Si votre site WordPress a été piraté et affiche désormais du spam pharmaceutique, redirige les visiteurs vers des pages douteuses ou a été signalé par Google comme trompeur, commencez ici plutôt que par une extension. Le réflexe habituel consiste à installer un scanner de sécurité et à cliquer sur « nettoyer ». Cela supprime le symptôme visible et laisse la porte d’entrée ouverte, ce qui explique pourquoi tant de sites sont réinfectés en quelques jours et pourquoi leurs propriétaires en concluent que WordPress serait simplement peu sûr.

Il ne l’est pas. La quasi-totalité des compromissions passe par une extension non mise à jour, et la quasi-totalité des nettoyages ratés vient de ce qu’une personne a supprimé le logiciel malveillant sans supprimer l’accès.

Première heure : Mettez le site hors ligne ou en mode maintenance. Changez le mot de passe du panneau d’hébergement, celui de la base de données, tous les mots de passe administrateur et les identifiants FTP ou SSH. Ne restaurez pas encore de sauvegarde et ne supprimez rien pour l’instant. Vous avez besoin de l’état actuel pour comprendre comment ils sont entrés, et une restauration détruit ces traces tout en réinstallant très probablement la même faille.

Que faire dans la première heure

L’ordre compte ici, et les erreurs courantes viennent toutes de l’impatience.

Coupez le site. Une page de maintenance ou un blocage temporaire au niveau de l’hébergement ou du CDN protège les visiteurs et empêche le site de distribuer du logiciel malveillant pendant que vous travaillez. Si le site sert des redirections malveillantes, chaque heure supplémentaire en ligne aggrave l’atteinte à la réputation.

Changez tous les identifiants, pas seulement le mot de passe administrateur de WordPress. Cela veut dire le panneau d’hébergement, l’utilisateur de la base de données, les clés FTP et SSH, ainsi que toutes les clés d’API stockées dans la configuration du site. Les attaquants créent régulièrement un second compte administrateur ou laissent une clé derrière eux, si bien que changer un seul mot de passe ne sert à rien.

Préservez les preuves avant de modifier quoi que ce soit. Faites une copie complète des fichiers et de la base de données dans leur état actuel, puis téléchargez les journaux d’accès du serveur couvrant au moins les trente derniers jours. Ce sont ces journaux qui vous donneront le point d’entrée, et beaucoup d’hébergeurs les font tourner en quelques jours.

Ensuite seulement, cherchez à comprendre ce qui s’est passé.

Comment votre site WordPress a été piraté : trouver le point d’entrée

Nettoyer sans diagnostiquer, voilà pourquoi la réinfection est si fréquente. Quatre vérifications suffisent à trouver la cause dans la plupart des cas.

Comparez les versions des extensions et du thème aux vulnérabilités connues. Les extensions non mises à jour arrivent très largement en tête des causes. Notez chaque extension, sa version, et l’existence éventuelle d’une version de sécurité que vous n’avez pas appliquée. Soyez particulièrement attentif à tout ce dont la licence a expiré : les extensions payantes cessent de recevoir des mises à jour dès la fin de la licence, tout en continuant d’apparaître installées et actives.

Lisez les journaux d’accès autour des premiers signes de problème. Vous cherchez des requêtes POST vers des chemins inhabituels, des appels à des fichiers qui ne devraient pas exister, et une rafale d’activité venant d’une seule adresse peu avant la défiguration. C’est là que se trouve généralement la réponse.

Cherchez les fichiers qui n’ont rien à faire là. Des fichiers PHP récemment modifiés dans le répertoire des téléversements sont un signal fort, car rien ne devrait jamais s’exécuter à cet endroit. Il en va de même pour les fichiers portant un nom conçu pour paraître plausible, ainsi que pour les modifications de wp-config.php ou de .htaccess.

Vérifiez les comptes administrateur ajoutés et les tâches planifiées. Les attaquants créent souvent un utilisateur qui leur permettra de revenir, et enregistrent une tâche planifiée qui réinstalle la charge utile après votre nettoyage. Un site qui se réinfecte à intervalles réguliers cache presque toujours une tâche planifiée que personne n’a cherchée.

Pourquoi « il suffit de restaurer une sauvegarde » échoue souvent

C’est le premier conseil que tout le monde reçoit, et il est juste environ une fois sur trois.

La restauration fonctionne quand vous connaissez la date de la compromission, que vous disposez d’une sauvegarde antérieure et que vous avez identifié puis corrigé la faille. Sans ces trois conditions, elle échoue de manière prévisible. Restaurez une sauvegarde de la semaine dernière et vous restaurez peut-être un site déjà compromis depuis quinze jours, simplement resté discret. Restaurez sans corriger l’extension vulnérable et vous venez de reconstruire la porte par laquelle on vous a mis dehors.

