Quand un site WordPress est piraté, en panne ou devenu lent, il faut d’abord identifier lequel des trois cas vous touche, puis agir dans le bon ordre : garder une copie du site tel qu’il est, changer tous les accès, prévenir l’hébergeur, et ne rien supprimer à la hâte. Chaque cas a ses symptômes et ses premiers gestes : un site piraté affiche des pages que vous n’avez pas créées, un site en panne montre un écran blanc ou une erreur, un site lent charge péniblement alors qu’il fonctionnait avant. Pour une TPE ou une PME, c’est du chiffre d’affaires et de la confiance qui s’évaporent à chaque heure d’indisponibilité. Ce guide donne les symptômes, les gestes d’urgence qui n’aggravent rien, ce que vous pouvez faire seul, et le moment où appeler un professionnel.
En bref
- Avant de réparer, gardez une copie du site tel qu’il est, même infecté : elle servira de référence.
- Piratage : changez tous les accès (administration, hébergement, FTP, base de données) et prévenez l’hébergeur.
- Écran blanc ou erreur critique : le journal d’erreurs de WordPress indique en général l’extension ou le thème en cause.
- Site très atteint ou cause introuvable : mieux vaut un professionnel qu’un nettoyage au hasard.
Mon site est piraté, en panne ou lent : comment le savoir ?
Les trois situations se ressemblent vu de l’extérieur, mais leurs causes et leurs gestes d’urgence diffèrent. Ce tableau permet de s’orienter en une minute.
| Ce que vous voyez | Cas probable | Premier geste |
|---|---|---|
| Pages ou liens inconnus, redirection, alerte de Google | Piratage | Copie du site, puis changement des accès |
| Écran blanc, « erreur critique », erreur 500 | Panne | Lire le journal d’erreurs, pas de suppression |
| Message d’erreur de base de données | Panne | Prévenir l’hébergeur, vérifier la base |
| Pages qui mettent des secondes à s’afficher | Lenteur | Repérer ce qui a changé récemment |
À retenir
Ne supprimez rien et ne réinstallez rien tant que vous n’avez pas une copie du site dans l’état actuel et noté ce que vous observez (quoi, à quelle heure, après quelle action).
Comment savoir si mon site WordPress est piraté ?
Un site est probablement piraté quand il fait quelque chose que vous n’avez pas demandé. La documentation officielle de WordPress parle d’indicateurs de compromission et en cite plusieurs.
- Site signalé par Google ou Bing. Un avertissement apparaît dans les résultats de recherche ou à l’ouverture du site.
- Site suspendu par l’hébergeur. Il a désactivé votre site : à vérifier auprès de lui, ce n’est pas toujours un piratage.
- Actions non autorisées. Un nouveau compte utilisateur que vous n’avez pas créé, par exemple.
- Alertes d’antivirus de visiteurs. Des internautes vous écrivent que leur antivirus bloque votre site.
- Site visiblement modifié. Une page défigurée, ou votre site utilisé pour attaquer d’autres sites.
Dans la Search Console de Google, le rapport « Problèmes de sécurité » liste les contenus piratés, les logiciels malveillants et les pages trompeuses détectés sur votre site (aide de la Search Console de Google). Si vous n’avez pas encore ce compte, ouvrez-le : il est gratuit.
Que faire en premier si mon site est piraté ?
Rester méthodique : documenter, copier, couper les accès, puis faire appel à de l’aide. La documentation officielle de WordPress recommande de commencer par noter ce que vous voyez, à quelle heure, et ce qui a changé récemment (nouvelle extension, modification du thème).
- Documentez. Captures d’écran, heure, dernières actions sur le site : ce sera votre rapport d’incident.
- Copiez le site. Fichiers et base de données, tels qu’ils sont. La documentation WordPress recommande de prendre cette copie même si elle est infectée, pour avoir une référence.
- Changez tous les accès. Administration WordPress, panneau d’hébergement, FTP et base de données, pour tous les utilisateurs, avec des mots de passe longs et uniques.
- Prévenez l’hébergeur. Sur un hébergement mutualisé, l’attaque peut toucher d’autres sites que le vôtre.
- Vérifiez votre propre ordinateur. L’infection part parfois du poste qui se connecte au site : faites une analyse antivirus complète.
