Site piraté : le plan d’action pour tout récupérer sans rien casser
- Les 30 premières minutes comptent plus que les 3 heures suivantes : isoler le site (mode maintenance, changement de tous les mots de passe) avant même de commencer à chercher la cause évite que l’attaquant continue d’agir pendant le diagnostic.
- Nettoyer sans comprendre comment l’intrusion a eu lieu ne sert à rien : la majorité des sites re-piratés le sont dans les jours qui suivent un nettoyage bâclé, via la même faille laissée ouverte.
- Une fois le site assaini, il faut demander explicitement une réévaluation à Google — sans cette démarche, un avertissement de sécurité peut rester affiché des mois même après la disparition du code malveillant.
- La remontée du trafic SEO prend en général 2 à 6 semaines si le nettoyage est rapide et propre, mais peut s’étendre à 3 à 6 mois si le site est resté infecté longtemps.
- 91 % des vulnérabilités exploitées sur WordPress viennent des extensions, pas du cœur du CMS — la prévention passe surtout par la maintenance des plugins, pas par le changement de logiciel.
Votre site a été piraté et vous cherchez la marche à suivre pour le récupérer : la réponse tient en quatre étapes, dans cet ordre précis et non interchangeable. D’abord isoler le site pour empêcher l’attaquant d’agir davantage pendant que vous travaillez. Ensuite diagnostiquer l’ampleur réelle de la compromission — fichiers modifiés, comptes créés, base de données touchée. Puis nettoyer et sécuriser en même temps, jamais l’un sans l’autre. Enfin demander la réévaluation auprès de Google et des navigateurs si votre site a été signalé comme dangereux. Sauter une étape ou les faire dans le désordre est la cause numéro un des piratages qui reviennent quelques jours après le premier nettoyage.
Ce guide détaille chacune de ces étapes avec les actions concrètes à mener, les pièges qui prolongent inutilement l’indisponibilité du site, et les délais réalistes à anticiper — pour la remise en ligne comme pour la récupération du référencement.
Étape 1 — Isoler le site avant de toucher à quoi que ce soit
La première réaction de beaucoup de commerçants est de vouloir comprendre ce qui s’est passé avant d’agir. C’est une erreur : tant que le site reste accessible et que les identifiants ne sont pas changés, l’attaquant — ou plus souvent le script automatisé qui a exploité la faille — peut continuer à agir pendant que vous cherchez à comprendre.
La première action, avant tout diagnostic, consiste à mettre le site en mode maintenance ou à le rendre temporairement inaccessible. Cela coupe l’accès public au contenu potentiellement compromis (redirections, pages de phishing, contenu injecté visible par vos visiteurs) sans pour autant supprimer quoi que ce soit qui pourrait servir de preuve pour le diagnostic.
Deuxième réflexe indispensable : changer tous les mots de passe, sans exception — accès au CMS, base de données, FTP/SFTP, hébergement, compte email associé au nom de domaine. Beaucoup de piratages persistent parce qu’un seul mot de passe a été oublié dans la liste des accès à renouveler, souvent celui d’un compte administrateur créé des mois plus tôt et jamais utilisé depuis.
Troisième point souvent négligé : vérifier immédiatement la liste des utilisateurs administrateurs. Un des marqueurs les plus fréquents d’une compromission durable est la création d’un compte admin supplémentaire par l’attaquant, avec un nom qui passe inaperçu au premier coup d’œil (une variante proche d’un nom existant, ou un identifiant technique du type « wp-support »). Ce compte permet de revenir même après un changement de mot de passe sur le compte principal.
Enfin, si votre site est hébergé mutualisé (plusieurs sites sur le même serveur), signalez l’incident à votre hébergeur sans attendre : une faille exploitée sur un site peut parfois donner accès à d’autres sites du même compte d’hébergement, et l’hébergeur dispose d’outils de détection que vous n’avez pas.
Étape 2 — Diagnostiquer l’ampleur réelle de la compromission
Une fois le site isolé, l’objectif est de comprendre ce qui a été touché et comment l’attaquant est entré. Cette étape conditionne tout le reste : nettoyer sans savoir par où l’intrusion a eu lieu revient à laisser la porte ouverte pour un second piratage, souvent dans les jours qui suivent le premier.
Si vous n’êtes pas encore sûr de la nature exacte du piratage, notre guide dédié explique comment détecter un piratage à partir des signaux les plus fiables — alerte Search Console, trafic anormal, redirections inattendues. Une fois la compromission confirmée, le diagnostic doit couvrir quatre zones.