Il y a aussi le prix d’une restauration. Sur une boutique ou un site d’adhésion, revenir en arrière signifie perdre chaque commande, chaque inscription et chaque commentaire depuis la sauvegarde. C’est souvent inacceptable, ce qui pousse à nettoyer le site en production plutôt qu’à le remplacer.

L’approche fiable est la reconstruction plutôt que la restauration. Installez le cœur de WordPress à neuf, installez des copies propres de chaque extension et de chaque thème depuis leurs sources officielles et non depuis le site compromis, et ne reprenez que le répertoire des téléversements et la base de données, tous deux inspectés au préalable. Cela garantit que le code exécutable est propre, ce qu’un nettoyage fichier par fichier n’atteint jamais tout à fait.

Nettoyer la base de données

C’est dans la base de données que les nettoyages incomplets laissent des restes, parce que les scanners se concentrent sur les fichiers.

Le contenu injecté apparaît généralement dans le contenu des articles sous forme de liens cachés ou d’iframes, dans la table des options où sont stockés les scripts de redirection, et dans les métadonnées des utilisateurs. Cherchez des balises script, des blocs encodés en base64 et des domaines inconnus dans les tables de contenu et d’options.

Vérifiez la table des utilisateurs à la main. Passez en revue chaque compte disposant des droits d’administrateur, confirmez que vous les reconnaissez tous, puis comparez les dates d’inscription à vos propres registres.

Regardez les tâches planifiées, qui dans WordPress se trouvent également dans la table des options. Une entrée pointant vers une fonction que vous ne reconnaissez pas, c’est ainsi qu’un site se réinfecte tout seul, à échéance régulière, longtemps après le nettoyage des fichiers.

Soyez particulièrement attentif à tout ce qui est encodé. Les attaquants brouillent volontairement leurs charges utiles pour qu’une recherche de chaînes évidentes passe à côté ; décodez donc tout ce qui paraît suspect au lieu de supposer qu’une extension légitime fait simplement quelque chose d’astucieux.

Faire lever les avertissements et récupérer son référencement

Le nettoyage ne marque pas la fin, car les avertissements persistent tant que vous n’avez pas demandé un examen.

Si Google a signalé le site, le rapport sur les problèmes de sécurité dans la Search Console indique ce qui a été détecté et permet de demander un examen une fois la correction faite. Ne demandez cet examen qu’une fois le site réellement propre, car un examen refusé allonge la procédure.

Vérifiez si le domaine s’est retrouvé sur les listes de blocage utilisées par les navigateurs et les fournisseurs de messagerie. Être propre ne suffit pas en soi : chacune tient sa propre liste et impose sa propre procédure de retrait.

Regardez ensuite les dégâts. La visibilité dans les moteurs se rétablit généralement une fois les avertissements levés, mais un site qui a servi des pages de spam pendant des semaines a pu voir ces pages indexées. Cherchez les URL indexées qui ne vous ont jamais appartenu, faites-les retirer et vérifiez que les versions propres sont bien explorées. Notre guide de l’audit de sécurité de site web détaille davantage ces étapes de vérification.

Ce que coûte une remise en état professionnelle

Les prix reflètent les tarifs britanniques habituels et varient selon la durée pendant laquelle la compromission est passée inaperçue.

Un nettoyage simple sur un petit site détecté rapidement, avec une cause connue, revient généralement à 400 £ à 1 200 £ et prend un ou deux jours. C’est le cas de figure courant quand quelqu’un s’en aperçoit dans la semaine.

Une réponse à incident complète, à savoir l’analyse des journaux pour établir le point d’entrée et la chronologie, la reconstruction propre, l’inspection de la base de données, le renouvellement des identifiants, le durcissement et le retrait des listes de blocage, revient en général à 1 500 £ à 5 000 £. C’est ce à quoi doit s’attendre une boutique ou un site détenant des données clients, car il faut aussi établir si des données ont été consultées.

Les sites compromis pendant des mois, ou qui hébergent plusieurs sites sur le même compte, coûtent davantage : la contamination croisée entre sites en hébergement mutualisé est fréquente et chacun doit être vérifié.

Si des données personnelles ont pu être consultées, des obligations s’ajoutent au nettoyage technique. Le RGPD britannique impose de notifier l’ICO dans les 72 heures suivant la prise de connaissance d’une violation à déclarer, et ce délai court à partir de la prise de connaissance, non de la fin du nettoyage. Prenez conseil tôt plutôt qu’une fois le rangement terminé. Notre guide de la conformité technique au RGPD traite le versant technique de la question.

