Site piraté, que faire ? Les premières étapes

WindowsMacMis à jour 2026-10-31

Face à un site piraté, Cybermalveillance.gouv.fr commence par isoler la machine touchée et conserver les preuves, et Google par contacter votre hébergeur. Viennent ensuite les mots de passe, les comptes inconnus, les mises à jour et une sauvegarde antérieure au piratage. Les données personnelles et la plainte viennent à la fin. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Contactez votre hébergeur et faites mettre le site hors ligne. Conservez les preuves. Changez les mots de passe de l'hébergement, de l'administration, de la base de données et du FTP. Supprimez les comptes administrateurs inconnus. Mettez à jour PHP et WordPress ou votre CMS, puis restaurez une sauvegarde saine. Consultez Search Console, suivez les règles de la CNIL si des données personnelles sont touchées, et portez plainte.

Que faire en premier si mon site a été piraté ?

Contactez votre hébergeur. Selon Google, il peut vérifier que ses autres clients n'ont pas été touchés et vous aider à récupérer le site. Cybermalveillance.gouv.fr demande aussi de le contacter pour qu'il prenne les mesures nécessaires.

Notez ce que vous voyez et quand vous l'avez remarqué.
Conservez les preuves. Cybermalveillance.gouv.fr cite les journaux du serveur et, si besoin, des photos de l'écran.
Prévenez votre hébergeur et demandez quelles sauvegardes il conserve.
Demandez-lui de mettre le site hors ligne, ou de vous aider à le faire. Google explique que cela empêche les fichiers malveillants d'atteindre les visiteurs, et qu'un blocage par robots.txt ne suffit pas, car il n'arrête que les moteurs de recherche.
Décidez si vous pouvez réparer vous-même. Google indique qu'il faut savoir lire du code et utiliser des outils serveur en ligne de commande. Sinon, adressez-vous à votre hébergeur ou à un professionnel : Cybermalveillance.gouv.fr référence des prestataires en cybersécurité.

Quels mots de passe changer, et que faire des comptes administrateurs ?

Tous ceux qui donnent accès au site. Google cite les accès FTP, à la base de données, aux administrateurs système et au système de gestion de contenu, et demande de vérifier si l'attaquant a créé un compte. WordPress ajoute cPanel ou tout autre panneau d'hébergement. Cybermalveillance.gouv.fr demande de corriger les failles et de changer tous les mots de passe avant de remettre le site en ligne.

Changez les mots de passe de votre compte d'hébergement et du panneau de contrôle.
Changez les mots de passe FTP ou SFTP.
Changez le mot de passe de la base de données. WordPress rappelle qu'il faut aussi le reporter dans wp-config.php.
Ouvrez la liste des comptes du site (dans WordPress, le menu Comptes de l'administration). Notez les comptes que vous ne reconnaissez pas, puis supprimez-les.
Changez le mot de passe de chaque compte administrateur restant.
Changez-les tous une seconde fois une fois le site nettoyé, comme le demande WordPress.

WordPress conseille aussi d'analyser votre propre ordinateur avec un antivirus, car certaines attaques commencent par le vol des identifiants FTP ou d'administration sur la machine du propriétaire.

Faut-il restaurer une sauvegarde ?

Oui, si vous en avez une d'avant le piratage. L'aide de Google Search Console cite la restauration de la dernière sauvegarde saine pour nettoyer un site piraté. WordPress suggère de copier d'abord le site infecté, et Cybermalveillance.gouv.fr demande une copie complète de la machine attaquée pour l'enquête, si c'est possible.

Faites cette copie du site dans son état actuel.
Choisissez une sauvegarde faite avant la date où vous avez remarqué le problème.
Restaurez-la, ou demandez à votre hébergeur de le faire.
Mettez tout à jour immédiatement, avant de remettre le site en ligne. Une sauvegarde restaurée contient les anciens logiciels, qui ont peut-être laissé entrer l'attaquant.

Faut-il mettre à jour PHP et WordPress ?

Oui. PHP a corrigé le 21 octobre 2026 deux failles critiques, CVE-2026-109618 et CVE-2026-109619, qui peuvent permettre l'exécution de code à distance sans authentification, et indique que la mise à jour est le seul choix sûr. Au 23 octobre 2026, le CERT-FR a connaissance de preuves de concept, et l'avis de QNAP du 22 octobre signale que des tentatives d'exploitation visant PHP ont été rapportées publiquement.

