📌 En 30 secondes
Quand un site WordPress est piraté (redirection vers du spam, panneau rouge Google, ralentissement subit), il faut agir en 3 étapes : 1) mise en quarantaine du site avec page de maintenance, 2) nettoyage approfondi des malwares et backdoors dans la base de données et les fichiers, 3) blindage complet (mises à jour, mots de passe forts, pare-feu applicatif, sauvegardes externalisées) puis demande de réexamen à Google via la Search Console. Délai habituel pour un sauvetage propre : entre 24 h et 72 h selon la gravité de l’infection.
📊 Le piratage WordPress en chiffres
– Plus de 90 000 attaques par minute visent les sites WordPress dans le monde (source : Wordfence Annual Threat Report).
– Près de 60 % des sites WordPress piratés présentaient un plugin ou un thème non mis à jour (source : Sucuri Hacked Website Report).
– 39 % des sites WordPress compromis contiennent un mot de passe administrateur faible ou par défaut (source : Sucuri).
– Coût moyen d’une intervention de sauvetage en urgence pour une TPE/PME : 5 à 15 fois le prix d’une maintenance préventive annuelle.
– Délai moyen pour qu’un site nouvellement créé soit attaqué par un robot malveillant : moins de 24 heures (source : Patchstack).
C’était un mardi matin. Je venais tout juste de me servir un café quand mon téléphone a sonné. Au bout du fil : le gérant d’une belle PME chalonnaise avec qui je n’avais jamais travaillé, complètement paniqué.
« Madame Viviand, c’est une catastrophe. Quand on tape le nom de mon entreprise sur Google, le lien renvoie vers un site qui vend des pilules miracles en japonais. Et Google affiche un gros panneau rouge « Ce site a été piraté » ! Mes clients m’appellent, mon équipe commerciale est à l’arrêt, faites quelque chose s’il vous plaît ! »
Dans le métier de webmaster, c’est ce qu’on appelle un piratage avec redirection (le fameux « Japanese Spam », ou plus largement du « spamdexing »). C’est impressionnant, c’est désastreux pour l’image de marque, et ça ruine en quelques heures un référencement naturel patiemment construit pendant des années.
La première chose que j’ai dite à ce gérant ?
« Respirez. On va réparer ça. »
Voici les coulisses de ce sauvetage express réalisé en moins de 24 heures, et surtout, mes conseils — avec 15 ans de recul dans le métier — pour que votre site d’entreprise en Bourgogne ne subisse jamais le même sort.
1. Le diagnostic : pourquoi s’attaquer à une PME en Saône-et-Loire ?
La première réaction du client a été de me poser la question que je reçois 9 fois sur 10 dans ce contexte :
« Mais pourquoi MOI ? Je ne gère pas des données secret-défense, je suis juste une PME locale ! »
C’est une excellente question. Et la réponse va vous surprendre : les pirates informatiques ne ciblent pas votre entreprise personnellement.
Concrètement, ce sont des robots automatisés qui scannent des millions de sites web par jour à la recherche de failles de sécurité. C’est exactement le même principe que des cambrioleurs qui marcheraient dans une rue en testant méthodiquement chaque poignée de porte, jusqu’à en trouver une déverrouillée. Selon Wordfence, l’écosystème WordPress subit plus de 90 000 attaques par minute dans le monde. À cette échelle, ce n’est plus une question de « si » mais de « quand ».
Dans le cas de ce client, le diagnostic a été rapide. Deux failles, et deux seulement, expliquaient l’intrusion :
- Le site WordPress n’avait pas été mis à jour depuis plus de deux ans (ni le cœur, ni le thème, ni les plugins). Selon Sucuri, près de 60 % des sites WordPress piratés présentent justement ce profil.
- Le mot de passe de l’administrateur était… « Admin123 ». Vous me direz que ça paraît caricatural, mais c’est encore extrêmement fréquent : Sucuri estime que 39 % des sites compromis ont un mot de passe administrateur faible ou par défaut.
La porte était grande ouverte. Les pirates s’en sont servis pour héberger leurs propres pages frauduleuses (vendant des contrefaçons en japonais) en utilisant la notoriété déjà construite par le site légitime. Cette technique s’appelle le « spamdexing » : elle exploite votre référencement Google pour faire ranker des contenus malveillants à votre place.
