Site WordPress piraté : les gestes des premières heures

Un site WordPress piraté se répare presque toujours, à condition de faire les choses dans le bon ordre : on change les mots de passe, on sauvegarde l'état actuel, on trouve la faille qui a servi d'entrée, on nettoie, puis on demande à Google de lever son avertissement. Supprimer à la hâte le fichier suspect qu'on vient de repérer, sans chercher plus loin, est le geste le plus courant et le plus inutile : la porte dérobée reste en place et le site est réinfecté dans la semaine.

Les signes qui ne trompent pas

Le piratage ne s'annonce pas toujours par une page défigurée. Il est même conçu pour passer inaperçu de son propriétaire le plus longtemps possible. Les symptômes les plus fréquents :

• le site redirige vers une page de casino, de pharmacie ou de faux concours, souvent uniquement sur mobile et uniquement pour les visiteurs qui arrivent depuis Google, ce qui explique que vous ne voyiez rien en tapant l'adresse vous-même ;
• une recherche site:votre-domaine.fr sur Google fait apparaître des centaines de pages en japonais ou en anglais que vous n'avez jamais écrites ;
• le navigateur affiche un écran rouge « Site trompeur » ou « Ce site peut endommager votre ordinateur » ;
• l'hébergeur vous écrit pour signaler un envoi massif d'e-mails, ou suspend carrément le compte ;
• un compte administrateur que personne ne connaît est apparu dans la liste des utilisateurs.

Dans Google Search Console, la rubrique « Sécurité et actions manuelles », puis « Problèmes de sécurité », confirme ou infirme le diagnostic. Si Google a repéré quelque chose, il l'écrit là, avec des exemples d'adresses touchées.

Les cinq premières actions, dans cet ordre

Changer tous les mots de passe, pas seulement celui de WordPress

L'intrus a peut-être récupéré plus qu'un accès à l'administration. Les mots de passe à changer, depuis un ordinateur sain :

1. le compte chez l'hébergeur ;
2. les accès FTP ou SFTP ;
3. le mot de passe de la base de données (il faudra le reporter dans le fichier wp-config.php) ;
4. tous les comptes administrateurs WordPress, et supprimer ceux qu'on ne reconnaît pas ;
5. la boîte e-mail qui sert à récupérer ces accès.

Le dernier est le plus souvent oublié. C'est pourtant par lui qu'on réinitialise tous les autres.

Sauvegarder l'état actuel, même infecté

Cela paraît contre-intuitif. Mais cette copie sert à comprendre ce qui s'est passé, à retrouver un contenu effacé par l'attaque, et à prouver les faits si des données personnelles ont fui. Une copie des fichiers et un export de la base suffisent. Elle ne doit jamais être restaurée telle quelle.

Mettre le site en maintenance

Une page de maintenance protège les visiteurs pendant le nettoyage et évite que Google continue d'indexer les pages de spam. Elle se pose chez la plupart des hébergeurs en quelques minutes, sans toucher au site.

Trouver la porte d'entrée

C'est l'étape qui décide si le nettoyage tiendra. Dans l'immense majorité des cas, l'entrée est une extension pas à jour : plus de neuf failles WordPress sur dix recensées chaque année par Patchstack, une société spécialisée, se trouvent dans les extensions, pas dans WordPress lui-même. Viennent ensuite les mots de passe faibles et les thèmes téléchargés hors des circuits officiels, ces versions « gratuites » de thèmes payants qui arrivent souvent avec leur porte dérobée déjà installée.

Concrètement, on compare la liste des extensions installées à leurs dernières versions, on cherche celles qui ne sont plus maintenues, et on regarde la date de modification des fichiers : les fichiers modifiés le même jour, à la même heure, racontent l'attaque mieux que n'importe quel outil.

Nettoyer pour de bon

Le nettoyage sérieux ne consiste pas à chercher le code malveillant ligne par ligne dans des milliers de fichiers. On procède dans l'autre sens :

• on réinstalle WordPress à partir des fichiers officiels, ce qui écrase toute modification du cœur ;
• on réinstalle chaque extension depuis le dépôt officiel, à sa dernière version, et on supprime celles dont on ne se sert plus ;
• on inspecte le dossier wp-content/uploads, qui ne devrait contenir que des images et des documents : un fichier .php n'a rien à y faire ;
• on relit wp-config.php et le fichier .htaccess, deux cachettes classiques des redirections ;
• dans la base de données, on vérifie l'adresse du site, la liste des utilisateurs et les contenus récemment modifiés.

Restaurer une sauvegarde antérieure est tentant, et parfois c'est la bonne solution. À une condition : qu'elle soit antérieure à l'infection, et pas seulement à son apparition visible. Une porte dérobée peut dormir plusieurs semaines avant de servir. Et une sauvegarde saine restaurée sans corriger la faille d'origine sera piratée de la même façon.

