Site WordPress piraté : guide complet pour réparer, nettoyer et sécuriser en 2026

Étapes pour récupérer un site WordPress piraté

Étape 1 : Mettre le site en maintenance immédiatement

La première chose à faire après avoir découvert un piratage est d’isoler votre site pour éviter que les visiteurs accèdent à du contenu malveillant. Il est essentiel de mettre votre site en mode maintenance afin de prévenir toute propagation de l’attaque.

Comment mettre en maintenance votre site ?

• Via un plugin : si vous avez accès au tableau de bord WordPress, utilisez un plugin comme LightStart ou WP Maintenance Mode pour activer un mode maintenance.

• Si l’accès admin est bloqué : vous pouvez empêcher l’accès extérieur à votre site en modifiant le fichier .htaccess pour autoriser uniquement votre adresse IP à accéder au site. Utilisez le code suivant dans votre fichier .htaccess 

<Files *>
  Order Deny,Allow
  Deny from all
  Allow from [votre IP]
</Files>

Cela permettra de restreindre l’accès au site à vous seul pendant que vous effectuez les actions nécessaires.

Étape 2 : Changer tous les identifiants d’accès

La première action à entreprendre est de changer vos mots de passe pour le tableau de bord WordPress, FTP, et l’accès à votre hébergement.

Utilisez des mots de passe longs et complexes, comprenant des majuscules, des chiffres et des caractères spéciaux.

Supprimez les utilisateurs suspects en accédant à la section « Comptes » de WordPress.

Vous pouvez ensuite créer des comptes avec un identifiant et un mot de passe forts.

En plus, il est impératif de changer tous les mots de passe associés à votre site. Voici les identifiants à modifier dans cet ordre précis :

• Mot de passe de l’espace client LWS :  car il donne accès à tout l’hébergement et à la gestion des sites.
• Mot de passe FTP : Allez dans la section « LWS Panel > Compte(s) FTP > Changer » pour garantir que le pirate ne puisse plus accéder aux fichiers du site.

• Mot de passe de la base de données MySQL : Accédez à la section « LWS Panel > Bases de données MySQL > Modifier » pour changer l’accès à la base de données.

• Clés de salage WordPress : Visitez WordPress.org pour régénérer des clés de salage et mettez-les à jour dans votre fichier wp-config.php. Cela invalidera toutes les sessions en cours et empêchera toute connexion non autorisée.

Étape 3 : vérifier et restaurer les sauvegardes

Si vous disposez d’une sauvegarde récente, restaurez-la immédiatement. Cela permettra de revenir à un état sain du site. Priorisez les sauvegardes créées avant le piratage.

Restauration via LWS Panel

Avec des solutions comme LWS Panel, la restauration est simplifiée grâce à des outils de gestion intégrés. En effet, il suffit d’accéder à votre espace d’hébergement LWS et vous diriger vers la section « Sauvegardes/restaurations ».

Sélectionnez une version récente de votre site, datant d’avant le piratage. Lancez la restauration en quelques clics.

Restauration via WP Manager LWS (recommandée) :

• Allez dans la section « LWS Panel > WP Manager > Sauvegardes ».

• Identifiez la sauvegarde la plus récente avant le piratage (vérifiez la date des premiers signes suspects).
• Cliquez sur le bouton « Restaurer », puis confirmez la restauration.

Si vous ne connaissez pas la date exacte du piratage, il est préférable de restaurer la sauvegarde la plus ancienne disponible et de vérifier si les symptômes de piratage disparaissent.

Étape 4 : scanner et nettoyer le site

Une fois que votre site restauré ou si vous n’avez pas de sauvegarde, effectuez un scan complet pour éliminer les fichiers malveillants.

Utilisez des plugins comme Wordfence, Sucuri, ou des outils proposés par votre hébergeur

Supprimez les fichiers infectés et remplacez ceux corrompus par des versions saines.

Vous pouvez aussi utiliser notre outil de scannage de logiciels malwares et les supprimer depuis votre espace d’hébergement. Pour cela, rendez-vous dans la section « LWS Panel > SAV LWS > Scan Virus/Malware » pour un scan complet de votre compte d’hébergement.

En outre, vous pouvez en plus utiliser WP Manager de LWS pour scanner votre site. Ainsi, ouvrez « LWS Panel > WP Manager > Sécurité > Lancer le scan de sécurité ». Vous aurez deux options :

• Scan Manuel : Scanner l’ensemble des fichiers de votre site.
• Scan WordPress : Scanner uniquement les fichiers du cœur WordPress.

Après le scan, WP Manager listera les fichiers suspects et vous proposera une option pour les supprimer ou les nettoyer.

