Site WordPress piraté : les premiers gestes

Des pages en japonais dans Google, un client qui vous dit avoir atterri sur un site de casino, un message de votre hébergeur : votre site a sans doute été piraté. Dans la première heure, vous pouvez déjà vérifier et protéger vos accès vous-même. Mieux vaut ne rien effacer avant le nettoyage.

Vérifier que c'est bien un piratage

Un pirate cache souvent son travail à l'administrateur du site. Les pages de spam ou la redirection ne s'affichent qu'aux visiteurs qui arrivent depuis Google, ou seulement sur téléphone. Vous pouvez donc ne rien voir en ouvrant votre site comme d'habitude.

Trois vérifications simples :

Tapez site:votre-domaine.fr dans Google, en remplaçant par l'adresse de votre site. Google affiche une partie des pages qu'il connaît, ce qui suffit pour repérer du spam. Des titres que vous n'avez jamais écrits, en langue étrangère ou sur des médicaments, sont un signe clair.
Ouvrez votre site depuis votre téléphone, en navigation privée, en passant par une recherche Google plutôt qu'en tapant l'adresse.
Si votre site est déclaré dans Google Search Console (l'outil gratuit de Google pour suivre votre site), regardez la rubrique Problèmes de sécurité.

Les gestes à faire tout de suite

Changer le mot de passe de votre e-mail

C'est par votre boîte e-mail qu'on réinitialise tous les autres mots de passe. Changez-le en premier, depuis un ordinateur sain, et activez la validation en deux étapes.

Puis ceux de l'hébergement et du site

Le compte chez votre hébergeur, puis chaque compte administrateur de WordPress. Un mot de passe différent pour chacun, jamais réutilisé ailleurs. Il faudra les changer une deuxième fois après le nettoyage.

Noter ce que vous avez vu

Des captures d'écran, l'adresse des pages suspectes, la date où vous avez remarqué le problème. Ces indices aident à retrouver par où le pirate est entré. Ces captures servent aussi si vous portez plainte.

Prévenir la personne qui s'occupe du site

Votre prestataire, ou à défaut votre hébergeur. Plus le nettoyage commence tôt, moins Google a le temps de déclasser votre site.

Ce qu'il vaut mieux ne pas faire

Ne supprimez ni le site ni des fichiers au hasard : vous effaceriez les traces qui montrent par où le pirate est passé, et parfois vos propres contenus. Et le pirate peut avoir laissé une autre porte d'entrée.

Ne remettez pas une ancienne sauvegarde sans savoir quand le pirate est entré. Il attend parfois plusieurs semaines avant de se montrer : la sauvegarde de la semaine dernière peut déjà contenir son code.

Une extension de sécurité installée après coup ne suffit pas. Elle repère une partie des fichiers modifiés, pas forcément tout. Un site qui semble propre après son passage peut garder une porte dérobée.

Enfin, n'attendez pas que ça passe : les pages de spam restent dans Google, le site recule dans les résultats, et votre hébergeur peut finir par le suspendre.

Si votre site contient des données de clients

Une boutique en ligne, un espace client ou un formulaire qui enregistre les demandes contiennent des données personnelles. Si elles ont pu être consultées, le RGPD vous impose en principe de le signaler à la CNIL dans les 72 heures après l'avoir appris. Dans le doute, faites une première déclaration sur le site de la CNIL dans ce délai, et complétez-la ensuite : le diagnostic dira si des données ont été consultées.

Le nettoyage

Nettoyer un site, c'est retirer le code du pirate, refermer la faille par laquelle il est entré, puis faire retirer les pages de spam de Google. Si la faille reste ouverte, le pirate revient par le même chemin, parfois quelques jours plus tard.

Je nettoie les sites WordPress, que je les aie créés ou non, au temps passé. Je vous donne une estimation après le diagnostic, avant d'aller plus loin.

Nettoyage de site WordPress piraté

Pour aller plus loin

Article mis à jour le 28 octobre 2026.

Votre site a été piraté ?

Indiquez l'adresse de votre site et ce que vous avez remarqué : je vous réponds sous 24 heures ouvrées.

M'écrire

Ou directement à contact@nolidev.fr ou au 06 52 78 53 68.

Appeler le 06 52 78 53 68