Faire lever l'avertissement de Google

Une fois le site propre, l'écran rouge ne disparaît pas tout seul. Dans Search Console, la page « Problèmes de sécurité » propose un bouton « Demander un examen ». On y explique en quelques lignes ce qui a été fait : faille identifiée, fichiers nettoyés, mots de passe changés. Le réexamen prend en général quelques jours.

Reste la question des pages de spam déjà indexées. Une fois supprimées, elles renvoient une erreur 404 et sortent de l'index d'elles-mêmes, en quelques semaines. Pour accélérer, l'outil « Suppressions » de Search Console les masque temporairement des résultats. Il ne faut surtout pas les rediriger vers l'accueil : Google y verrait une tentative de récupérer leur réputation, qui est mauvaise.

Le volet que tout le monde oublie : les données personnelles

Si votre site collecte des données (formulaire de contact, comptes clients, commandes), le piratage est peut-être aussi une violation de données au sens du RGPD. Quand il existe un risque pour les personnes concernées, l'article 33 du règlement impose de le notifier à la CNIL dans les 72 heures après en avoir pris connaissance, en ligne, sur son site.

Un site vitrine dont le formulaire envoie un e-mail sans rien stocker est rarement dans ce cas. Une boutique qui conserve des adresses et des historiques de commande l'est presque toujours. Dans le doute, la sauvegarde de l'état infecté faite au début permet de vérifier ce qui était accessible. Les obligations générales sont détaillées dans mentions légales, cookies, RGPD.

Les erreurs qui aggravent tout

• Installer trois extensions de sécurité d'un coup. Elles se gênent, ralentissent le site, et aucune ne nettoie une infection déjà en place. Une seule suffit, une fois le site sain.
• Changer d'hébergeur en pensant laisser le problème derrière soi. Le code infecté déménage avec le site.
• Attendre. Chaque jour sous avertissement fait chuter les visites venues de Google, et les adresses e-mail du domaine finissent sur des listes noires, ce qui envoie vos devis dans les courriers indésirables de vos clients.
• Ne rien changer ensuite. Un site nettoyé mais toujours sans mises à jour sera de nouveau piraté. La question n'est pas de savoir si, mais quand.

Éviter que cela recommence

La prévention tient en peu de choses, et c'est précisément pour cela qu'on la néglige :

• mettre à jour WordPress, le thème et les extensions, chaque semaine ou au moins chaque mois, en vérifiant le site après chaque mise à jour ;
• garder le moins d'extensions possible : chaque extension est une porte de plus, et celle qu'on a installée pour un essai il y a deux ans compte autant que les autres ;
• sauvegarder hors de l'hébergement, automatiquement, avec au moins trente jours d'historique pour pouvoir remonter avant une infection discrète ;
• activer la double authentification sur les comptes administrateurs ;
• n'avoir qu'un ou deux administrateurs, et donner aux autres un rôle d'éditeur.

C'est le contenu d'une maintenance de site WordPress : rien de spectaculaire, juste fait régulièrement. Pour un site qui n'a pas besoin des extensions de WordPress, l'autre voie consiste à le construire sur un socle sans extensions à mettre à jour, comme le système que j'utilise pour une partie de mes sites : la surface d'attaque est beaucoup plus petite. La comparaison complète est sur la page WordPress ou site sur mesure.

Questions fréquentes

Mon site a été piraté, vais-je perdre mon référencement ?

Pas durablement si l'on agit vite. Les positions baissent pendant la durée de l'avertissement, puis remontent une fois le site nettoyé et le réexamen accepté. Ce qui laisse des traces, c'est un piratage resté actif pendant des mois : les pages de spam ont alors eu le temps d'abîmer la réputation du domaine, et la remontée prend plus longtemps.

Pourquoi mon site ne redirige-t-il que sur mobile ?

Parce que les pirates le veulent ainsi. Le code malveillant vérifie l'appareil et la provenance du visiteur, et ne redirige que les visiteurs mobiles venus de Google. Le propriétaire, qui tape son adresse directement depuis son ordinateur, ne voit rien. C'est aussi pour cela que les piratages durent si longtemps avant d'être découverts.

Mon hébergeur peut-il nettoyer le site à ma place ?

Certains proposent une analyse, rarement un nettoyage complet. Leur rôle est de protéger leurs serveurs : ils isolent le compte, parfois le suspendent, et vous laissent la réparation. Le contrat d'hébergement précise ce qui est compris.

Faut-il porter plainte ?

Vous pouvez, et c'est utile si le piratage a causé un préjudice financier ou une fuite de données. Le site cybermalveillance.gouv.fr oriente les entreprises victimes et indique les démarches. La plainte ne remplace ni le nettoyage ni, le cas échéant, la notification à la CNIL.