25mn de lecture
Un site WordPress piraté peut vite devenir une situation stressante : accès administrateur bloqué, pages modifiées, redirections suspectes, chute du trafic ou alertes de sécurité dans le navigateur. 😟 En 2026, les attaques ne concernent plus seulement les mots de passe faibles ou les anciennes versions de WordPress. Les pirates ciblent aussi les plugins WordPress, les thèmes, les scripts tiers et les chaînes de distribution logicielles.
Certaines attaques récentes de type supply chain attack WordPress ont exposé plusieurs centaines de milliers, voire plus d’un million de sites en quelques heures. Heureusement, il existe des solutions simples pour réagir efficacement. 🔐 Dans ce guide, vous allez découvrir comment identifier un WordPress piraté, limiter les dégâts, restaurer votre site grâce aux sauvegardes LWS, puis renforcer sa sécurité pour éviter une nouvelle compromission.
Objectif
👇Dans cet article, nous allons voir que faire lorsqu’un site WordPress est piraté et comment le récupérer étape par étape. 🙂 Vous apprendrez d’abord à reconnaître les principaux signes d’un piratage WordPress : redirections malveillantes, comptes administrateurs inconnus, contenus frauduleux, baisse soudaine du trafic, alertes Google Search Console ou emails de spam envoyés depuis votre domaine. Nous verrons ensuite les causes les plus fréquentes, comme les extensions vulnérables, les thèmes non maintenus, les identifiants faibles, l’API REST exposée ou les attaques par supply chain. Enfin, vous découvrirez les actions prioritaires à effectuer : vérifier les sauvegardes LWS, modifier les accès, isoler le site, scanner les malwares, nettoyer la base de données, réinstaller WordPress si nécessaire, puis appliquer des mesures de prévention.🤗
Pré-requis
Pour appliquer les étapes de ce tutoriel, vous devez idéalement :
- Disposer d’un accès à votre espace d’administration WordPress, à votre LWS Panel, à votre gestionnaire de fichiers ou à un accès FTP. Ces accès permettent de modifier les mots de passe, désactiver des extensions, restaurer une sauvegarde, analyser les fichiers du site ou intervenir sur la base de données.
- Si votre tableau de bord WordPress est inaccessible, vous pouvez tout de même effectuer plusieurs actions depuis votre espace client LWS. Les outils comme WP Manager, les sauvegardes LWS ou les snapshots peuvent vous aider à restaurer un site compromis sans forcément passer par l’interface WordPress classique.
Pourquoi WordPress est piraté ?
WordPress est le CMS le plus utilisé au monde. Cette popularité en fait une cible privilégiée pour les pirates, car une seule faille peut parfois toucher un très grand nombre de sites. Un site WordPress piraté l’est rarement par hasard : les attaquants exploitent généralement une faiblesse précise, comme une extension mal sécurisée, un thème obsolète, une version de WordPress non mise à jour, un mot de passe trop simple ou un fichier sensible laissé accessible sur le serveur.
Le risque a aussi évolué avec les attaques modernes. En 2026, un site peut être compromis même s’il semble correctement maintenu, notamment lorsqu’un plugin légitime est infecté à la source. C’est le principe des supply chain attacks : le pirate ne vise pas directement votre site, mais l’outil que vous utilisez déjà et auquel vous faites confiance.
L’utilisation d’extensions ou d’un thème mal codé
Les extensions WordPress et les thèmes sont souvent indispensables pour ajouter des fonctionnalités à un site : formulaire de contact, paiement en ligne, SEO, sécurité, cache, sauvegarde, constructeur de pages, etc. Mais ils représentent aussi l’une des principales portes d’entrée pour les pirates.
Un plugin mal codé, abandonné par son éditeur ou téléchargé depuis une source non officielle peut contenir une faille exploitable. Dans certains cas, il peut même intégrer du code malveillant dès son installation. C’est pourquoi il est fortement recommandé d’installer uniquement des extensions provenant du dépôt officiel WordPress.org ou d’éditeurs reconnus.
Avant de réinstaller une extension après un piratage WordPress, vérifiez également qu’elle n’a pas été fermée récemment sur WordPress.org, qu’elle reçoit encore des mises à jour et qu’elle est compatible avec votre version de WordPress. Une extension inactive, obsolète ou non maintenue depuis plusieurs mois doit être supprimée.
