Restaurer un site WordPress après un piratage, sans ramener le problème

Quand un site WordPress est piraté, le premier réflexe est de restaurer la dernière sauvegarde. C'est souvent une erreur : prise trop tard, elle contient déjà la porte dérobée ; restaurée sans fermer la faille, le site retombe en quelques jours. Ce guide suit l'ordre recommandé par WordPress.org, par Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, et par les équipes de Sucuri, avec le cas particulier des clés UpdraftCentral volées en octobre 2026.

Avant de restaurer : quatre gestes

Mettre le site hors ligne. Cybermalveillance.gouv.fr conseille de déconnecter d'abord ce qui est touché : demandez à votre hébergeur de passer le site en maintenance, ou d'en bloquer l'accès, le temps du nettoyage.

Conserver les preuves. Journaux du serveur, captures d'écran, date et heure de ce que vous avez vu, dernières actions faites sur le site : notez tout. Ces éléments servent à dater l'intrusion, et à porter plainte si vous le décidez.

Faire une copie de l'état actuel. Fichiers et base de données, hors du serveur, avant de toucher à quoi que ce soit. C'est une preuve, pas un point de restauration.

Changer les accès. Mots de passe des administrateurs, du FTP ou SFTP, de la base de données et de l'espace d'hébergement, puis les clés secrètes de wp-config.php, qui déconnectent tout le monde. WordPress.org demande de le refaire après le nettoyage.

Choisir la bonne sauvegarde

Dater l'intrusion. C'est la question qui décide de tout. Quatre indices aident : la date de création des comptes inconnus, la date des fichiers modifiés récemment (le gestionnaire de fichiers de l'hébergeur les trie par date), la première requête suspecte dans les journaux d'accès, et la date d'apparition des pages de spam dans la Search Console.

Les dates connues de l'automne 2026. Pour UpdraftCentral, prenez une sauvegarde d'avant le 17 octobre ; pour la campagne qui passe par Ninja Forms, d'avant le 4 octobre ; pour Bricksforge, d'avant le 7 octobre ; pour la faille du cœur exploitée depuis le 22 septembre, d'avant cette date si le site n'avait pas le correctif.

Vérifier la sauvegarde avant de l'utiliser. Ouvrez-la et regardez la liste des extensions et le dossier wp-content/uploads : une sauvegarde qui contient déjà l'extension suspecte ou un fichier .php dans les envois ne vous sert à rien.

Si aucune sauvegarde n'est assez ancienne. Il faut nettoyer sur place : c'est plus long, et la suite s'applique quand même.

Restaurer proprement

Le cœur de WordPress, à neuf. WordPress.org conseille de réinstaller la même version de WordPress par FTP ou SFTP, pas avec le bouton de réinstallation de l'administration, qui n'écrase que les fichiers existants et laisse en place les fichiers ajoutés. Les dossiers wp-admin et wp-includes se remplacent entièrement par une copie propre.

Les extensions et le thème, depuis leur source. Sucuri recommande de les réinstaller depuis wordpress.org ou depuis le site de l'éditeur, plutôt que de les reprendre de la sauvegarde. Ne remplacez pas à l'aveugle le dossier wp-content ni le fichier wp-config.php : ils contiennent vos contenus et vos réglages.

Les fichiers à relire. WordPress.org cite .htaccess et index.php, et dans le thème header.php, footer.php et functions.php : c'est là que se cachent le plus souvent les redirections. Dans la base de données, Sucuri conseille de chercher eval, base64_decode, gzinflate et shell_exec, qui n'ont rien à faire dans un contenu de page.

Juste après : fermer la porte

Mettre à jour immédiatement. Une sauvegarde ramène aussi les anciennes versions, donc la faille par laquelle l'attaquant est entré. WordPress (7.1.3, ou la dernière version de votre branche), le thème, toutes les extensions et la version de PHP chez l'hébergeur, avant de remettre le site en ligne.

Supprimer de nouveau la clé UpdraftCentral. Une sauvegarde d'avant le 17 octobre contient encore l'ancienne clé : WP Staging conseille de la supprimer juste après la restauration, puis de refaire le changement des mots de passe et des clés secrètes. La procédure est dans mon guide UpdraftPlus.

Changer les mots de passe une seconde fois. Tous, base de données comprise, comme le demande WordPress.org.

Lever les alertes. Dans la Search Console, une fois le site propre, demandez un examen depuis le rapport Problèmes de sécurité. Si l'hébergeur avait suspendu le site, envoyez-lui ce qui a été fait.

Après la remise en ligne

Comprendre comment l'attaquant est entré. Sans réponse à cette question, la même porte reste ouverte : extension en retard, mot de passe réutilisé, clé UpdraftCentral, compte FTP oublié. WordPress.org place cette analyse juste avant le renforcement du site.

Une routine. Une sauvegarde hors du serveur chaque semaine, vérifiée de temps en temps par une vraie restauration sur une copie ; les mises à jour chaque mois ; la double authentification pour chaque administrateur ; les extensions inutilisées supprimées.

Les démarches. Si le site garde des données personnelles, la notification à la CNIL se fait sous 72 heures dès qu'il y a un risque pour les personnes. La fiche de Cybermalveillance.gouv.fr rappelle que la CNIL considère une défiguration de site comme une violation de données personnelles, et conseille aussi de porter plainte et de vous faire aider par des professionnels.

Questions fréquentes

Ma dernière sauvegarde date d'après le piratage : que faire ?
Nettoyer sur place, avec la même méthode : cœur réinstallé à neuf, extensions et thème depuis leur source, comptes et fichiers inconnus supprimés, base de données relue. C'est plus long qu'une restauration, et le résultat dépend de ce qu'on a su trouver : une nouvelle vérification dans les semaines qui suivent est indispensable.

Combien de temps faut-il ?
Pour un site vitrine avec une bonne sauvegarde, comptez une demi-journée de travail. Pour une boutique, ou un site sans sauvegarde exploitable, davantage.

Combien coûte une restauration par un professionnel ?
Chez moi, la mise à jour d'un site commence à 190 € ; le nettoyage et la restauration se chiffrent après un diagnostic gratuit, parce qu'ils dépendent de l'état du site et des sauvegardes. Le détail est sur la page de l'intervention à distance.

Faut-il prévenir mes clients ?
Si leurs données ont pu être lues et que le risque pour eux est élevé, oui : c'est une obligation, en plus de la notification à la CNIL. Un site vitrine sans aucune donnée enregistrée n'a rien à déclarer.

Besoin d'un coup de main ?

Commencez par vérifier votre site gratuitement, puis suivez les vérifications à faire aujourd'hui. Si le résultat vous inquiète, ou si vous ne savez pas quelle sauvegarde prendre, : je regarde sous 24 heures et je vous dis ce que je vois, gratuitement. Si vous me confiez la restauration, je vous écris ce qui a été fait, étape par étape.

Sources : FAQ « My site was hacked », WordPress.org, fiche réflexe sur la défiguration de site, Cybermalveillance.gouv.fr, 7 étapes pour retirer un logiciel malveillant de WordPress, Sucuri, nettoyer un WordPress piraté, Sucuri, incident UpdraftCentral, guide de WP Staging, incident d'octobre 2026, TeamUpdraft, notifier une violation de données personnelles, CNIL.