Site WordPress piraté : pourquoi, et comment ne plus l'être

Un matin, le site redirige vers une boutique de médicaments, Google affiche un avertissement rouge, ou l’hébergeur suspend le compte. La première question est « comment ? », la seconde « pourquoi nous ? ». La réponse à la seconde est presque toujours : pas vous en particulier. Les attaques contre WordPress sont automatisées, elles visent une extension vulnérable, pas une entreprise. Cet article explique d’où elles viennent, ce qui compte dans les premières heures, et les deux façons d’en sortir pour de bon. WordPress reste un bon outil pour beaucoup d’équipes ; il demande simplement un entretien qu’il vaut mieux connaître.

D’où vient l’attaque

WordPress équipe 39,6 % de tous les sites web selon W3Techs. Une faille dans une extension répandue ouvre donc des milliers de sites d’un coup, et c’est ce qui rend l’attaque rentable. Patchstack, un éditeur de solutions de sécurité pour WordPress, publie chaque année le bilan des failles recensées :

Patchstack vend de la protection, ce qui invite à lire ces chiffres avec recul ; leur sens général, lui, ne fait pas débat. Le cœur de WordPress est surveillé de près. Le risque est dans la somme des extensions, écrites par des dizaines d’auteurs aux moyens très différents.

Pourquoi les mises à jour ne suffisent pas

Mettre à jour reste indispensable, mais trois faits limitent ce que les mises à jour protègent :

• Le correctif n’existe pas toujours. Près d’une faille sur deux est publiée avant que l’éditeur de l’extension l’ait corrigée.
• Les vieilles failles servent encore. Parmi les dix failles les plus attaquées en 2025, Patchstack n’en compte que quatre publiées cette année-là : les attaquants misent sur les sites jamais mis à jour.
• Les protections de l’hébergeur arrêtent peu. Dans ses tests de 2025, Patchstack mesure que les défenses classiques des hébergeurs n’ont bloqué que 12 % des attaques propres à WordPress.

C’est pour cela qu’un site WordPress demande un budget de maintenance chaque mois, et pas seulement à la création : notre article sur le coût d’un site d’entreprise le compte dans la facture sur trois ans.

Les premières heures après un piratage

L’objectif n’est pas de « nettoyer » au plus vite, c’est de repartir d’une version saine sans laisser la porte ouverte.

1. 01Isoler.

   Mettre le site en maintenance ou le couper, pour ne pas servir de logiciel malveillant à vos visiteurs.

2. 02Changer tous les accès.

   Comptes administrateurs, hébergement, base de données, FTP ou SSH, clés d’API : depuis un poste sain.

3. 03Restaurer une version saine.

   Une sauvegarde antérieure à l’intrusion vaut mieux qu’un nettoyage fichier par fichier.

4. 04Trouver la porte d’entrée.

   L’extension vulnérable, le mot de passe réutilisé, le compte oublié : sinon, la même attaque recommence.

5. 05Prévenir.

   Si des données personnelles ont été touchées, la CNIL attend une notification dans les 72 heures.

Le nettoyage manuel trompe souvent : Patchstack note que les fichiers piratés sont de plus en plus des fichiers légitimes de WordPress, d’une extension ou d’un thème, dans lesquels un fragment malveillant a été injecté. Les supprimer ne suffit pas, il faut les remplacer par des versions saines. Pour la notification, la page de la CNIL sur les violations de données précise qu’une notification initiale est attendue dans les 72 heures si possible, complétée ensuite.

Côté Google, le rapport sur les problèmes de sécurité de la Search Console signale les contenus piratés et les logiciels malveillants détectés ; une fois le site réparé, c’est là qu’on demande un réexamen.

Comment ne plus l’être, en gardant WordPress

Le guide de sécurisation publié par WordPress tient en quelques règles, qui coûtent plus en discipline qu’en argent :

• Moins d’extensions. Le guide le dit simplement : une extension qui ne sert pas se supprime. Chaque extension gardée est un auteur de plus à qui l’on fait confiance.
• Des mises à jour suivies. Depuis WordPress 5.5, les mises à jour automatiques des extensions et des thèmes s’activent une par une ; encore faut-il les activer, et vérifier qu’elles passent.
• Des accès nominatifs, avec double authentification. Un compte par personne, retiré à son départ ; jamais un « admin » partagé.
• Des sauvegardes testées. Une sauvegarde qu’on n’a jamais restaurée est une hypothèse.

Le même client a aussi appris que des jetons d’accès écrits en clair dans un dépôt de code sont une porte d’entrée comme une autre : ils se révoquent, se remplacent et s’effacent de l’historique. Notre article sur les sauvegardes d’un serveur détaille ce qui casse vraiment au moment de restaurer.

Ou ne plus rien exécuter

L’autre voie supprime la cause au lieu de la surveiller. Un site statique est fabriqué au moment de la publication, puis servi en fichiers : ni base de données à protéger, ni panneau d’administration exposé, ni extension à mettre à jour. Notre guide de la migration vers un site statique avec Astro explique comment on y passe sans perdre ses adresses, et le tri des pages avant une refonte par où commencer.

Ce qui faisait l’intérêt de WordPress ne disparaît pas pour autant :

• Le formulaire de contact se branche sur un service dédié, page par page : notre article sur les formulaires et la recherche sur un site statique montre comment.
• L’éditeur reste possible avec un CMS headless comme Sanity, séparé du site que voient les visiteurs.
• L’hébergement coûte quelques euros par mois sur un service qui sert des fichiers (voir notre comparatif Cloudflare, Netlify ou VPS).

Un site statique n’est pas invulnérable : ce qui reste à protéger, ce sont les comptes (hébergeur, nom de domaine, dépôt de code), et la chaîne de publication. Ce site en est un : chaque modification passe par un aperçu et des contrôles automatiques avant d’être fusionnée, et la mise en ligne n’a lieu qu’à la fusion. La surface d’attaque n’a plus rien de commun avec celle d’un serveur qui exécute des dizaines d’extensions.

Le bénéfice ne s’arrête pas à la sécurité : moins de code exécuté, c’est aussi un site plus rapide sur mobile, et une refonte est le bon moment pour traiter l’accessibilité exigée depuis 2025. Si vous réécrivez des pages avec une IA au passage, la question de le dire mérite d’être tranchée avant la mise en ligne.

Notre migration vers un site statique reprend chaque adresse de votre WordPress, met le site en ligne sur un hébergement à quelques euros par mois et surveille la bascule pendant quatorze jours.

Questions fréquentes

Sources

1. W3Techs, part de marché de WordPress, octobre 2026 (nouvel onglet)w3techs.com
2. CNIL, notifier une violation de données personnelles (nouvel onglet)cnil.fr
3. Aide Search Console, rapport sur les problèmes de sécurité (nouvel onglet)support.google.com
4. WordPress, Hardening WordPress (nouvel onglet)developer.wordpress.org
5. WordPress, mises à jour automatiques des extensions et des thèmes (nouvel onglet)wordpress.org