WordPress n’est pas à jour
Une version obsolète de WordPress peut rendre votre site plus vulnérable. Chaque mise à jour du noyau WordPress corrige généralement des bugs, améliore la compatibilité et peut aussi combler des failles de sécurité. Lorsqu’une vulnérabilité devient publique, les pirates peuvent très vite l’exploiter à grande échelle, notamment à l’aide de robots automatisés.
Le risque ne concerne pas uniquement WordPress lui-même. Vos plugins, vos thèmes et parfois même votre version de PHP doivent aussi être maintenus à jour. Un site utilisant un thème ancien ou une extension non corrigée peut rester exposé, même si le noyau WordPress est récent.
Pour limiter les risques, activez les mises à jour automatiques lorsque cela est possible, surveillez les alertes de sécurité et vérifiez régulièrement que votre site utilise des versions maintenues. Sur un hébergement LWS, vous pouvez également vous appuyer sur WP Manager pour gérer plus facilement votre installation WordPress.
L’utilisation des coordonnées d’accès non sécurisées
Les identifiants faibles restent une cause fréquente de site WordPress piraté. Un mot de passe trop simple, déjà utilisé ailleurs ou facile à deviner peut permettre à un pirate de prendre le contrôle de votre tableau de bord. Les attaques par force brute consistent justement à tester automatiquement des milliers de combinaisons jusqu’à trouver le bon accès.
Évitez absolument les mots de passe comme :
Password
Monentreprise
12345678
Pass
EntrepriseUtilisez plutôt un mot de passe long, unique, composé de lettres, chiffres, symboles et caractères spéciaux. Il est aussi recommandé de modifier le nom d’utilisateur par défaut si vous utilisez encore admin.
La sécurité ne doit pas s’arrêter à WordPress. Protégez également l’accès à votre LWS Panel, à votre compte FTP, à votre base de données et à vos adresses email professionnelles. Après récupération d’un site compromis, tous les mots de passe liés au site doivent être changés, car le pirate a pu récupérer plusieurs accès.
Utilisez plutôt une suite alphanumérique combinée à des caractères et des symboles pour diminuer la chance que cette information soit devinée par les utilisateurs malveillants.
Les supply chain attacks
Les supply chain attacks sont devenues une menace majeure pour WordPress. Contrairement à une attaque classique, le pirate ne cible pas directement votre site. Il compromet un outil que vous utilisez déjà : un plugin WordPress, un thème, une bibliothèque JavaScript, un CDN ou un canal de mise à jour officiel.
Ce type d’attaque est particulièrement dangereux, car le code malveillant peut provenir d’une source considérée comme fiable. Un site parfaitement maintenu peut donc être touché si une extension légitime est compromise à la source. C’est ce qui rend les attaques supply chain WordPress difficiles à détecter pour les utilisateurs.
Pour réduire ce risque, limitez le nombre d’extensions installées, supprimez les plugins inutilisés, privilégiez les éditeurs reconnus et surveillez les alertes publiées par des services spécialisés comme Patchstack ou Wordfence. Si un plugin est fermé temporairement sur WordPress.org, évitez de le réinstaller tant que la situation n’est pas clairement résolue.
L’API REST et les points d’accès exposés
L’API REST WordPress permet à WordPress, aux extensions et à certains services externes d’échanger des données avec votre site. Elle est accessible via une URL du type :
https://votredomaine.fr/wp-json/Dans un fonctionnement normal, cette API est utile. Mais lorsqu’elle est mal configurée, combinée à des extensions vulnérables ou exposée sans contrôle suffisant, elle peut devenir un vecteur d’attaque automatisé. Les robots malveillants testent régulièrement les points d’accès les plus connus de WordPress, comme /wp-json/, wp-login.php ou encore certains fichiers laissés accessibles par erreur.
Cela ne signifie pas qu’il faut désactiver systématiquement l’API REST. En revanche, il est important de limiter les accès inutiles, de maintenir WordPress et ses extensions à jour, et de surveiller les requêtes suspectes.
Un pare-feu applicatif, un plugin de sécurité ou une solution de monitoring comme WPilot peuvent aider à repérer les comportements anormaux.
Besoin d’un hébergement WordPress rapide et de qualité ?