Nettoyage des fichiers infectés :

• Supprimez tous les fichiers signalés comme malveillants.
• Remplacez les fichiers WordPress core corrompus par les versions officielles téléchargées depuis wordpress.org.
• Désinstallez tous les plugins et thèmes inutilisés (même désactivés, ils peuvent être des points d’entrée pour les hackers).

Étape 5 : mettre à jour WordPress, thèmes et extensions

Les pirates exploitent souvent les failles des versions obsolètes. Après nettoyage, mettez à jour :

• Le noyau de WordPress : voici comment mettre à jour WordPress (manuellement ou automatiquement) ?
• Les extensions et thèmes installés : suivez comment mettre à jour votre thème.
• Désinstallez tous les plugins ou thèmes nulled détectés lors de l’étape précédente.
• Vérifiez la version PHP : Allez dans la section « Outils > Santé du site > Informations > Configuration du serveur » pour vous assurer que vous utilisez PHP 8.2 ou une version plus récente.

Si votre version PHP est inférieure à 8.2, mettez-la à jour depuis la section « LWS Panel > Configuration PHP ».

En plus, supprimez les plugins ou thèmes inutilisés, car ils peuvent représenter des points d’entrée pour les hackers. Les mises à jour régulières sont essentielles pour éviter les vulnérabilités.

Sécuriser durablement votre site après un piratage

Une fois que vous avez récupéré votre site WordPress piraté, il est crucial de renforcer la sécurité pour éviter que cela ne se reproduise. Les pirates ont souvent un accès persistant à votre site après un piratage, ce qui signifie que des mesures de protection post-récupération sont nécessaires pour assurer la sécurité de votre site sur le long terme.

Voici notre checklist complète pour sécuriser durablement WordPress après un piratage :

1. Installer un plugin de sécurité

Installez un plugin de sécurité fiable comme Solid Security (anciennement iThemes Security) ou Wordfence.

Ces plugins ajoutent des couches de sécurité importantes, telles que :

• Protection contre les attaques par brute force
• Surveillance des fichiers système
• Bloquage des adresses IP suspectes
• Sécurisation du tableau de bord wp-admin

Ces plugins permettent également de configurer des alertes en cas de tentatives d’attaque ou de connexions suspectes.

2. Activer SSL/HTTPS

La sécurisation des échanges entre les utilisateurs et votre site est essentielle. Activez un certificat SSL pour assurer que toutes les données échangées sont cryptées et sécurisées.

• Si vous êtes hébergé chez LWS, vous bénéficiez d’un certificat SSL gratuit via la section « LWS Panel > Sécurité > Certificat SSL Let’s Encrypt ».

• Cela permettra à votre site d’afficher le « cadenas vert » dans les navigateurs et assurera vos visiteurs qu’ils sont protégés.

3. Activer le pare-feu LWS

Utilisez le pare-feu intégré dans LWS Panel pour protéger votre site contre les attaques externes. Le pare-feu LWS Protect est une solution efficace pour empêcher l’accès non autorisé et bloquer les tentatives d’intrusion avant même qu’elles n’atteignent votre site.

Allez dans la section « cPanel > Sécurité > LWS Protect » pour activer cette protection supplémentaire.

4. Désactiver xmlrpc.php

Le fichier xmlrpc.php est une API ancienne qui, bien qu’utilisée par des applications mobiles WordPress, est souvent exploitée par les pirates pour lancer des attaques par brute force. Si vous n’utilisez pas d’application mobile WordPress, désactivez ce fichier pour renforcer la sécurité de votre site.

Ajoutez ce code dans votre fichier .htaccess :

<Files xmlrpc.php>
  Order Deny,Allow
  Deny from all
</Files>

Cette méthode est simple et empêche les pirates d’exploiter ce fichier pour des attaques par brute force.

5. Activer l’authentification à deux facteurs (2FA)

L’authentification à deux facteurs (2FA) ajoute une couche supplémentaire de sécurité, en exigeant une confirmation supplémentaire (comme un code envoyé par SMS ou généré par une application mobile) en plus du mot de passe.

• Installez un plugin comme WP 2FA (disponible gratuitement sur WordPress.org) et appliquez-le à tous les comptes administrateurs.

• Cela garantit que même si un pirate connaît votre mot de passe, il ne pourra pas accéder à votre site sans le deuxième facteur.

6. Mettre en place un monitoring actif

Le monitoring actif vous permet de surveiller en temps réel la sécurité de votre site et de détecter toute activité suspecte dès qu’elle se produit.

• Wordfence peut vous envoyer des alertes par email en cas de connexion suspecte ou de modification non autorisée.
• Google Search Console permet de configurer des alertes par email pour tout problème de sécurité détecté par Google.