Le rapport de sécurité de Google Search Console est le point de départ le plus fiable. Il indique le type de piratage détecté — contenu injecté, page de phishing, logiciel malveillant, redirection — ainsi qu’un échantillon d’URLs concernées. Cette liste est précieuse : elle indique précisément quelles pages ont été modifiées ou créées par l’attaquant, ce qui évite de nettoyer à l’aveugle.
Les journaux du serveur (logs) permettent de remonter au moment exact de l’intrusion et, souvent, à la faille utilisée : une requête suspecte vers un fichier de plugin connu pour une vulnérabilité, une tentative de connexion réussie après une série d’échecs (signe d’une attaque par force brute), ou un envoi de fichier via un formulaire mal sécurisé. Un hébergeur professionnel conserve ces journaux plusieurs semaines et peut les fournir sur demande.
Le système de fichiers doit être comparé à une version saine connue — une sauvegarde antérieure au piratage, ou une installation propre du CMS et des extensions. Les outils de recherche de fichiers modifiés récemment (souvent disponibles directement via l’hébergeur) permettent de repérer rapidement les fichiers ajoutés ou altérés dans les jours précédant la détection.
La base de données doit être examinée séparément, en particulier les tables liées aux utilisateurs, aux options du site et au contenu publié. Une injection de spam SEO — des dizaines ou centaines de pages générées automatiquement pour promouvoir des produits contrefaits ou des sites de paris illégaux — se loge le plus souvent directement dans la base plutôt que dans les fichiers, ce qui la rend invisible à une simple vérification des fichiers.
Ce diagnostic prend généralement entre une et quelques heures selon la taille du site. Il est tentant de l’écourter pour remettre le site en ligne plus vite, mais c’est précisément cette étape qui détermine si le nettoyage sera définitif ou temporaire.
Étape 3 — Nettoyer et sécuriser en même temps
Nettoyer un site piraté sans le sécuriser dans la foulée revient à réparer une fenêtre cassée sans fermer la porte restée grande ouverte à côté. Ces deux actions doivent être menées ensemble, jamais l’une après l’autre à plusieurs jours d’intervalle.
Supprimer le contenu malveillant
La méthode la plus fiable consiste à réinstaller intégralement le cœur du CMS et l’ensemble des extensions à partir de sources officielles, plutôt que de chercher à supprimer manuellement chaque ligne de code injectée. Cette approche est plus rapide et plus sûre : un code malveillant bien conçu peut se dissimuler dans un fichier légitime de façon presque indétectable à l’œil nu, alors qu’une réinstallation complète élimine ce risque par construction. Seuls le contenu (articles, pages, médias) et la configuration doivent être conservés, après vérification.
Dans le cas où une extension spécifique est identifiée comme point d’entrée — ce qui est la situation la plus fréquente, puisque 91 % des vulnérabilités recensées sur l’écosystème WordPress concernent des extensions tierces et non le cœur du logiciel, selon les données consolidées par Patchstack sur l’année 2025 — cette extension doit être supprimée définitivement si elle n’est plus maintenue par son éditeur, ou mise à jour immédiatement si un correctif existe.
Supprimer les accès laissés par l’attaquant
Au-delà des fichiers, il faut traquer les portes dérobées (backdoors) : comptes administrateurs créés sans votre accord, tâches planifiées ajoutées au serveur, clés d’API ou jetons d’accès générés à votre insu. Ces éléments survivent souvent à un nettoyage de fichiers classique parce qu’ils ne sont pas du « code » au sens strict, mais des accès légitimes détournés.
Sécuriser avant la remise en ligne
Remettre un site en ligne sans corriger la faille d’origine, c’est s’exposer à un second piratage dans les jours suivants — un scénario fréquent chez les sites nettoyés dans l’urgence sans diagnostic préalable. Les actions à mener systématiquement à ce stade :
- Mettre à jour le cœur du CMS, l’ensemble des extensions et le thème vers leurs dernières versions
- Activer l’authentification à deux facteurs sur tous les comptes administrateurs
- Installer ou reconfigurer un pare-feu applicatif (WAF) pour filtrer les requêtes malveillantes en amont
- Limiter le nombre de tentatives de connexion pour bloquer les attaques par force brute
- Mettre en place une sauvegarde automatique externalisée, distincte de l’hébergement principal
Ce dernier point mérite une attention particulière pour un commerçant sans équipe technique dédiée : automatiser la surveillance des mises à jour et les sauvegardes évite de dépendre d’une vigilance manuelle que personne n’a le temps de maintenir au quotidien. C’est précisément l’un des axes sur lesquels des prestataires spécialisés en automatisation web interviennent — pas seulement pour reconstruire après coup, mais pour transformer la maintenance en processus qui tourne seul.