Ne comptez pas sur un simple changement de mot de passe : la même documentation explique qu’il faut aussi renouveler les clés secrètes de wp-config.php pour déconnecter quiconque est encore connecté, et changer de nouveau les mots de passe une fois le site propre. Ce que vous pouvez faire seul : ces gestes d’urgence. Ce qui suit, le nettoyage, demande de l’expérience : la même documentation en fait la partie la plus décourageante du processus.
Si le site traite des données personnelles de visiteurs ou de clients, Cybermalveillance.gouv.fr (fiche sur la défiguration de site, mise à jour le 10/07/2026) rappelle qu’une notification à la CNIL peut s’imposer, et conseille de conserver les journaux comme preuves avant un éventuel dépôt de plainte.
Comment remettre en état un site piraté ?
Un professionnel vérifie l’ampleur des dégâts, puis repart sur une base saine quand ils sont profonds. Voici l’intervention type que nous menons sur un site piraté.
- Évaluer les dégâts. Nous vérifions l’ampleur de l’attaque, sur le site et sur le serveur.
- Repartir d’une base neuve. Si les dégâts sont profonds, nous nettoyons le serveur d’hébergement, nous sauvegardons le contenu du site, puis nous formatons le serveur entier.
- Couper les accès. Nous coupons tous les accès et fermons les failles de sécurité.
- Sécuriser le serveur. Nous mettons en place des scripts de sécurisation directement sur le serveur.
- Ajouter Cloudflare. Nous ajoutons une couche CDN Cloudflare avec des règles de sécurité, pour ne laisser aucune chance aux pirates d’atteindre le serveur.
- Redévelopper le site. Nous reconstruisons le site sur cette base neuve ; s’il était mal optimisé ou dépassé, nous le remettons au goût du jour et l’optimisons pour qu’il réponde rapidement.
Repartir de zéro n’est pas toujours nécessaire : la documentation officielle de WordPress note qu’il peut être tentant de tout purger, que c’est parfois possible mais souvent impossible, et qu’on peut sinon réinstaller certains éléments. Quand on ne sait pas ce que le pirate a laissé derrière lui, une base neuve évite de garder, sans le savoir, ce qu’il a installé.
Votre site est piraté ?
Décrivez-nous la situation : nous évaluons les dégâts et vous disons si un nettoyage suffit ou s’il faut repartir sur une base neuve.
Que faire côté Google après un piratage ?
Une fois le site nettoyé, demander un réexamen dans la Search Console. Selon l’aide de la Search Console de Google, il faut d’abord corriger tous les problèmes sur toutes les pages : corriger seulement quelques pages ne rétablit pas la visibilité.
| Étape | Ce que dit Google |
|---|---|
| Corriger | Corriger le problème sur tout le site, tester, puis seulement demander un réexamen |
| Demander | Bouton de demande d’examen dans le rapport Problèmes de sécurité |
| Expliquer | Décrire le problème, les actions menées et le résultat |
| Patienter | Plusieurs jours, voire plusieurs semaines pour la plupart des demandes |
Attendez l’issue d’une demande avant d’en envoyer une autre. Google prévient qu’une demande envoyée alors que le problème n’est pas résolu peut ralentir le traitement de la suivante.
Écran blanc, erreur critique, erreur 500 : que faire ?
Chercher quelle extension, quel thème ou quel réglage a changé juste avant la panne, sans rien supprimer. Depuis WordPress 5.2, un « mode de récupération » remplace l’écran blanc quand une extension provoque une erreur fatale : le visiteur voit un message de difficultés techniques, et un e-mail est envoyé à l’administrateur du site (documentation WordPress).
| Symptôme | Cause fréquente | Que faire |
|---|---|---|
| Écran blanc ou « erreur critique » | Extension ou thème en erreur après une mise à jour | Ouvrir le lien du mode de récupération reçu par e-mail, désactiver l’extension fautive |
| Erreur 500 | Erreur serveur, souvent un fichier de configuration ou une extension | Lire le journal d’erreurs, restaurer la sauvegarde la plus récente |
| Erreur de connexion à la base de données | Accès à la base modifiés ou serveur de base indisponible | Prévenir l’hébergeur, vérifier les accès dans wp-config.php |
Pour voir l’erreur exacte, la documentation WordPress sur le débogage indique d’activer WP_DEBUG et WP_DEBUG_LOG dans wp-config.php, et de désactiver WP_DEBUG_DISPLAY pour que les visiteurs ne voient rien. Elle précise aussi qu’il est déconseillé d’utiliser ces outils sur un site en ligne, et de prendre une sauvegarde avant de toucher aux fichiers.
