Notre site WordPress a été piraté : que faire dans les premières heures ?

« Ce matin, un client nous a appelés : notre site WordPress affiche des pages en anglais qui vendent des médicaments, et Google met un avertissement dans ses résultats. On a un formulaire de devis et un espace client. Par quoi on commence, et faut-il prévenir quelqu'un ? »

La situation, telle qu'on la raconte à une IA

Dans la première heure : notez tout et gardez les preuves

L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, recommande d'ouvrir dès le début une « main courante » : un document où chaque ligne indique la date et l'heure, la personne qui agit ou signale, et ce qui a été fait ou constaté. Elle conseille de ne pas le stocker sur le système piraté, où l'attaquant pourrait le lire ; un document partagé en ligne ou une feuille papier conviennent¹.

WordPress conseille de noter ce qui vous fait penser à un piratage, l'heure où vous l'avez remarqué et les changements récents (nouvelle extension, thème modifié)². Cybermalveillance.gouv.fr ajoute de conserver les preuves : captures d'écran, journaux du serveur et, si possible, une copie complète du site dans son état piraté³.

Mettre le site à l'abri sans effacer les traces

Pour une machine piratée, Cybermalveillance.gouv.fr conseille de la débrancher d'Internet³. Pour un site hébergé, l'équivalent est de demander à l'hébergeur de le suspendre ou d'afficher une page de maintenance le temps de comprendre ; l'ANSSI cite cette page de maintenance parmi les mesures pour contenir l'attaque¹.

Surtout, n'effacez rien : les fichiers modifiés et les journaux sont vos preuves, et le seul moyen de savoir par où le pirate est entré.

Prévenir l'hébergeur et reprendre la main sur les accès

Appelez l'hébergeur et le prestataire qui gère le site le jour même. L'ANSSI insiste sur la capacité à mobiliser leur support technique en urgence¹, et WordPress rappelle que, sur un hébergement partagé, le piratage peut toucher plus que votre seul site².

Changez ensuite tous les points d'accès, pour toutes les personnes qui en ont un : l'administration WordPress, l'accès FTP ou SFTP (le transfert de fichiers), l'espace client de l'hébergeur et la base de données². Dans la liste des utilisateurs, cherchez les comptes que personne ne reconnaît. Pour déconnecter quelqu'un qui serait encore connecté, WordPress conseille de remplacer les clés secrètes du fichier wp-config.php par de nouvelles clés². Activez la double authentification dès que possible.

Si le pirate a changé votre mot de passe administrateur, il reste deux voies : modifier l'adresse e-mail du compte dans la base de données, depuis l'outil fourni par l'hébergeur, puis utiliser « mot de passe oublié » ; ou réinitialiser directement le compte dans cette base².

Des données personnelles ont-elles pu fuiter ?

Un formulaire de devis, un espace client, une liste d'inscrits : dès que le site garde des données personnelles, un piratage peut être une violation de données au sens du RGPD. L'article 33 impose alors de la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes. Si le risque est élevé, l'article 34 oblige aussi à prévenir les personnes concernées⁴.

La notification se fait sur le téléservice de la CNIL et peut se faire en plusieurs temps : une notification initiale, puis un complément quand l'enquête avance. Dans tous les cas, même sans notification, l'incident doit être documenté en interne⁵. En cas de doute, l'ANSSI conseille une pré-déclaration, même si aucun vol de données n'est confirmé¹. Votre hébergeur ou votre prestataire, en tant que sous-traitant, doit vous prévenir dans les meilleurs délais s'il découvre la violation⁴.

Un point d'actualité : le projet européen « omnibus numérique » propose de ne notifier que les violations à risque élevé, sous 96 heures. Le Conseil de l'UE a arrêté sa position le 21 octobre 2026, mais le texte n'est pas adopté⁶. Au 8 novembre 2026, la règle des 72 heures s'applique.

Trouver la porte d'entrée, puis nettoyer ou restaurer

Avant de remettre le site en ligne, il faut savoir comment le pirate est entré : mot de passe trop simple ou laissé par défaut, erreur de configuration, faille connue non corrigée³. L'ANSSI cite aussi le vol d'un compte d'administration, une faille dans une extension et la modification des réglages du nom de domaine pour rediriger les visiteurs¹. Tant que cette porte reste ouverte, un site nettoyé peut être repiraté.

Restaurer une sauvegarde permet de revenir à l'état antérieur à l'incident⁷, à condition qu'elle date d'avant l'intrusion, et pas seulement d'avant sa découverte. Sans sauvegarde saine, le nettoyage se fait à la main. WordPress recommande alors de remplacer les dossiers du cœur du logiciel (wp-admin et wp-includes) par des copies officielles de la même version, par transfert de fichiers et non depuis l'administration, puis d'examiner de près le fichier .htaccess et les fichiers du thème les plus souvent modifiés, comme index.php, header.php et footer.php².

Une fois le site propre : mettez à jour WordPress, le thème et les extensions, supprimez ce qui ne sert plus, et changez de nouveau tous les mots de passe². Demandez enfin à Google de réexaminer le site depuis le rapport « Problèmes de sécurité » de la Search Console¹⁰.

Porter plainte, prévenir l'assureur et demander de l'aide

La plainte se dépose au commissariat, à la gendarmerie ou par écrit au procureur de la République, avec les preuves rassemblées³. Selon l'ANSSI, elle déclenche une enquête et peut dégager votre responsabilité si l'attaque se propage à d'autres victimes¹. S'introduire frauduleusement dans un système informatique est puni de trois ans d'emprisonnement et de 100 000 € d'amende, et de cinq ans et 150 000 € si des données sont supprimées ou modifiées⁸.

Si vous avez une assurance cyber, prévenez-la tout de suite : c'est ce qui déclenche la prise en charge, et l'assureur peut recommander un prestataire¹. Pour être guidé, 17Cyber est le service d'assistance en ligne aux victimes proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr⁹. Pour les PME et les associations, l'ANSSI oriente aussi vers les CSIRT régionaux, des centres régionaux de réponse aux incidents¹.

Ce qui dépend de votre cas

Ces étapes valent pour un site vitrine ou une petite boutique. Si des données de paiement ou de santé, ou d'autres outils de l'entreprise, sont touchés, faites appel à un prestataire spécialisé en réponse à incident. Pour savoir s'il faut prévenir les personnes concernées, ou pour un litige avec l'ancien prestataire, la réponse relève d'un avocat ou d'un délégué à la protection des données.

Et chez Prestalgo ?

Nous reprenons des sites et des applications développés par d'autres : récupération des accès, état des lieux, puis remise en état, sur analyse, à partir de 500 € HT (page reprise d'application). Un audit de sécurité, à partir de 500 € HT et sur autorisation écrite, cherche ensuite les failles restantes, et un contrat de maintenance fixe par écrit le délai d'intervention en cas de panne. Tous les prix sont sur la page Tarifs.

Questions fréquentes

Alexandre Gougeon, fondateur de Prestalgo, développeur full stack depuis 2015. Prestalgo fait tourner et maintient les applications de SAUVLife, Youngs Job et Groume.