2. Le sauvetage en 3 étapes : l’opération « coup de propre »
Quand l’image de votre entreprise est en jeu, chaque minute compte. Voici comment j’ai procédé, étape par étape, sans vous noyer dans le jargon technique.
Étape 1 — La mise en quarantaine (arrêter l’hémorragie)
J’ai immédiatement coupé l’accès public au site et installé une page de maintenance professionnelle. L’objectif est triple :
- Empêcher les visiteurs de tomber sur les contenus malveillants.
- Stopper la propagation potentielle de virus vers les ordinateurs des visiteurs.
- Donner à Google un signal clair : « le site est en intervention ».
Cette page de maintenance soignée joue aussi un rôle de communication : un message rassurant pour les clients du gérant qui essayaient déjà d’accéder au site (« Maintenance technique en cours. Pour toute urgence, contactez-nous au… »).
Étape 2 — Le grand nettoyage des fichiers et de la base de données
C’est le cœur de l’intervention, et la partie la plus technique. J’ai analysé minutieusement deux zones :
- La base de données : c’est le cerveau du site, où sont stockés tous les contenus (textes, articles, paramètres). Les pirates y avaient injecté du code malveillant qui générait à la volée les fameuses pages de spam japonaises à chaque visite.
- Les fichiers du serveur : plusieurs milliers de fichiers à scanner un par un. J’ai traqué et supprimé tous les « malwares » (logiciels malveillants) ainsi que les « backdoors » (portes dérobées que les pirates installent pour pouvoir revenir, même si vous changez vos mots de passe).
Ce point sur les backdoors est essentiel : c’est précisément parce qu’elles sont laissées en place que beaucoup de sites « nettoyés rapidement » se font re-pirater quelques semaines plus tard. Les éliminer toutes demande de l’expérience et de la patience.
Étape 3 — Le blindage (fermer à double tour)
Une fois le site parfaitement propre, je suis passée à la phase préventive — celle qui transforme un sauvetage en vraie protection durable :
- Mise à jour complète : cœur de WordPress, thème actif, tous les plugins. Suppression des extensions inutilisées (chaque plugin obsolète est une porte d’entrée potentielle).
- Changement de TOUS les mots de passe : administrateur, FTP, base de données, hébergement. Mise en place d’une politique de mots de passe forts (12 caractères minimum, mélange de types).
- Activation de la double authentification (2FA) sur le compte administrateur.
- Installation et configuration d’un pare-feu applicatif (WAF) pour bloquer les attaques automatisées avant même qu’elles n’atteignent le site.
- Mise en place de sauvegardes quotidiennes externalisées sur un serveur distant (essentiel : si l’hébergeur tombe, la sauvegarde est sauve).
- Demande de réexamen auprès de Google via la Search Console pour faire retirer le panneau rouge d’alerte.
À 8h00 le lendemain matin, le site était de nouveau en ligne, immaculé, et j’avais soumis la requête à Google. Le panneau rouge a disparu dans la matinée. Le gérant a pu souffler — et son équipe commerciale a repris le travail dans la foulée.
3. La chronologie heure par heure du sauvetage
Pour vous donner une idée concrète de ce que veut dire « 24h chrono », voici comment s’est déroulée l’intervention :
| Heure | Étape | Action concrète |
|---|---|---|
| 9h15 | Appel d’urgence | Premier contact téléphonique, prise d’information, accès aux identifiants d’hébergement |
| 9h45 | Mise en quarantaine | Site coupé, page de maintenance en ligne, sauvegarde de l’état actuel (même infecté, ça sert de preuve) |
| 10h30 | Diagnostic complet | Analyse de l’infection, identification du type d’attaque (Japanese Spam), repérage des backdoors |
| 12h00 → 18h00 | Nettoyage | Décontamination de la base de données, nettoyage des fichiers, traque des portes dérobées, vérification des comptes utilisateurs |
| 18h00 → 22h00 | Blindage | Mises à jour, nouveaux mots de passe, pare-feu, 2FA, sauvegardes, configuration sécurité |
| 22h30 | Validation | Tests fonctionnels complets, vérification que toutes les pages légitimes répondent correctement |
| 7h45 (J+1) | Remise en ligne | Site rouvert au public, demande de réexamen à Google envoyée |
| 10h30 (J+1) | Confirmation Google | Panneau rouge retiré des résultats de recherche. Le calvaire est terminé |
Au total : environ 12 heures de travail effectif réparties sur une journée intense, plus la fenêtre de validation Google. Pour un client qui était au bord de la crise de nerfs en début de matinée, retrouver son site propre et fonctionnel le lendemain à l’heure du déjeuner, ça change la donne.