Profitez de l'offre exclusive de LWS : hébergement WordPress en France à -42% ! Démarrez dès maintenant à partir de 3,49€/mois au lieu de 5,99€. Performance 🚀 et support exceptionnel garantis ! 😊
Comment savoir si votre site est piraté ?
De nombreux signes peuvent vous alerter sur un possible site WordPress piraté. Certains sont visibles immédiatement, tandis que d’autres sont plus discrets et peuvent passer inaperçus pendant plusieurs jours.
Vous devez notamment vous méfier si :
- l’accès à l’espace d’administration WordPress devient impossible ;
- des comptes administrateurs inconnus apparaissent dans la liste des utilisateurs ;
- votre site devient lent, instable ou affiche des erreurs inhabituelles ;
- des pages, articles ou fichiers sont créés sans votre autorisation ;
- vos visiteurs sont redirigés vers des sites suspects ou non sécurisés ;
- votre trafic chute brutalement sans raison apparente ;
- votre site apparaît dans Google avec des titres ou descriptions que vous n’avez pas créés ;
- Google Search Console vous envoie une alerte de sécurité ;
- des emails de spam sont envoyés depuis votre domaine ;
- votre hébergeur vous signale une activité suspecte sur votre compte.
Le SEO spam est particulièrement fréquent : les pirates ajoutent des contenus cachés, des liens vers des sites frauduleux ou des pages indexées à votre insu. Même si votre site semble normal côté visiteur, il peut être compromis côté serveur ou dans la base de données.
Quelques types de piratage WordPress les plus courants
Un piratage WordPress peut prendre plusieurs formes. Les attaques les plus courantes sont les suivantes :
- Attaque par force brute : le pirate tente de deviner vos identifiants en testant automatiquement un grand nombre de combinaisons sur la page de connexion.
- Injection SQL : une requête malveillante est injectée dans un formulaire ou une URL afin de modifier, lire ou supprimer des données dans la base de données.
- Redirection malveillante : vos visiteurs sont envoyés vers un autre site, souvent frauduleux, dangereux ou sans rapport avec votre activité.
- Attaque par déni de service, ou DDoS : le serveur reçoit un très grand nombre de requêtes afin de ralentir ou rendre le site inaccessible.
- Cross-Site Scripting, ou XSS : un script malveillant est injecté dans une page et exécuté dans le navigateur des visiteurs.
- Attaque par supply chain : un plugin, un thème ou un service tiers légitime est compromis à la source, puis diffuse du code malveillant aux sites qui l’utilisent.
- Backdoor via fichier obsolète : un ancien fichier oublié, comme
wp-config.bak,info.phpouinstall.php, peut donner des informations sensibles ou faciliter une intrusion.
Ces attaques peuvent avoir des conséquences importantes : perte de données, vol d’informations, baisse de référencement, suspension de l’hébergement, atteinte à l’image de marque ou mise en danger des visiteurs.
Comment réparer un site WordPress piraté ?
Lorsque vous constatez que votre WordPress est piraté, il est important d’agir dans le bon ordre. Une erreur fréquente consiste à supprimer des fichiers au hasard ou à réinstaller WordPress immédiatement. Or, avant toute manipulation, vous devez d’abord vérifier si une sauvegarde saine est disponible.
La restauration d’une sauvegarde antérieure au piratage est souvent la solution la plus rapide, notamment pour les clients LWS qui disposent de sauvegardes quotidiennes accessibles depuis leur espace d’hébergement. Si aucune sauvegarde exploitable n’est disponible, vous pouvez ensuite passer aux actions de nettoyage manuel : changement des identifiants, mise en maintenance, désactivation des extensions, scan des malwares, nettoyage de la base de données et suppression des comptes suspects.
Dans les étapes suivantes, nous allons donc suivre une méthode progressive, en commençant par l’action la plus sûre : vérifier les sauvegardes LWS avant toute intervention technique.
Vous hébergez votre site chez LWS ? Bonne nouvelle : les sauvegardes quotidiennes LWS vous permettent de restaurer un site WordPress piraté en quelques clics depuis votre espace LWS Panel.
Découvrir l’hébergement WordPress LWS
Étape 0 : Vérifier les sauvegardes LWS avant toute manipulation
Avant de modifier des fichiers, supprimer des extensions ou réinstaller WordPress, commencez par vérifier si une sauvegarde antérieure au piratage est disponible. C’est souvent la solution la plus rapide pour récupérer un site WordPress piraté, surtout si vous êtes client LWS.