Utilisez également un service comme UptimeRobot pour être immédiatement averti si votre site tombe, ce qui peut être un signe précoce d’un piratage. Cette étape est cruciale pour renforcer la sécurité de votre site WordPress, surtout avec l’augmentation des attaques automatisées par credential stuffing et brute force.

7. Vérification régulière de la sécurité

Planifiez des scans réguliers avec des outils comme Wordfence ou Solid Security pour identifier tout fichier suspect. Mettez à jour régulièrement WordPress, les plugins et les thèmes afin de corriger rapidement toute vulnérabilité connue.

Comment récupérer votre site WordPress piraté via LWS ?

Outils disponibles via LWS Panel et WP Manager

Voici par exemple comment vous pouvez procéder pour certaines de ces méthodes :

• Analyser et nettoyer les fichiers : profitez des outils de sécurité intégrés à LWS, pour scanner et nettoyer automatiquement les fichiers infectés.

Demander notre assistance ou utiliser nos outils spécifiques

WP Manager LWS est un outil disponible sur nos hébergements Linux Standards, simplifie la gestion de votre site piraté en permettant une restauration rapide et sécurisée. Il vous permet de scanner votre site, détecter les virus et les supprimer de votre site.

Rendez-vous dans l’onglet « Sécurité » sur WP Manager.

Défilez vers le bas et cliquez sur le bouton « Lancer le scan de sécurité ».

Si votre site est hébergé sur nos serveurs cPanel, vous pouvez aussi utiliser Softaculous, pour activer un Pare-feu ou utiliser notre outil de sécurité LWS Protect.

Si les manipulations deviennent complexes, n’hésitez pas à contacter l’assistance technique. Nos experts peuvent vous guider pas à pas.

Besoin d’un hébergeur pour votre site ?

Découvrez l'offre exclusive de LWS : hébergement web à -63% ! Commencez dès maintenant à seulement 1,49€/mois au lieu de 3,99€. Profitez de performances optimales et d'un support exceptionnel. 🔥🚀

Découvrir l’offre

Vérification du bon fonctionnement

Après avoir récupéré et sécurisé votre site WordPress, il est essentiel de procéder à une vérification minutieuse pour vous assurer que le piratage est totalement résolu et que le site fonctionne correctement. Voici les étapes à suivre pour valider que votre site est revenu à son état normal et qu’il est à l’abri de toute nouvelle attaque.

1. Accéder au site en navigation privée

Testez l’accès au site en mode navigation privée dans votre navigateur. Cela permet de vérifier qu’il n’y a pas de contenu malveillant ou de redirections invisibles pour les visiteurs.

• Vérifiez si les pages se chargent correctement et si le site n’affiche pas de messages d’erreur ou d’alerte.
• Si vous ne voyez pas de contenu étrange, vous pouvez considérer cette étape comme validée.

2. Google Search Console

Accédez à Google Search Console pour vérifier que le site n’est plus listé comme dangereux. Google peut placer votre site dans une liste noire après un piratage, ce qui empêche les visiteurs d’y accéder via Chrome.

• Allez dans la section « Sécurité et actions manuelles > Problèmes de sécurité » et assurez-vous qu’aucune alerte n’est active.

• Si des alertes persistent, assurez-vous que toutes les infections ont été complètement supprimées avant de demander un examen de votre site.

3. Wordfence ou Solid Security

Effectuez un dernier scan de sécurité pour vérifier que tous les fichiers sont propres et qu’aucune menace n’est présente.

• Si vous utilisez Wordfence ou Solid Security, effectuez un scan complet du site pour confirmer qu’aucune infection résiduelle ne subsiste.
• Assurez-vous que le plugin de sécurité n’indique aucune menace active.

4. Liste des comptes administrateurs

Accédez à la section « wp-admin > Comptes » pour vérifier qu’il n’y a plus de comptes administrateurs inconnus ou suspects.

• Si des comptes ont été ajoutés par les pirates, assurez-vous de les supprimer et de garder un contrôle strict sur les utilisateurs.

5. Mises à jour de WordPress et des plugins

Allez dans la section « wp-admin > Tableau de bord > Mises à jour » et assurez-vous que :

• WordPress, les thèmes, et les plugins sont tous à jour.
• Supprimez tous les plugins ou thèmes inutilisés ou obsolètes qui pourraient encore représenter des points d’entrée pour les pirates.

6. Outils de santé du site

Allez dans la section « Outils > Santé du site » pour vérifier qu’il n’y a pas d’avertissements critiques concernant les performances ou la sécurité de votre installation WordPress.

Erreurs fréquentes après piratage

Après avoir récupéré un site WordPress piraté, certaines erreurs sont fréquemment commises par les utilisateurs, qui peuvent entraîner une nouvelle vulnérabilité ou un échec dans le processus de récupération. Voici les erreurs courantes à éviter pour garantir une récupération complète et sécurisée de votre site.

