec un nom comme class-wp-check.php. Les pirates aiment cacher leurs scripts dans les répertoires d’images ou de médias, précisément parce qu’on n’y attend pas des fichiers exécutables.
L’interface de gestion des bases de données, souvent phpMyAdmin, fournit une autre source d’information. En regardant la table wp_users, on repère rapidement les comptes ajoutés. Il faut aussi surveiller la table des options (wp_options par défaut, avec un préfixe parfois différent) pour détecter des URL de redirection cachées ou des options injectées par un plugin malveillant.
Sur certains hébergements mutualisés, l’hébergeur désactive brutalement le site et dépose un fichier texte expliquant la raison, avec une liste de fichiers liés à l’attaque. Tant que cette note est lisible, il est inutile de foncer vers des outils externes sans en tenir compte. Ces indications internes reflètent généralement ce qui a déclenché l’alerte côté infrastructure, souvent plus précis qu’un simple scanner public.
Examiner les fichiers à la main, sans se perdre
Même avec d’excellents outils, il reste des cas où seul un examen manuel permet d’aboutir. L’idée n’est pas de lire des milliers de lignes de PHP, mais de cibler quelques emplacements stratégiques à l’aide d’outils gratuits.
Une méthode simple consiste à télécharger l’intégralité des fichiers en local via SFTP et à utiliser un éditeur de code comme VS Code ou Sublime Text pour rechercher certains motifs fréquents : fonctions de décodage (base64_decode, gzinflate, eval), longues chaînes de caractères incompréhensibles, variables obfusquées. Ces éléments ne signifient pas automatiquement « malware », mais lorsqu’ils apparaissent dans des fichiers où ils n’ont rien à faire, comme le index.php de la racine ou le functions.php d’un thème enfant, il faut les considérer comme suspects.
Comparer les dossiers avec une installation saine de WordPress de même version constitue une autre approche. On télécharge une version GardeWP réparation site WordPress piraté propre depuis le site officiel, puis on utilise un outil de comparaison de dossiers gratuit (par exemple Meld sous Linux ou WinMerge sous Windows). Les différences dans wp-admin et wp-includes sont particulièrement parlantes, car ces répertoires ne devraient pas contenir d’ajouts exotiques. Tout fichier supplémentaire ou modifié dans ces dossiers attire l’attention.
Les dossiers de contenu utilisateur, comme wp-content/uploads, abritent souvent des scripts malveillants. Un signe qui ne trompe pas : des fichiers .php ou .phtml dans des sous-dossiers censés ne contenir que des images ou des PDF. Une première réaction consiste à isoler ces fichiers suspects dans un dossier temporaire (hors webroot) pour voir si le site continue de fonctionner sans eux, sans les supprimer immédiatement.
Il faut également se méfier des thèmes et plugins coûteux téléchargés « gratuitement » sur des sites douteux. Dans plusieurs interventions, la porte d’entrée venait d’un thème premium nulled, truffé de portes dérobées discrètes mais persistantes. Dans ce cas, aucun scanner ne nettoiera vraiment tant que le thème ou plugin piraté restera présent.
Identifier le type de piratage avant d’agir
Tous les piratages ne se ressemblent pas. Les outils gratuits aident à repérer différentes familles d’attaques, et la stratégie dépend fortement de ce diagnostic.
Les injections de spam SEO représentent une grande part des incidents. Le site semble normal pour vous, mais Google indexe des centaines de pages de faux produits, de casinos ou de contenus adultes. Les scanners externes comme Sucuri SiteCheck les voient souvent, et un examen des sitemaps ou des résultats de recherche « site:votredomaine.com » les met aussi en lumière. Ce type d’attaque se niche fréquemment dans la base de données et les fichiers de thème.
Les redirections conditionnelles ciblent parfois uniquement les visiteurs mobiles ou ceux venant des moteurs de recherche. Certains plugins de sécurité gratuits détectent les scripts de redirection, mais il arrive qu’ils passent inaperçus si le code est bien caché. Tester le site avec un autre navigateur, un VPN ou le mode de simulation mobile du navigateur peut aider à reproduire le comportement suspect.
D’autres piratages se traduisent par un usage abusif du serveur, envoi massif de spam, participation à des attaques distantes, minage de cryptomonnaie. Dans ces cas, on observe souvent une utilisation CPU anormale, des mails de l’hébergeur signalant des scripts envahissants, ou des délais de chargement extrêmes. Les logs du serveur et des outils comme Wordfence, avec leurs journaux de requêtes, aident à comprendre ce qui tourne réellement.
Enfin, certains cas restent plus discrets, avec des portes dérobées laissées pour un retour ultérieur. Les fichiers concernés sont souvent très petits, 1 ou 2 kilo-octets, avec du code compact et obscurci. Ils se cachent dans des noms trompeurs, proches de fichiers système légitimes. Les comparaisons avec une version propre de WordPress et une recherche systématique de motifs suspects restent les meilleurs alliés dans ce scénario.