Depuis votre LWS Panel, rendez-vous dans la section dédiée aux sauvegardes, choisissez une date située avant la compromission, puis lancez la restauration. Les sauvegardes quotidiennes gratuites disponibles sur les formules compatibles permettent de revenir à une version saine du site sans effectuer un nettoyage manuel complet.
Vous pouvez également vérifier si un snapshot WordPress est disponible via WP Manager. Si un snapshot a été créé avant l’attaque, la restauration peut être effectuée beaucoup plus rapidement.
Si la restauration fonctionne, passez ensuite directement aux mesures préventives après récupération : changement des mots de passe, mises à jour, activation de la 2FA, vérification des plugins et surveillance du site.
Étape 1. Modifier les identifiants de connexion à l’espace d’administration
Si un pirate accède à votre espace d’administration et y effectue des tâches, alors il est évident qu’il soit déjà en possession de vos informations d’accès. Tout ce que vous devez faire à présent, c’est de les modifier.
Si vous pouvez accéder à votre tableau de bord d’administration, rendez-vous dans la section « Comptes » pour réinitialiser vos identifiants ou en créer des nouveaux.
Votre accès à l’espace d’administration est impossible ? Bonne nouvelle, sur nos formules Linux standard, vous pouvez accéder à votre tableau de bord depuis votre compte d’hébergement. Pour cela, rendez-vous dans la rubrique « Logiciels » et cliquez sur l’outil « WP Manager ».
Vous serez redirigé vers une nouvelle interface. Cliquez sur le bouton « Connexion » et vous serez automatiquement redirigé vers votre tableau de bord. 
Vous pouvez ainsi réinitialiser vos identifiants. N’hésitez d’utiliser un générateur de mots de passe en ligne pour trouver un mot de passe sécurisé.
Si plusieurs administrateurs existent, vérifiez chaque compte et supprimez ceux que vous ne reconnaissez pas. Modifiez également les accès liés au site : LWS Panel, FTP, base de données, adresses email professionnelles et outils externes connectés à WordPress.
Si vous avez accès à votre tableau de bord WordPress, WPilot, intégré à LWS Tools est une véritable aide au diagnostic pour analyser la configuration du site et repérer d’éventuels comportements suspects.
Étape 2. Mettre WordPress en mode maintenance
Le mode maintenance est souvent utile lorsque vous envisagez d’apporter des modifications à votre site en direct, par exemple la personnalisation de pied de page, l’ajout de menus, la création de pages… Mais lorsque votre site WordPress est piraté, la mise en maintenance peut vous aider à limiter considérablement les dommages.
Tout d’abord, cela empêche vos visiteurs de voir des changements inappropriés apportés à votre site par le pirate. Mais cela protège également les utilisateurs contre le vol de données personnelles.
Cette étape ne répare pas le site à elle seule. Elle sert surtout à isoler temporairement le problème pendant que vous restaurez une sauvegarde, changez les accès, analysez les fichiers et nettoyez les éléments compromis.
Mettre WordPress en maintenance n’est pas difficile. Vous pouvez utiliser notre guide complet étape par étape sur ce processus.
Étape 3. Désactiver tous les plugins et les thèmes
Les failles de sécurité peuvent être dues au fait que vous utilisez des modules mal codés. Mais, sur WordPress, si vous avez des nombreux plugins, découvrir le coupable n’est pas toujours facile. La solution consiste à désinstaller tous les modules et de les réinstaller l’un après l’autre.
Dans votre espace d’administration, rendez-vous dans la section « Extensions › extensions installées ». Désinstallez respectivement toutes les extensions.
Vous pouvez ensuite réinstaller les plugins non défectueux. Lors de la réinstallation, ne remettez pas automatiquement tous les plugins. Vérifiez d’abord leur origine, leur date de dernière mise à jour, leur compatibilité avec votre version de WordPress et leur statut sur WordPress.org.
Cette précaution est essentielle face aux supply chain attacks, car une extension légitime peut devenir dangereuse si son éditeur, son dépôt ou son canal de distribution a été compromis. Supprimez aussi les thèmes inutilisés. Gardez uniquement votre thème actif et un thème WordPress officiel de secours, à jour.
