Site WordPress piraté ? Les signes, et où vérifier chacun

WindowsMacMis à jour 2026-10-31

La FAQ de WordPress sur les sites piratés cite comme signe clair de piratage la création de comptes que personne n'a autorisés, au même titre qu'une mise sur liste noire par Google ou Bing, la suspension du site par l'hébergeur ou un antivirus de visiteur qui le signale. La Google Search Console ajoute les redirections, le texte et les pages de spam ajoutés par des pirates. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

Allez dans Comptes > Tous les comptes et filtrez sur Administrateur/administratrice pour repérer les comptes que vous n'avez pas créés. Ouvrez le rapport sur les problèmes de sécurité de la Google Search Console. Parcourez Pages > Toutes les pages et Articles > Tous les articles à la recherche de contenus que vous n'avez pas écrits, et vérifiez si .htaccess, index.php, header.php ou footer.php ont changé.

Que considère WordPress comme un signe de piratage ?

WordPress parle d'indicateurs de compromission. Sa FAQ cite ceux-ci comme des signes clairs :

le site est sur liste noire chez Google, Bing ou un service similaire
votre hébergeur a désactivé le site
le site a été signalé comme distribuant des logiciels malveillants
des lecteurs disent que leur antivirus le signale
quelqu'un vous prévient que le site sert à attaquer d'autres sites
un comportement que vous n'avez pas autorisé, comme de nouveaux comptes
vous voyez le piratage en ouvrant le site dans un navigateur

La FAQ précise aussi que tous les piratages ne se ressemblent pas. Les règles de Google sur le contenu piraté indiquent qu'il n'est pas rare que le pirate utilise le cloaking, qui montre un contenu différent selon qui regarde : un site qui vous paraît normal n'est donc pas une preuve à lui seul.

Comment repérer des administrateurs que je n'ai pas ajoutés ?

L'écran des comptes liste tous les comptes, et les liens au-dessus du tableau le filtrent par rôle. Commencez par les administrateurs : le guide de sécurisation de WordPress indique qu'un pirate qui accède à un compte administrateur peut installer des scripts malveillants.

Dans l'administration, allez dans Comptes > Tous les comptes.
Cliquez sur le lien Administrateur/administratrice au-dessus du tableau.
Lisez l'identifiant, le nom et l'e-mail de chaque compte. Notez ceux que vous ne reconnaissez pas, avec la date à laquelle vous les avez repérés.
Cliquez sur Tous les comptes et parcourez aussi les autres rôles.
Allez dans Réglages > Général et regardez Inscription et Rôle par défaut de tout nouveau compte. WordPress propose Administrateur/administratrice parmi les choix de rôle par défaut.

Notez tout avant de supprimer quoi que ce soit, puis faites une dernière copie du site, même infecté : la FAQ de WordPress place cette documentation en premier.

Comment repérer une redirection malveillante ?

Le rapport sur les problèmes de sécurité de Google décrit l'injection de code : « Un hacker a compromis votre site et est en train d'injecter du code malveillant dans vos pages. » Les redirections malveillantes en font partie. Côté WordPress, la FAQ désigne le fichier .htaccess comme celui à regarder en priorité, parce que c'est le plus souvent modifié à des fins malveillantes.

Ouvrez le rapport sur les problèmes de sécurité dans la Search Console. Dépliez chaque problème pour voir des exemples d'URL affectées et la date de première détection.
Connectez-vous à votre site en FTP ou SFTP et ouvrez le fichier .htaccess du dossier WordPress. Cherchez des lignes que vous n'avez pas ajoutées.
Regardez aussi les autres dossiers. WordPress indique que .htaccess se trouve en général à la racine de l'installation, mais peut aussi apparaître dans d'autres répertoires.

Comment trouver des pages de spam sur mon site ?