Étape 4 — Faire lever les alertes de sécurité
Un site nettoyé techniquement peut rester invisible ou marqué comme dangereux pendant plusieurs semaines si personne ne demande explicitement sa réévaluation. Cette étape est trop souvent oubliée alors qu’elle conditionne le retour à la normale côté visiteurs comme côté référencement.
Dans Google Search Console, une fois le rapport « Problèmes de sécurité » vidé de toute anomalie active, il faut soumettre une demande d’examen en détaillant les actions correctives menées (nettoyage, mise à jour, sécurisation). Google précise dans sa documentation que si le site n’est effectivement plus infecté, les avertissements affichés dans les navigateurs et les résultats de recherche disparaissent généralement sous 72 heures après validation.
Si votre site a été placé sur liste noire par Google Safe Browsing — ce qui déclenche l’avertissement rouge « Ce site risque de nuire à votre ordinateur » dans Chrome et d’autres navigateurs — une demande de réexamen spécifique doit être déposée via l’outil dédié. Ce processus prend en général une à deux semaines supplémentaires par rapport à la simple levée des problèmes de sécurité dans Search Console, car il implique une vérification indépendante.
Si des URLs spam ont été indexées pendant la période de compromission, elles ne disparaissent pas automatiquement des résultats de recherche du jour au lendemain, même après leur suppression du site. Il est possible d’accélérer leur retrait via l’outil de suppression d’URL de Search Console, mais il s’agit d’une suppression temporaire (généralement six mois) : la solution durable consiste à s’assurer que ces URLs renvoient une erreur 404 ou une redirection propre, ce qui accélère leur désindexation définitive lors des passages suivants des robots de Google.
Le délai global de récupération dépend directement de la rapidité et de la propreté du nettoyage. Un site désinfecté en moins de 48 heures avec une demande de réexamen bien documentée retrouve en général un trafic organique normal en 2 à 6 semaines. À l’inverse, un site resté infecté plusieurs mois, avec un volume important de pages spam indexées, peut nécessiter 3 à 6 mois avant un retour complet, le temps que les robots de Google recrawlent l’ensemble du site et réévaluent sa fiabilité.
Ce que ça coûte de traiter — ou de ne pas traiter — un piratage
Un piratage non traité, ou traité à moitié, coûte systématiquement plus cher qu’une intervention complète et rapide. Le coût direct inclut le temps technique de nettoyage, la sécurisation, et éventuellement l’intervention d’un prestataire externe si la compromission dépasse les compétences internes. Mais le coût indirect est souvent plus lourd : perte de chiffre d’affaires pendant l’indisponibilité, dégradation durable du référencement si les liens spam injectés ne sont pas entièrement nettoyés, et perte de confiance des visiteurs qui ont vu un avertissement de sécurité s’afficher.
Des analyses sectorielles sur le marché anglophone estiment le coût total moyen d’un site compromis — nettoyage, temps de développeur en urgence, indisponibilité, et travail de fond nécessaire pour effacer les pénalités de référencement liées au spam injecté — à plusieurs milliers de dollars par incident, un chiffre qui grimpe fortement quand la compromission dure plusieurs mois avant d’être traitée. Ce montant n’est pas une fatalité : il reflète surtout le coût d’un traitement tardif ou incomplet, pas celui d’une intervention rapide et méthodique.
Prévenir une récidive : ce qui doit changer après le nettoyage
Un site piraté une fois présente un risque de récidive nettement supérieur à la moyenne, pour une raison simple : la faille exploitée révèle souvent une pratique de maintenance à corriger durablement, pas seulement un bug ponctuel à réparer.
Trois changements structurels font la différence sur le long terme. D’abord, automatiser les mises à jour des extensions et du cœur du CMS plutôt que de les traiter manuellement de façon irrégulière — la fenêtre d’exploitation moyenne d’une faille récemment divulguée se compte en heures, pas en semaines, ce qui rend la mise à jour manuelle « quand on y pense » structurellement insuffisante. Ensuite, externaliser les sauvegardes vers un espace distinct de l’hébergement principal, avec une fréquence adaptée au rythme de publication du site : une sauvegarde compromise en même temps que le site qu’elle est censée protéger ne sert à rien. Enfin, mettre en place une supervision continue — surveillance de l’intégrité des fichiers, alertes en cas de modification suspecte, journal centralisé des connexions administrateur — plutôt que de compter sur une détection accidentelle par un visiteur ou par Google.