Étape 4. Mettre à jour le noyau de WordPress
D’autres failles de sécurité peuvent également provenir de l’utilisation d’une version obsolète de WordPress. Mettre constamment WordPress à jour peut limiter des nombreuses attaques et éliminer tous les points vulnérables.
Dans tous les cas, vous ne mettrez pas à jour WordPress uniquement pour vous protéger. Cela permet aussi de maintenir les performances de votre site et protéger tous vos utilisateurs.
Avant toute mise à jour importante, assurez-vous d’avoir une sauvegarde récente. Si votre site est hébergé chez LWS, vérifiez d’abord les sauvegardes disponibles depuis votre LWS Panel ou les snapshots accessibles via WP Manager.
Étape 5. Rechercher des logiciels malveillants
Si aucune des solutions précédentes n’a pas aidé à retrouver votre site, il peut être évident que vous ayez des logiciels malwares au sein de votre base de données. Ces logiciels peuvent être ajoutés par exemple, à travers une attaque de type Cross-Site Scripting. Mais cela peut être aussi facilité par l’installation d’une extension ou d’un thème défectueux. Si vous êtes utilisateur moins expérimenté, le diagnostic peut être difficile à faire.
Et même si vous avez des compétences techniques avancées, utilisez toujours des logiciels de scannage de virus pour faire une analyse complète de votre site.
Pour analyser votre site, vous pouvez utiliser des outils connus comme Wordfence Security, qui propose un scanner intégré depuis l’administration WordPress, ou Solid Security, anciennement iThemes Security, qui permet de renforcer les accès et de détecter certains comportements suspects.
Les clients LWS peuvent également s’appuyer sur WPilot, intégré à LWS Tools, pour obtenir une aide au diagnostic et repérer des anomalies liées à la configuration WordPress. L’objectif est d’identifier les fichiers modifiés, les extensions compromises, les scripts suspects et les éventuelles traces laissées par le pirate.
Si un fichier infecté est détecté, ne le supprimez pas sans vérifier son rôle. Certains fichiers peuvent être indispensables au fonctionnement du site.
Étape 6. Nettoyer votre base de données
D’autres attaques de sécurité sont directement adressées à votre base de données. Une attaque par injection SQL est une plus courantes qui peut modifier le contenu de votre base de données.
Ainsi, vous devez toujours nettoyer votre base de données lorsque vous êtes piraté, d’autant plus que cette dernière contient toutes les données de votre site. Cela permet de retirer des scripts qui compromettent vos mesures de sécurité.
Bien qu’elle puisse paraître anodine, le nettoyage de la base de données couvre d’énormes risques d’affecter totalement votre site. Nous vous recommandons donc de faire une sauvegarde avant d’envisager toute possibilité de modification.
Avant toute intervention, effectuez impérativement une sauvegarde complète. Une mauvaise modification dans la base de données peut rendre le site inaccessible ou supprimer du contenu légitime. Si vous n’êtes pas à l’aise avec phpMyAdmin ou les requêtes SQL, il est préférable de passer par un plugin spécialisé, un professionnel ou le support de votre hébergeur.
Besoin d’un hébergement WordPress rapide et de qualité ?
Profitez de l'offre exclusive de LWS : hébergement WordPress en France à -42% ! Démarrez dès maintenant à partir de 3,49€/mois au lieu de 5,99€. Performance 🚀 et support exceptionnel garantis ! 😊
Étape 7. Désactiver l’exécution de PHP
Une des façons de pirater WordPress consiste à exécuter des fichiers PHP directement sur votre site. Ces fichiers peuvent contenir un mauvais code et créer des failles de sécurité. Pour désactiver PHP, accédez au répertoire racine de votre site (public_html) et recherchez le répertoire wp-content.
Créez un fichier .htaccess et ajoutez les règles suivantes :
<Files *.php> deny from all </Files>
Ce code bloque l’exécution des fichiers PHP dans le dossier concerné. Il ne supprime pas les fichiers infectés, mais il limite les risques si un pirate a réussi à déposer un script malveillant dans vos médias. Téléchargez ensuite ce fichier dans le dossier uploads.
