Mon site WordPress est-il piraté ?

De l’extérieur : cet outil, une recherche « site:votredomaine.fr » dans Google pour voir des pages que vous n’avez pas écrites, et une visite depuis un téléphone en navigation privée pour attraper une redirection. De l’intérieur : les comptes qui peuvent installer des extensions, la liste des extensions avec l’onglet « Indispensables » (Must-Use), les fichiers modifiés récemment et les journaux d’accès de l’hébergeur. Le guide « vérifications à faire aujourd’hui » détaille chaque point.

Oui, si le site avait une clé UpdraftCentral active. La porte d’entrée était une clé valide, pas une version ancienne, et la case qui crée cette clé est cochée par défaut quand on relie un site à son compte TeamUpdraft. Mettez à jour vers 1.26.13 (2.26.13 en Premium), supprimez la clé dans les outils avancés d’UpdraftPlus, puis vérifiez les comptes, les extensions et les fichiers : la mise à jour seule ne retire rien de ce qui a déjà été posé.

Une copie complète hors du serveur, puis un changement de tous les mots de passe (WordPress, FTP, base de données, espace d’hébergement, e-mail lié) et des clés secrètes de wp-config.php. Ensuite seulement, le nettoyage : comptes et extensions inconnus, fichiers récents, redirections. Si vous n’avez pas la main, mettez le site en maintenance chez l’hébergeur et écrivez-moi.

Oui, tous, dès qu’il y a un doute, et une deuxième fois après le nettoyage : WordPress (chaque administrateur), FTP ou SFTP, base de données, espace d’hébergement, compte TeamUpdraft, et l’adresse e-mail qui reçoit les réinitialisations. Changez aussi les clés secrètes de wp-config.php : elles ferment toutes les sessions ouvertes, y compris celle de l’attaquant.

Peut-être. Une erreur critique a souvent une cause banale, comme une mise à jour de PHP ou une extension incompatible. Mais la première variante des fausses extensions d’octobre 2026 provoquait une erreur « Undefined constant » sur les pages hors cache. Si le message cite une extension que vous ne connaissez pas, ne corrigez pas son code : déplacez son dossier hors du site et suivez le guide des vérifications.

C’est presque toujours un piratage. Demandez à l’hébergeur les fichiers ou les scripts en cause et les journaux, faites la copie, puis nettoyez ou restaurez une version d’avant. Le site ne doit revenir en ligne qu’une fois les mots de passe changés et les mises à jour faites, sinon il risque d’être suspendu de nouveau.

Seulement si la sauvegarde date d’avant l’intrusion, donc d’avant le 17 octobre pour UpdraftCentral, et si vous fermez la porte juste après. Une sauvegarde de cette date peut encore contenir l’ancienne clé UpdraftCentral : supprimez-la de nouveau, changez les mots de passe et les clés secrètes, mettez tout à jour. Le guide de restauration explique comment choisir la bonne sauvegarde.

Elles aident à détecter (fichiers modifiés, connexions suspectes) et bloquent une partie des attaques, mais une commande signée avec une vraie clé passe pour une commande légitime. Elles ne remplacent ni les mises à jour, ni la suppression des extensions inutiles, ni des mots de passe uniques avec une double authentification.

L’hébergeur entretient le serveur et la version de PHP, pas votre WordPress, vos extensions ni vos comptes. Il peut suspendre un site qui envoie du spam et vous donner les journaux. Le nettoyage reste à votre charge ou à celle de votre prestataire.

Si le site conserve des données personnelles (comptes, commandes, formulaires enregistrés) et qu’une intrusion a pu y accéder, c’est une violation de données : notification à la CNIL sous 72 heures dès qu’il y a un risque pour les personnes, information des personnes si le risque est élevé, et une trace écrite dans votre registre dans tous les cas. Un site vitrine sans aucune donnée enregistrée n’a rien à déclarer.

Il lit la page d’accueil une fois, comme un navigateur, puis au plus neuf petits fichiers publics : le flux RSS quand la page cache sa version, le readme.txt des extensions surveillées, la liste publique des auteurs et les vingt dernières pages et articles publiés. Il demande aussi à WordPress.org si une extension vue sur la page a été retirée pour faille. Il reconnaît WordPress, sa version si elle est affichée, une extension de la liste sous sa version corrigée, une page ajoutée en douce (liens vers des casinos ou des pharmacies, texte dans une langue étrangère au site, date antidatée), des liens cachés, une redirection, un script encodé, des mots de spam, des fichiers .php dans les envois et une erreur critique. Il ne scanne rien, n’envoie aucune charge et garde le résultat dix minutes en cache, pas plus. Il ne voit pas une fausse extension qui ne charge rien sur la page, ni un piratage qui ne touche que certains visiteurs : seule une vérification de l’intérieur tranche.