Pour un commerçant qui gère son activité à côté de son site web, ces trois chantiers représentent une charge difficile à tenir manuellement dans la durée. C’est là que l’automatisation de la maintenance prend tout son sens : transformer des tâches répétitives et facilement négligées en processus qui s’exécutent seuls, avec une alerte humaine uniquement quand une décision est réellement nécessaire.
Combien de temps faut-il pour récupérer un site piraté ?
Le nettoyage technique lui-même prend généralement entre quelques heures et deux jours selon l’ampleur de la compromission. La récupération complète du trafic et du référencement prend plus longtemps : 2 à 6 semaines pour un site nettoyé rapidement, jusqu’à 3 à 6 mois si l’infection a duré plusieurs mois avant d’être traitée.
Faut-il payer si l’attaquant demande une rançon ?
Non. Payer une rançon ne garantit ni la restitution des données, ni l’absence de récidive, et finance directement l’activité de l’attaquant. La priorité doit toujours être de restaurer le site à partir d’une sauvegarde saine et de sécuriser la faille d’origine, pas de négocier avec l’auteur de l’intrusion.
Comment savoir si mon site est vraiment nettoyé et pas seulement en apparence ?
Un nettoyage complet se vérifie à trois niveaux : absence d’anomalie dans le rapport de sécurité de Google Search Console, absence de compte administrateur ou de fichier non identifié après comparaison avec une version saine, et absence d’activité suspecte dans les journaux du serveur sur plusieurs jours consécutifs après la remise en ligne. Un site « nettoyé » qui présente à nouveau des signes suspects dans la semaine qui suit indique presque toujours une backdoor non détectée.
Mon site a disparu des résultats Google, comment le faire réapparaître ?
Une fois le nettoyage effectué et la demande de réexamen validée par Google, les pages légitimes du site sont progressivement réindexées au fil des passages des robots de Google, sans action supplémentaire nécessaire dans la majorité des cas. Le délai dépend du volume de pages à recrawler et de la fréquence de crawl habituelle du site.
Dois-je informer mes clients si mon site a été piraté ?
Cela dépend de la nature des données concernées. Si des informations personnelles ou de paiement de vos clients ont pu être exposées, une notification est généralement une obligation légale, pas seulement une bonne pratique. Dans le doute, il vaut mieux se faire confirmer cette obligation par un professionnel plutôt que de supposer qu’elle ne s’applique pas à votre situation.
Une sauvegarde récente suffit-elle à tout récupérer ?
Restaurer une sauvegarde saine permet de retrouver rapidement un site fonctionnel, mais ne corrige pas la faille qui a permis l’intrusion initiale. Sans sécurisation complémentaire, un site restauré depuis une sauvegarde peut être re-compromis via la même vulnérabilité en quelques jours seulement.
Faut-il changer d’hébergeur après un piratage ?
Pas systématiquement. La grande majorité des piratages proviennent d’une faille au niveau de l’application (CMS, extension, mot de passe faible) plutôt que de l’infrastructure d’hébergement elle-même. Un changement d’hébergeur ne se justifie que si l’hébergeur a démontré une négligence avérée — absence de sauvegardes, refus de fournir les journaux, mutualisation mal isolée entre clients.
Combien coûte la récupération d’un site piraté ?
Le coût varie fortement selon l’ampleur de la compromission et la rapidité d’intervention : de quelques centaines d’euros pour un nettoyage rapide et limité à plusieurs milliers d’euros lorsque l’infection est ancienne, étendue à la base de données, et accompagnée d’une pénalité de référencement à corriger sur plusieurs mois. Une intervention rapide reste, dans tous les cas, la variable qui pèse le plus sur la facture finale.
En résumé
Récupérer un site piraté n’a rien d’une fatalité longue et coûteuse si les quatre étapes — isoler, diagnostiquer, nettoyer en sécurisant, puis demander la réévaluation — sont suivies dans l’ordre et sans raccourci. La plupart des récidives et des délais interminables viennent d’un nettoyage fait dans l’urgence, sans diagnostic préalable de la faille d’origine. Si la gestion technique au quotidien — mises à jour, sauvegardes, supervision — vous semble difficile à tenir seul entre deux clients, envisager un accompagnement pour automatiser cette maintenance est souvent plus rentable, sur la durée, qu’une succession d’interventions d’urgence.
Sources : Patchstack — State of WordPress Security 2026, Google Search Central — Suppressions et rapports SafeSearch.