S’assurer que cela ne se reproduira pas

Une remise en état sans durcissement ne fait que remettre le compteur à zéro.

La discipline de mise à jour est l’essentiel. L’immense majorité des compromissions exploite une faille pour laquelle un correctif existe déjà : la réponse tient donc à une routine qui applique rapidement les versions de sécurité et à une règle qui écarte tout ce qui n’est plus maintenu. Les extensions payantes dont la licence a expiré doivent être renouvelées ou remplacées, jamais laissées en place.

Réduisez ce qui peut s’exécuter. Rien dans le répertoire des téléversements ne doit jamais tourner en PHP, l’édition de fichiers depuis l’interface d’administration doit être désactivée, et les comptes administrateur doivent être peu nombreux et nominatifs.

Ajoutez une authentification multifacteur sur chaque compte administrateur et limitez le débit sur le point d’entrée de connexion. La plupart des attaques sur les identifiants sont automatisées et cessent d’être viables dès qu’un second facteur existe.

Enfin, sauvegardez correctement et testez vos sauvegardes. Une sauvegarde que vous n’avez jamais restaurée n’est qu’une hypothèse. Conservez plusieurs générations, car la plus récente contient peut-être déjà la compromission. Notre check-list de durcissement de la sécurité WordPress expose la configuration complète, et notre guide d’audit de performance WordPress traite de la discipline sur les extensions, qui réduit la surface d’attaque en prime.

Faites nettoyer le site correctement

Mecanik réalise des audits de sécurité WordPress et des remises en état après incident : établir comment la compromission a eu lieu, reconstruire proprement plutôt que rustiner par-dessus, inspecter la base de données et durcir le site pour que la même voie se referme derrière vous.

Nous travaillons à partir des journaux du serveur plutôt que de la sortie d’un scanner, parce qu’un scanner vous dit ce qu’il reconnaît là où les journaux vous disent ce qui s’est réellement passé. Lorsque le site traite des données clients, nous vous dirons aussi clairement si vous semblez face à une violation à déclarer, plutôt que de vous laisser le découvrir plus tard. La maintenance continue passe par notre service de développement WordPress , généralement moins coûteux qu’un second incident.

Si votre site est compromis en ce moment même, mettez-le hors ligne, changez les identifiants, conservez les journaux et contactez-nous.

Articles en relation: OWASP Top 10 expliqué pour les chefs d’entreprise , Checklist d’audit de sécurité serveur : ce qui est vérifié et Guide d’audit de sécurité de site web pour les entreprises .

Questions fréquentes

Que faire en premier si mon site WordPress est piraté ? Mettez le site hors ligne, changez tous les identifiants, y compris ceux de l’hébergement, de la base de données, du FTP et de tous les comptes administrateur, et conservez une copie des fichiers actuels, de la base de données et des journaux du serveur. Ne restaurez pas de sauvegarde et ne supprimez pas de fichiers pour l’instant, car cela détruit les preuves nécessaires pour trouver le point d’entrée.

Pourquoi mon site WordPress est-il sans cesse réinfecté ? Presque toujours parce que le nettoyage a supprimé le logiciel malveillant mais pas l’accès. Cherchez des comptes administrateur que vous ne reconnaissez pas, des portes dérobées dans le répertoire des téléversements et des tâches planifiées dans la table des options qui réinstallent la charge utile. Une réinfection à intervalles réguliers indique généralement une tâche planifiée.

Puis-je simplement restaurer une sauvegarde pour réparer un site piraté ? Seulement si vous savez quand la compromission a eu lieu, que vous disposez d’une sauvegarde antérieure et que vous avez corrigé la faille sous-jacente. Sans ces trois conditions, vous risquez de restaurer un site déjà compromis ou de rouvrir la même brèche. Une reconstruction propre avec un cœur, des extensions et un thème neufs est plus fiable.

Combien coûte la suppression d’un malware WordPress ? Un nettoyage simple sur un petit site détecté tôt coûte généralement de 400 £ à 1 200 £. Une réponse à incident complète, avec analyse des journaux, reconstruction propre, inspection de la base de données et durcissement, revient en général à 1 500 £ à 5 000 £, et les compromissions anciennes ou multisites coûtent davantage.

Comment faire retirer l’avertissement Google de mon site ? Nettoyez entièrement le site, puis demandez un examen via le rapport sur les problèmes de sécurité dans la Search Console. Ne le demandez qu’une fois le site réellement propre, car un examen refusé allonge la procédure, et vérifiez séparément les listes de blocage des navigateurs et des messageries, qui ont chacune leur propre procédure de retrait.