Un site piraté, c'est un site qui redirige vos visiteurs vers des arnaques, qui disparaît de Google ou qui envoie du spam en votre nom. La bonne nouvelle : la plupart des piratages s'évitent avec des réflexes simples. Les voici.
La majorité des piratages passent par des extensions ou thèmes pas à jour et des mots de passe faibles.
Une sauvegarde externe et testée est votre assurance vie : sans elle, un piratage peut tout effacer.
La sécurité n'est pas une action ponctuelle mais une routine de maintenance régulière.
01 — ComprendrePourquoi les sites WordPress sont-ils visés ?
WordPress fait tourner une grande partie des sites du monde. Pour un pirate, c'est une cible idéale : une seule faille dans une extension populaire ouvre la porte à des milliers de sites. Les attaques sont automatisées : des robots testent en permanence les sites, sans les choisir.
Votre site n'a pas besoin d'être « intéressant » pour être attaqué. Les robots cherchent des failles connues (extension pas à jour, mot de passe faible, hébergement mal configuré) et exploitent tout ce qu'ils trouvent : spam, redirections, vol de données ou hébergement de pages frauduleuses.
Une attaque automatisée suit presque toujours le même scénario :
Le scénario type d'un piratage automatisé : chaque réflexe de ce guide casse un maillon de la chaîne.
Quatre piliers pour un site bien protégé :
Mises à jour
WordPress, thème et extensions toujours à jour.
Accès
Mots de passe forts, double authentification, comptes limités.
Sauvegardes
Automatiques, stockées ailleurs et testées.
Surveillance
Pare-feu, scan des fichiers et alertes.
02 — ComparerLes 3 niveaux de protection
Où en est votre site ? Cliquez sur chaque onglet.
- Situation
- Le site a été livré, puis plus personne n'y touche.
- Mises à jour
- En retard de plusieurs mois, parfois d'années.
- Sauvegarde
- Aucune, ou stockée sur le même serveur.
- En cas d'attaque
- On s'en rend compte quand Google ou un client alerte.
- Protection
- Situation
- Une extension de sécurité est installée, et on s'arrête là.
- Mises à jour
- Faites de temps en temps, sans vérifier le site ensuite.
- Sauvegarde
- Parfois active, rarement testée.
- En cas d'attaque
- Une alerte arrive, mais personne ne sait quoi faire.
- Protection
- Situation
- Une maintenance régulière, avec des contrôles et un responsable identifié.
- Mises à jour
- Appliquées rapidement, puis le site est vérifié.
- Sauvegarde
- Quotidienne, externe, restauration testée.
- En cas d'attaque
- Détection rapide, nettoyage et remise en ligne.
- Protection
Une extension de sécurité est utile, mais rien ne remplace une maintenance régulière.
03 — VoirUne tentative d'attaque, en direct
Voici ce que montre le journal de sécurité d'un site bien protégé, une nuit ordinaire.
04 — RepérerLes 6 portes d'entrée les plus courantes
Extensions pas à jour
La première cause de piratage : une faille connue, corrigée par l'éditeur, mais pas sur votre site.
Priorité n°1Extensions abandonnées
Plus mises à jour depuis longtemps : elles ne recevront jamais de correctif.
À supprimerMots de passe faibles
« admin / 123456 » ou le même mot de passe partout : les robots les testent en premier.
AccèsThèmes « nullés »
Des thèmes payants téléchargés gratuitement : ils contiennent souvent du code malveillant.
À bannirComptes oubliés
Anciens prestataires, stagiaires ou comptes de test avec des droits d'administrateur.
AccèsHébergement vieillissant
Une version de PHP obsolète ou un serveur mal configuré fragilise tout le site.
Serveur05 — ProtégerCe que vous protégez vraiment
Votre référencement
Un site infecté peut être signalé comme dangereux et perdre ses positions sur Google.
Votre réputation
Un client redirigé vers une arnaque ne reviendra pas.
Les données clients
Formulaires, commandes, comptes : une fuite engage votre responsabilité RGPD.
Vos e-mails
Un serveur qui envoie du spam peut voir vos propres e-mails bloqués.
Nettoyer un site piraté coûte toujours bien plus cher que de l'entretenir.
06 — AgirLes 10 réflexes, en 5 étapes
Mettre à jour, et faire le ménage
Réflexes 1 et 2 : mettez à jour WordPress, le thème et les extensions, puis supprimez tout ce qui est désactivé ou abandonné.
Verrouiller les accès
Réflexes 3 à 5 : mots de passe longs et uniques, double authentification pour les administrateurs, et limitation des tentatives de connexion.
Nettoyer les comptes
Réflexe 6 : supprimez les comptes inutiles et donnez à chacun uniquement les droits dont il a besoin.
Sauvegarder pour de vrai
Réflexes 7 et 8 : sauvegarde automatique quotidienne, stockée hors du serveur, et test de restauration régulier.
Surveiller en continu
Réflexes 9 et 10 : un pare-feu applicatif, un scan régulier des fichiers et une version de PHP à jour chez l'hébergeur.
07 — DétecterLes signes qui doivent vous alerter
🔀 Redirections étranges
Des visiteurs envoyés vers d'autres sites, souvent uniquement sur mobile ou depuis Google.
🈲 Pages inconnues sur Google
Des résultats en langue étrangère ou des produits que vous ne vendez pas.
⚠️ Alertes du navigateur
Un écran rouge « site dangereux » ou un message dans la Search Console.
🐢 Site très lent
Un serveur saturé sans raison peut cacher un code malveillant actif.
Si vous constatez l'un de ces signes : ne supprimez rien au hasard, changez vos mots de passe et faites appel à un professionnel pour nettoyer et sécuriser le site.
08 — RépondreQuestions fréquentes sur la sécurité WordPress
Mon petit site vitrine intéresse-t-il vraiment les pirates ?
Oui, car les attaques sont automatisées : les robots ne choisissent pas leurs cibles, ils testent tous les sites. Un site vitrine peut servir à envoyer du spam ou héberger des pages frauduleuses.
Faut-il activer les mises à jour automatiques ?
Pour les correctifs de sécurité, oui. Pour les mises à jour majeures, mieux vaut sauvegarder avant et vérifier le site après, car une mise à jour peut parfois casser une mise en page.
Quelle extension de sécurité choisir ?
Plusieurs extensions reconnues proposent pare-feu, limitation des connexions et scan des fichiers. L'important est d'en avoir une seule, bien configurée, et de lire ses alertes.
Ma sauvegarde chez l'hébergeur suffit-elle ?
C'est un bon début, mais gardez aussi une copie ailleurs. Si le compte d'hébergement est compromis ou indisponible, vous devez pouvoir restaurer votre site.
Mon site a été piraté, que faire ?
Changez tous les mots de passe (WordPress, hébergement, base de données), prévenez votre hébergeur, puis faites nettoyer le site et identifier la faille avant de le remettre en ligne.
Speedizycom, agence web basée à Carcassonne, assure la maintenance des sites WordPress : mises à jour, sauvegardes externes, surveillance, et intervention rapide en cas de problème.
Parler de mon projet →