Vérifiez que votre site est sur une version corrigée de PHP. Vérifier la version de PHP de votre site donne la liste.
En PHP 8.1 ou plus ancien, il n'y a plus de mise à jour officielle, et le CERT-FR recommande d'isoler ces systèmes puis de migrer. Parlez-en à votre hébergeur.
Mettez WordPress à jour vers la dernière version. WordPress indique que les anciennes versions sont plus exposées aux piratages.
Mettez aussi à jour vos thèmes et vos extensions.

Le NCSC britannique conseille, pour un système PHP qui n'a pas pu être mis à jour tout de suite, de rechercher des signes de compromission et des portes dérobées. Mettre à jour referme la faille, mais n'enlève pas ce qu'un attaquant a déjà laissé.

Comment faire retirer l'avertissement de Google ?

Le rapport sur les problèmes de sécurité de Google Search Console indique si Google a trouvé du contenu piraté, des logiciels malveillants ou de l'hameçonnage sur votre site, avec des exemples d'URL.

Ouvrez le rapport sur les problèmes de sécurité dans Search Console.
Servez-vous des exemples d'URL pour trouver les pages touchées, puis corrigez le problème sur tout le site. Google précise qu'il ne suffit pas de résoudre les problèmes sur certaines pages.
Une fois le site propre, la faille corrigée et le site remis en ligne, cliquez sur Demander un examen.
Décrivez ce que vous avez trouvé et fait. Google indique qu'un examen peut prendre plusieurs jours, voire plusieurs semaines, et qu'il ne faut pas envoyer d'autre demande avant d'en connaître l'issue.

Et si des données de clients ont pu être touchées ?

Si le site contient des données personnelles de clients, comme des noms, des e-mails ou des commandes, et qu'elles ont pu être consultées, les règles sur les violations de données s'appliquent, quelle que soit la taille de l'organisme selon la CNIL. Cybermalveillance.gouv.fr rappelle qu'une défiguration qui entraîne une fuite, une altération ou une indisponibilité des données peut être une violation de données personnelles.

En France, la CNIL demande :

De documenter l'incident en interne dans tous les cas.
De notifier la CNIL au plus tôt et dans un délai maximal de 72 heures si la violation présente un risque pour les personnes, par son téléservice réservé aux responsables de traitement.
De prévenir aussi les personnes concernées si le risque est élevé.

En Belgique, l'Autorité de protection des données demande une notification par son portail, pas par e-mail, dans les meilleurs délais et si possible dans les 72 heures. En Suisse, le PFPDT publie un guide et un formulaire en ligne pour annoncer une violation. Au Canada, les organisations soumises à la LPRPDE doivent déclarer au Commissariat à la protection de la vie privée les atteintes qui présentent un risque réel de préjudice grave, aviser les personnes touchées dès que possible, et tenir un registre de toutes les atteintes pendant deux ans.

Autres questions

Faut-il porter plainte pour un site piraté ?

En France, Cybermalveillance.gouv.fr conseille de porter plainte au commissariat ou à la gendarmerie, ou par écrit auprès du procureur de la République, avec toutes les preuves dont vous disposez. Le service 17Cyber, gratuit et disponible 24h/24 et 7j/7, propose un diagnostic et des conseils aux victimes. En Suisse, l'Office fédéral de la cybersécurité (OFCS) reçoit les signalements volontaires d'incidents.

Puis-je simplement restaurer une sauvegarde et continuer ?

Non. Une sauvegarde efface ce que l'attaquant a ajouté, pas la faiblesse qu'il a utilisée. Cybermalveillance.gouv.fr demande d'identifier par où l'attaquant est entré, et WordPress de tout mettre à jour et de changer de nouveau les mots de passe.

Comment savoir si mon site est piraté ?

WordPress cite comme signes clairs : un signalement par Google ou Bing ou par l'antivirus des visiteurs, un site désactivé par l'hébergeur, ou des changements non autorisés, comme de nouveaux comptes.

Où trouver de l'aide gratuite pour un site WordPress piraté ?

WordPress renvoie vers ses forums d'assistance, qui ont des sections consacrées aux piratages et aux logiciels malveillants, et sa page française sur la mise à jour de PHP cite le forum de l'association WPFR. Google cite le forum de la communauté Google Search Central. Le service 17Cyber propose aussi un diagnostic gratuit.