Combiner les outils gratuits en une stratégie cohérente
Pris isolément, chaque outil a ses défauts. Utilisés ensemble, ils se complètent, à condition de garder la tête froide et de structurer le travail. La chronologie réelle sur un site client typique ressemble souvent à cela.
D’abord un scan externe rapide, Sucuri SiteCheck ou équivalent, pour vérifier ce que voit un visiteur lambda et obtenir un premier état des lieux public. Ensuite, si l’accès admin est disponible, installation d’un seul plugin de sécurité, généralement Wordfence, pour un scan interne complet. Puis passage par l’espace client de l’hébergeur, inspection des éventuels rapports automatiques, des journaux et de la base de données. Enfin, si le doute persiste ou si des symptômes restent inexpliqués, téléchargement local des fichiers et recherche ciblée à l’aide d’un éditeur de code.
Cette approche graduée évite de s’éparpiller et de lancer quatre scanners simultanément, ce qui ne fait qu’ajouter du bruit. Elle permet aussi de prioriser : un site de e-commerce qui traite des paiements en direct mérite un arrêt immédiat des transactions, alors qu’un blog de hobby pourra tolérer une période plus longue de diagnostic partagé.
Voici une manière pragmatique d’orchestrer ces outils gratuits sans perdre le fil, sous forme de courte feuille de route :
- Scanner le site depuis l’extérieur (Sucuri, Quttera, VirusTotal) pour voir les symptômes publics Lancer un scan interne via un plugin (Wordfence, Sucuri) si l’administration reste accessible Consulter les outils et journaux de l’hébergeur pour repérer fichiers suspects et pics d’activité Inspecter la base de données, en particulier les utilisateurs, options et contenus injectés Examiner localement les fichiers signalés, comparer avec une version propre, isoler le code douteux
Quand les outils gratuits ne suffisent plus
Il y a un moment où la lucidité impose de reconnaître les limites de l’outillage gratuit. Si les symptômes persistent malgré des nettoyages partiels, si l’attaque touche plusieurs sites du même hébergement, ou si la compromission date de plusieurs mois, la situation dépasse souvent ce que l’on peut traiter sereinement sans expertise approfondie.
Les signes qui m’incitent à recommander un accompagnement professionnel sont assez clairs. Des réinfections fréquentes après des nettoyages apparents, ce qui indique une porte dérobée encore active. Des données sensibles potentiellement exposées, qu’il s’agisse d’informations personnelles, de comptes clients ou de transactions. Des blocages sévères par Google ou des fournisseurs d’email, qui risquent d’avoir un impact durable sur la réputation du domaine.
Même dans ces situations, tout le travail de diagnostic réalisé avec les outils gratuits n’est pas perdu, bien au contraire. Les rapports de scanners, les journaux collectés, les fichiers suspects identifiés fournissent une matière précieuse pour qu’un spécialiste gagne du temps et cible rapidement les actions à forte valeur ajoutée. Un site déjà cartographié, avec les anomalies répertoriées, coûte généralement moins cher à nettoyer qu’un site où il faut tout découvrir de zéro.
Préparer l’après, pendant que l’urgence est encore chaude
Une fois le site stabilisé, même si le nettoyage n’est pas parfait, il faut profiter de la prise de conscience pour mettre en place quelques fondations solides. C’est souvent à ce moment-là que les propriétaires de site sont prêts à accepter des changements qu’ils repoussaient depuis longtemps.
Les sauvegardes automatisées, fiables et testées constituent la base. Que ce soit via un plugin gratuit connecté à un stockage externe ou via un outil intégré de l’hébergeur, peu importe, tant que la restauration a été testée au moins une fois. Un plan de sauvegarde dont personne ne sait se servir reste un mirage rassurant mais inutile.
Les mises à jour régulières, cœur, thèmes, plugins, doivent devenir un rituel plutôt qu’une corvée exceptionnelle. Les attaques les plus banales que je vois encore exploitent des failles corrigées depuis des mois, parfois des années. Un calendrier de mise à jour hebdomadaire, même manuel, réduit déjà fortement la surface d’attaque.
Enfin, le choix des extensions et des thèmes mérite une remise à plat. Limiter le nombre de plugins, supprimer ceux qui ne servent plus, éviter les sources douteuses pour les thèmes payants, vérifier la réputation et la fréquence de mise à jour de chaque composant. Ce travail, peu glamour, diminue nettement la probabilité de revivre une urgence WordPress piraté quelques mois plus tard.
L’important n’est pas de transformer soudain votre site en forteresse imprenable, ce qui n’existe pas, mais de remonter suffisamment le niveau de sécurité pour rendre votre site beaucoup moins attractif pour les attaques automatisées qui balayent le web en continu. Avec des outils gratuits bien utilisés, un peu de discipline et des habitudes simples, la prochaine alerte a de grandes chances de rester une fausse frayeur, et non une crise majeure.