WordPress fait tourner près de 44 % des sites web dans le monde, soit 63 % du marché des CMS en 2025. Cette omniprésence en fait une cible de choix pour les attaquants : en 2024, le plugin de sécurité Wordfence a intercepté à lui seul 5,7 milliards de tentatives d’intrusion, soit environ 180 requêtes malveillantes chaque seconde. Et si vous pensez que votre petit blog ou votre site vitrine n’intéresse personne, détrompez-vous : les attaques sont automatisées, elles cherchent la faille la plus accessible, pas la cible la plus rentable.
Des signaux d’alerte souvent discrets, parfois trop tardifs
Le problème avec un site WordPress compromis, c’est que le propriétaire est souvent le dernier à l’apprendre. Selon les données compilées dans le secteur, 41 % des sites infectés hébergent du code malveillant pendant plusieurs semaines avant qu’un signal d’alarme ne se déclenche. Ce signal, c’est souvent Google qui le lance, via un avertissement dans les résultats de recherche, ou l’hébergeur qui suspend le compte pour activité suspecte.
Parmi les indices à surveiller : des redirections vers des sites de phishing ou de pharmacie (visibles depuis Google mais pas quand vous êtes connecté en admin), des fichiers PHP apparus dans le dossier /wp-content/uploads/, des comptes administrateurs que vous n’avez pas créés, ou une chute brutale de trafic accompagnée d’alertes dans Google Search Console. En avril 2026, l’attaque dite « EssentialPlugin » a exposé plus de 400 000 installations de plugins via une backdoor dormante introduite lors du rachat de la suite sur une marketplace. Particularité redoutable : le malware n’affichait son contenu malveillant qu’à Googlebot, rendant la détection quasi impossible pour les propriétaires de sites.
Pour un premier diagnostic rapide, l’outil Sucuri SiteCheck permet de scanner une URL gratuitement en moins de 30 secondes et de vérifier si le site figure sur des listes noires.
Nettoyer un site piraté : une procédure en plusieurs étapes
Un nettoyage de site WordPress piraté suit une logique précise. La première règle : ne jamais supprimer les fichiers infectés à la va-vite sans en avoir fait une copie forensique au préalable. Cette sauvegarde de l’état infecté permet d’analyser le vecteur d’entrée et d’éviter de laisser des traces d’infection dans les fichiers de configuration.
Vient ensuite le scan complet via un outil comme Wordfence Security (version gratuite), qui compare chaque fichier WordPress avec les versions officielles du dépôt et liste les fichiers modifiés ou inconnus. Le nettoyage lui-même passe par le remplacement intégral des fichiers corrompus, jamais par leur modification manuelle : le core WordPress est réinstallé depuis la dernière version propre, les plugins sont supprimés puis réinstallés depuis le dépôt officiel.
Dernière étape, souvent négligée : le durcissement post-nettoyage. Sans lui, environ 60 % des sites nettoyés seraient recompromis dans les 30 jours. Cela passe par la mise à jour de tous les composants, l’activation de l’authentification à deux facteurs, la correction des permissions sur les fichiers (644/755), la désactivation de l’exécution PHP dans le dossier /uploads/, et la mise en place de sauvegardes automatiques hors-site. Si le site est blacklisté par Google, une demande d’examen via la Search Console permet généralement une levée sous 24 à 72 heures. Un site blacklisté perd en moyenne 95 % de son trafic organique.
Une obligation légale souvent ignorée : la notification à la CNIL
Au-delà des dégâts techniques et de référencement, un piratage touchant des données personnelles engage la responsabilité du propriétaire du site. Le RGPD (articles 33 et 34) impose une notification à la CNIL dans les 72 heures suivant la découverte d’une violation présentant un risque pour les droits des personnes concernées. Formulaires de contact, comptes clients, boutique WooCommerce : dès lors que des données sont collectées, l’obligation s’applique. Le manquement peut entraîner des sanctions allant jusqu’à 4 % du chiffre d’affaires annuel mondial. En 2024, Cybermalveillance.gouv.fr a enregistré plus de 420 000 demandes d’assistance, en hausse de près de 50 % par rapport à l’année précédente.
Face à ces risques combinés, la réactivité compte autant que la méthode. Un site WordPress compromis n’est jamais un cas isolé : c’est une urgence technique, de réputation et parfois juridique.
