Votre site WordPress affiche des pages étranges, redirige vers un autre site, ou votre hébergeur l’a coupé. Pas de panique : un site piraté se répare. Mais l’ordre des étapes compte, et une simple mise à jour ne suffit pas à retirer un fichier malveillant déjà installé.
Les signes qu’un site WordPress a été piraté
La documentation de WordPress cite les signes les plus nets (WordPress (nouvel onglet)) :
- Google ou Bing affiche un avertissement sur votre site.
- L’hébergeur a désactivé le site.
- Le site est signalé comme diffusant un logiciel malveillant, ou l’antivirus de vos visiteurs le bloque.
- Des comptes administrateurs que vous n’avez pas créés apparaissent.
- Le contenu a visiblement changé, ou le site redirige vers un autre.
En octobre 2026, une faille critique de PHP, le langage sur lequel tourne WordPress, a fait l’objet d’une alerte nationale (CERT-FR (nouvel onglet)). Plusieurs hébergeurs ont coupé des sites par précaution : notre guide sur la faille PHP de 2026 détaille les versions touchées.
Les premières heures
- 01Demander le motif exactSuspension pour version de PHP trop ancienne, fichier malveillant, envoi de spam : l’e-mail de l’hébergeur le dit, sinon demandez-le. Une suspension préventive ne veut pas dire que le site a été piraté.
- 02Noter ce que vous voyezCaptures, dates, messages d’erreur, adresses suspectes. WordPress conseille de tout documenter : cela aide le spécialiste et votre hébergeur.
- 03Sauvegarder le site tel quelFichiers et base de données, même infectés. Cette copie sert à comprendre l’attaque et à récupérer vos contenus. Demandez aussi à l’hébergeur s’il garde des sauvegardes plus anciennes.
- 04Changer les mots de passeAdministration WordPress, hébergement, base de données, FTP, messagerie liée. Et déconnectez toutes les sessions ouvertes.
Nettoyer, puis fermer la porte d’entrée
Le nettoyage consiste à retirer les fichiers et les comptes ajoutés par l’attaquant, puis à mettre à jour WordPress, le thème, les extensions et la version de PHP. WordPress insiste sur un point : changez les mots de passe une seconde fois une fois le site propre (WordPress (nouvel onglet)).
Faire lever l’avertissement de Google
Si Google signale votre site comme dangereux, le rapport sur les problèmes de sécurité de la Search Console indique ce qu’il a détecté. Une fois le site nettoyé, vous y demandez un réexamen : Google vérifie, puis retire l’avertissement si le problème est réglé (Google (nouvel onglet)).
Réparer, ou repartir sur un nouveau site ?
Que faire du site une fois l’urgence passée ?
- Le site est récent et bien entretenuNettoyez, mettez tout à jour et prévoyez un suivi régulier : sauvegardes, mises à jour, surveillance.
- Le thème ou des extensions ne sont plus maintenusLa porte restera ouverte. Une refonte coûte souvent moins cher que des nettoyages à répétition.
- C’est la deuxième attaque, ou personne ne sait qui gère le siteLe problème n’est plus technique : il manque un responsable. Mieux vaut un site plus simple à tenir.
Chez WebCrew, nous ne nettoyons pas les sites WordPress : nous les refaisons. Un site vitrine sur Framer ou une boutique sur Shopify est hébergé par la plateforme, qui gère le serveur, les mises à jour et la sécurité. Vos contenus et votre référencement sont repris : voir migrer de WordPress vers Framer et la migration SEO.
Questions fréquentes
Mon hébergeur a suspendu mon site : est-il piraté ?
Pas forcément. Après la faille PHP d’octobre 2026, des hébergeurs ont coupé des sites par précaution, simplement parce qu’ils tournaient sur une version trop ancienne. Le motif est dans l’e-mail de suspension.
Combien de temps pour remettre un site piraté en ligne ?
Cela dépend de l’étendue de l’attaque et des sauvegardes disponibles. Comptez aussi quelques jours pour que Google retire son avertissement après la demande de réexamen.
Restaurer une sauvegarde suffit-il ?
Non, si la faille qui a permis l’attaque reste ouverte. Il faut aussi mettre à jour WordPress, le thème, les extensions et PHP, puis changer à nouveau les mots de passe.
Mon référencement va-t-il souffrir ?
Il peut baisser tant que Google affiche un avertissement ou que le site est hors ligne. Il remonte en général une fois le site propre et l’avertissement levé.
Comment éviter que cela recommence ?
Mises à jour régulières, extensions limitées à celles qui sont maintenues, mots de passe uniques, sauvegardes hors du serveur. Ou une plateforme hébergée, qui gère ces points pour vous.