1. Restaurer une sauvegarde sans changer les mots de passe avant

• Problème : Le pirate peut se reconnecter avec les mêmes identifiants si vous n’avez pas modifié les mots de passe avant la restauration.
• Solution : Changez tous les mots de passe (LWS, FTP, base de données, admin WordPress) avant de restaurer une sauvegarde pour garantir que les accès non autorisés soient bloqués.

2. Demander l’examen Google trop tôt (avant nettoyage complet)

• Problème : Si vous demandez l’examen de Google Search Console alors que votre site n’est pas entièrement nettoyé, la demande sera rejetée et vous risquez de voir la procédure prolongée.
• Solution : Assurez-vous que votre site est entièrement nettoyé de tout malware et que Wordfence ou Solid Security n’indique plus aucune menace avant de soumettre la demande.

3. Conserver les plugins nulled après nettoyage

• Problème : Les plugins nulled (versions piratées) sont souvent utilisés par les pirates pour accéder à votre site.
• Solution : Désinstallez complètement tous les plugins nulled et remplacez-les par des versions légitimes et mises à jour.

4. Ne pas changer les clés de salage WordPress

• Problème : Si les clés de salage ne sont pas régénérées, les pirates peuvent garder l’accès à votre site via des sessions actives.
• Solution : Régénérez les clés de salage viaWordPress.org et mettez-les à jour dans le fichier wp-config.php pour invalider toutes les sessions existantes.

5. Réinstaller les mêmes plugins vulnérables

• Problème : Réinstaller un plugin vulnérable sans vérifier s’il possède une CVE (vulnérabilité connue) expose à un nouveau piratage.
• Solution : Vérifiez sur des bases de données comme Patchstack ou wpscan.com si un plugin possède une CVE avant de le réinstaller.

 FAQ

La section FAQ est essentielle pour répondre aux questions les plus courantes des utilisateurs tout en optimisant l’article pour le SEO. En 2026, il est primordial d’inclure un schema FAQ en JSON-LD afin d’augmenter vos chances de capter des featured snippets dans les résultats de recherche Google.

Voici les questions que nous allons couvrir dans cette section, qui permettront de répondre aux requêtes longue traîne fréquemment recherchées par les utilisateurs ayant un site WordPress piraté.

Comment savoir si mon WordPress a été piraté sans accès à l’administration ?

Si vous n’avez pas accès à votre tableau de bord WordPress, vérifiez les symptômes visibles comme des redirections suspectes, un contenu étrange ou des alertes de Google. Si vous recevez un email de suspension de votre hébergeur ou si votre site affiche une bannière « Site dangereux », il est probable que votre site soit piraté.

Combien de temps faut-il pour nettoyer un WordPress piraté ?

La durée dépend de la gravité du piratage. Si vous disposez d’une sauvegarde récente et fonctionnelle, cela peut prendre entre quelques heures et un jour. Cependant, si aucune sauvegarde n’est disponible, il peut être nécessaire de passer plusieurs jours à scanner, nettoyer et restaurer les fichiers.

Mon hébergeur LWS peut-il m’aider à récupérer un site piraté ?

Oui, LWS offre des outils puissants comme WP Manager, LWS Panel, et des services de support technique 7j/7 pour vous assister dans la restauration de votre site. LWS propose également des scans antivirus et des options de récupération à partir de sauvegardes.

Dois-je recréer mon site entièrement après un piratage ?

Non, vous ne devriez pas avoir à recréer complètement votre site. Suivez les étapes de récupération comme la restauration d’une sauvegarde saine, le nettoyage des fichiers infectés et la mise à jour de WordPress, des thèmes et des plugins pour remettre votre site en ligne.

Comment éviter qu’un WordPress soit à nouveau piraté après nettoyage ?

Pour éviter une récidive, installez des plugins de sécurité comme Solid Security ou Wordfence, activez l’authentification à deux facteurs (2FA), mettez à jour régulièrement votre site, et utilisez un pare-feu pour bloquer les attaques.

Un site WordPress piraté peut-il affecter le référencement Google durablement ?

Oui, si Google détecte que votre site est compromis, il peut le blacklisté, ce qui affectera négativement votre référencement. Cependant, une fois le site nettoyé et réexaminé par Google, le trafic peut être restauré. Il est essentiel de demander un examen via Google Search Console après avoir résolu tous les problèmes.

Besoin d’un hébergement WordPress rapide et de qualité ?

Profitez de l'offre exclusive de LWS : hébergement WordPress en France à -42% ! Démarrez dès maintenant à partir de 3,49€/mois au lieu de 5,99€. Performance 🚀 et support exceptionnel garantis ! 😊

Découvrir l’offre