4. 7 signes que votre site WordPress est peut-être piraté
Parfois, le piratage est spectaculaire (panneau rouge Google, redirection visible). Mais souvent, il est silencieux et dégrade votre activité pendant des mois sans que vous vous en rendiez compte. Voici les signaux d’alerte que je rencontre régulièrement chez mes clients.
🚨 Les 7 signaux à surveiller
- Votre site est devenu subitement très lent, sans raison apparente.
- Des fenêtres pop-up étranges apparaissent à la consultation, ou des liens vers des sites inconnus.
- De nouveaux comptes administrateurs (que vous ne connaissez pas) sont apparus dans WordPress.
- Google affiche un message d’alerte avant de laisser entrer sur votre site.
- Le trafic naturel s’effondre brutalement dans Google Analytics ou Search Console.
- Vos clients vous signalent que votre site « fait bizarre » ou affiche des contenus qui ne sont pas les vôtres.
- Vos campagnes email aboutissent en spam plus qu’à l’habitude (votre serveur a peut-être été inscrit sur une blacklist).
Si vous cochez ne serait-ce qu’un seul de ces signaux, faites un audit. Idéalement par un professionnel, mais a minima passez votre site sur un scanner gratuit comme Sucuri SiteCheck ou WPScan pour avoir un premier diagnostic.
5. La leçon de l’histoire : la prévention coûte moins cher que la guérison
Ce sauvetage d’urgence s’est bien terminé, mais il a eu un coût concret pour l’entreprise :
- Le coût de mon intervention technique en urgence (forcément plus élevée qu’une simple maintenance classique : on parle ici d’un facteur 5 à 15 par rapport à un forfait préventif annuel).
- La perte de confiance de plusieurs prospects qui ont vu la page piratée pendant les heures où elle était encore visible.
- Une légère baisse dans les positions Google sur ses mots-clés stratégiques, le temps que tout rentre dans l’ordre (environ 3 semaines pour récupérer le ranking initial).
- Une journée à l’arrêt pour son équipe commerciale qui ne pouvait plus envoyer le lien du site aux prospects.
S’il y a une chose à retenir de ce cas client, c’est que votre site internet est un actif précieux de votre entreprise — au même titre que vos locaux, votre matériel ou votre fichier client. Tout comme vous payez une alarme et une assurance pour vos bureaux physiques à Chalon, Beaune ou Mâcon, votre site web a besoin d’une surveillance active.
Aujourd’hui, cette PME a souscrit à mon forfait de maintenance mensuelle. Je veille sur leur site chaque semaine dans l’ombre, je fais les mises à jour testées en environnement de pré-production, et eux… ils dorment sur leurs deux oreilles pour se concentrer sur leur vrai métier ! (Pour comprendre concrètement ce qu’inclut une vraie maintenance préventive, voir mon article sur la maintenance WordPress mensuelle.)
💡 Le calcul que tous mes clients devraient faire
Un forfait de maintenance préventive WordPress : 50 à 150 € / mois selon la taille du site.
Une intervention de sauvetage suite à piratage : entre 800 € et 3 500 € en moyenne, sans compter le manque à gagner et la perte de confiance.
Sur 5 ans, la maintenance vous aura coûté entre 3 000 € et 9 000 €. Un seul piratage évité rembourse souvent l’investissement.
Sans même parler du fait que dormir tranquille n’a pas de prix 😉.
🛡️ Vous avez un doute sur la sécurité de votre site WordPress actuel ?
Ne laissez pas une porte ouverte aux robots malveillants. Que vous soyez basé(e) à Chalon-sur-Saône, ailleurs en Bourgogne, ou partout en France, je vous propose un pré-audit de sécurité gratuit. On s’appelle ?