Vous pouvez accéder aux fichiers de votre site via un client FTP comme FileZilla ou depuis le gestionnaire de fichiers disponible dans votre espace d’hébergement. Après cette modification, testez votre site pour vérifier que les images, les et les pages principales s’affichent correctement.
Étape 8. Retirer tous les comptes utilisateurs non reconnus
Après un piratage WordPress, vérifiez immédiatement la liste des utilisateurs. Un pirate peut créer un compte administrateur discret afin de revenir plus tard sur votre site, même après un premier nettoyage.
Depuis votre tableau de bord, rendez-vous dans la section « Comptes > Tous les comptes » ou « Utilisateurs > Tous les utilisateurs » selon votre interface.
Supprimez tous les comptes que vous ne reconnaissez pas, en particulier ceux qui disposent d’un rôle Administrateur ou Éditeur.
Profitez-en pour vérifier les adresses email associées aux comptes existants. Si une adresse a été modifiée sans votre accord, remplacez-la immédiatement. Une fois le tri effectué, changez les mots de passe de tous les comptes légitimes et limitez le nombre d’administrateurs au strict nécessaire.
Étape 9. Réinstaller WordPress à nouveau
Si votre site WordPress piraté reste instable malgré les scans, les suppressions de comptes suspects et le nettoyage des fichiers, vous pouvez envisager une réinstallation du noyau WordPress. Cette opération remplace les fichiers principaux de WordPress par une version propre, sans supprimer normalement vos contenus, vos thèmes ou vos extensions.
Depuis l’administration WordPress, rendez-vous dans la section « Tableau de bord > Mises à jour », puis cliquez sur le bouton « Réinstaller la version actuelle ». Avant cette action, vérifiez toujours qu’une sauvegarde récente est disponible.
Si votre tableau de bord est inaccessible, vous pouvez passer par WP Manager depuis votre LWS Panel. Selon votre installation, cet outil peut vous aider à gérer, restaurer ou réinstaller WordPress plus facilement, sans dépendre uniquement de l’accès classique au back-office.
Une fois que WordPress est réinstallé et que les pirates n’ont plus accès à votre site, utilisez d’autres mesures de sécurité pour sécuriser davantage votre site.
Étape 10. Mesures préventives après récupération
Une fois votre site récupéré, l’objectif est d’éviter un nouveau piratage WordPress. Commencez par activer l’authentification à deux facteurs, ou 2FA, avec une extension comme Solid Security ou WP 2FA. Même si un mot de passe est compromis, la connexion restera protégée par une validation supplémentaire.
Désactivez aussi XML-RPC si vous ne l’utilisez pas, car ce point d’accès peut être exploité par des attaques automatisées. Vous pouvez le bloquer avec une extension de sécurité ou via un fichier .htaccess :
<Files xmlrpc.php>
order deny,allow
deny from all
</Files>Si votre site est hébergé chez LWS, utilisez également WPilot pour bénéficier d’une aide au diagnostic, d’un suivi de configuration et d’alertes guidées en cas de comportement suspect. Pour en savoir plus, n’hésitez à consulter notre checklist de sécurité WordPress 2026 pour protéger votre site.
Conclusion
Un WordPress piraté n’est jamais une situation agréable, mais une méthode claire permet de reprendre le contrôle rapidement. 😊 Commencez toujours par vérifier vos sauvegardes LWS, car une restauration saine reste souvent la solution la plus rapide. Ensuite, changez vos accès, isolez le site, désactivez les extensions suspectes, scannez les malwares, nettoyez la base de données et supprimez les comptes inconnus.
Une fois le site récupéré, ne vous arrêtez pas là : activez la 2FA, surveillez vos plugins, limitez XML-RPC et utilisez des outils comme WPilot pour renforcer votre sécurité au quotidien. 🔐 Si malgré toutes ces étapes votre site reste compromis, contactez le support LWS 7j/7 pour obtenir de l’aide.
Besoin d’un hébergement WordPress rapide et de qualité ?
Profitez de l'offre exclusive de LWS : hébergement WordPress en France à -42% ! Démarrez dès maintenant à partir de 3,49€/mois au lieu de 5,99€. Performance 🚀 et support exceptionnel garantis ! 😊
Si vous avez des questions sur la façon de récupérer un site WordPress piraté, utilisez la section Commentaires pour nous écrire ou recevoir l’aide de nos techniciens.
Commentaires (0)