Google en décrit deux sortes. L'injection de contenu : « Un hacker a ajouté des liens ou du texte contenant du spam aux pages de votre site. » L'injection d'URL : « Un hacker a créé des pages sur votre site, avec un contenu ou des liens souvent associés à du spam. »

Allez dans Pages > Toutes les pages. WordPress affiche les plus récentes en premier, avec les colonnes Auteur/autrice et Date : regardez en haut de la liste les titres que vous ne reconnaissez pas.
Utilisez les liens d'état au-dessus du tableau, comme Brouillon et Privée, pour voir les pages qui ne sont pas publiques.
Tapez un mot du spam dans le champ de recherche et cliquez sur Rechercher des pages.
Recommencez dans Articles > Tous les articles.
Comparez avec les exemples d'URL du rapport sur les problèmes de sécurité.

Que signifient les avertissements de Google ?

Que Google a trouvé un problème qu'il juge dangereux pour les visiteurs. Google indique que les pages concernées peuvent afficher un message d'avertissement dans les résultats de recherche, et que le navigateur peut afficher une page d'avertissement quand quelqu'un tente de les ouvrir. La FAQ de WordPress ajoute que ces avertissements vont de grandes pages d'alerte à de simples mentions dans les résultats, et que Bing, Yahoo et les antivirus ont leurs propres listes noires.

Ouvrez le rapport sur les problèmes de sécurité. Google indique qu'une coche verte s'affiche si votre site ne présente aucun problème.
Dépliez chaque problème pour voir les exemples d'URL et la date de première détection.
Inscrivez aussi votre site aux outils pour webmasters de Bing. La FAQ de WordPress recommande de s'inscrire aux consoles des moteurs de recherche, dont celle de Bing.

Google demande de corriger tous les problèmes listés avant de cliquer sur Demander un examen, et de ne pas envoyer d'autre demande avant de connaître l'issue de cet examen.

Comment vérifier si des fichiers ont été modifiés ?

Le tableau de bord ne liste pas les changements de fichiers. Le guide de sécurisation de WordPress indique qu'une attaque laisse toujours des traces, dans les journaux ou sur le système de fichiers, sous forme de fichiers nouveaux ou modifiés. La FAQ cite des fichiers à surveiller parce qu'une modification peut toucher toutes les pages : index.php, header.php, footer.php et le fichier de fonctions du thème.

Lancez une analyse. La FAQ de WordPress cite des extensions d'analyse de l'annuaire WordPress.org et des scanners en ligne, et indique qu'aucun outil n'est le meilleur, mais que les combiner améliore nettement vos chances.
En FTP ou SFTP, comparez ces fichiers et .htaccess avec une sauvegarde antérieure au problème.
Si votre hébergeur vous donne accès aux journaux, le guide de sécurisation indique qu'ils peuvent montrer des tentatives de connexion par force brute et l'utilisation des éditeurs de thèmes et d'extensions.
Analysez aussi votre propre ordinateur. WordPress indique que certaines attaques partent de l'ordinateur du propriétaire, avec des chevaux de Troie qui captent les identifiants FTP et d'administration.

Si l'une de ces vérifications révèle quelque chose, suivez site piraté : que faire. Ce guide couvre dans l'ordre l'hébergeur, les preuves, les mots de passe, les comptes inconnus, une sauvegarde saine, l'examen Google et la plainte.

Autres questions

Et si je ne peux plus me connecter à WordPress ?

La FAQ de WordPress indique qu'un attaquant prend parfois le contrôle des comptes administrateurs. Vous pouvez réinitialiser votre mot de passe, ou passer par phpMyAdmin chez votre hébergeur pour accéder directement à la table des comptes. Une solution plus simple qu'elle propose : y modifier votre adresse e-mail, puis utiliser « Mot de passe oublié ? » sur l'écran de connexion.

Mon site WordPress est-il piraté à cause de PHP2Shell ?

Pas forcément. PHP2Shell désigne deux failles dans PHP, corrigées par le projet PHP le 21 octobre 2026. Au 23 octobre 2026, l'agence américaine CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication, et le CERT-FR a connaissance de preuves de concept pour des déploiements spécifiques de PHP. Vérifiez votre version de PHP, et lisez notre guide faille PHP PHP2Shell pour le contexte.

Mettre à jour WordPress supprime-t-il un piratage ?

Pas à lui seul. La FAQ de WordPress place la mise à jour après le nettoyage : mettre à jour une fois le site sain, parce que les anciennes versions sont plus exposées, puis changer à nouveau les mots de passe.