À retenir
Avant toute modification de fichier : sauvegarde. Si vous n’êtes pas à l’aise avec wp-config.php ou le FTP, arrêtez-vous là et appelez quelqu’un : une erreur de syntaxe peut transformer une panne en panne totale.
Mon site WordPress est devenu lent : pourquoi ?
Sur les sites que nous récupérons, la lenteur vient le plus souvent d’une installation qui n’a pas été optimisée ou plus mise à jour : version ancienne de WordPress, extensions accumulées, thème lourd. Une lenteur soudaine peut aussi trahir un piratage : le serveur fait alors autre chose que servir votre site.
- Qu’est-ce qui a changé ? Nouvelle extension, mise à jour récente, nouveau contenu lourd : revenez à l’état d’avant.
- Extensions inutiles. Chaque extension ajoute du code. Supprimez celles que vous n’utilisez plus, après sauvegarde.
- Thème ancien et chargé. Un thème généraliste ne se corrige pas : à partir d’un certain point, il faut le remplacer.
- Vérifiez la sécurité. Pages inconnues ou alertes ? Reprenez les gestes d’urgence plus haut.
Pour éviter que cela se reproduise, relisez notre article sur ce qui se passe quand un site WordPress n’est pas maintenu et, côté prévention, notre checklist sur la sécurité WordPress.
Quand appeler un professionnel plutôt que se débrouiller ?
Dès que vous ne savez pas ce que vous touchez, que le site est piraté au-delà de pages visibles, ou que la panne persiste après vos premiers gestes. Le travail de fond ne s’improvise pas, et la documentation WordPress reconnaît qu’il est souvent très difficile pour un propriétaire de site de retrouver comment les pirates sont entrés.
| Situation | Vous-même | Un professionnel |
|---|---|---|
| Changer les mots de passe, prévenir l’hébergeur | Oui | Si vous êtes bloqué |
| Désactiver une extension après une mise à jour | Oui, avec sauvegarde | Si la panne persiste |
| Lecture du journal d’erreurs, base de données | Difficile | Oui |
| Nettoyage d’un site piraté, reconstruction | Non | Oui |
| Sécuriser le serveur après l’attaque | Non | Oui |
Notre maintenance de site internet évite la plupart de ces urgences : mises à jour, sauvegardes et surveillance de la sécurité, à partir de 290 € HT par mois.
Questions fréquentes
Dois-je couper mon site WordPress s’il est piraté ?
Si des visiteurs risquent d’être exposés (formulaires, boutique, redirections malveillantes), oui, mieux vaut le mettre en maintenance le temps de comprendre. Dans tous les cas, faites d’abord une copie du site dans l’état actuel, puis changez tous les accès.
Puis-je nettoyer un site piraté avec une extension de sécurité ?
Les extensions d’analyse aident à repérer des fichiers suspects, et la documentation WordPress en cite plusieurs. Mais elles ne comprennent pas comment le pirate est entré ni ne garantissent qu’il n’a rien laissé : après une attaque sérieuse, un contrôle humain reste nécessaire.
Mon site est-il perdu définitivement si je n’ai pas de sauvegarde ?
Pas forcément : les fichiers et la base de données sont encore sur le serveur, même infectés. Ne supprimez rien et faites faire une copie avant toute opération ; l’hébergeur peut aussi disposer de ses propres sauvegardes.
Mon site va-t-il perdre sa place sur Google après un piratage ?
Google peut afficher un avertissement tant que le problème n’est pas corrigé. Une fois le site propre, la demande de réexamen dans la Search Console permet de lever le signalement, mais les délais ne sont pas garantis. Voir aussi comment refondre son site sans perdre son SEO.
Ce qu’il faut retenir
En cas de piratage, de panne ou de lenteur : une copie du site, des accès changés, l’hébergeur prévenu, et aucune suppression à la hâte. Les premiers gestes sont à votre portée ; le nettoyage, la sécurisation du serveur et la reconstruction demandent un professionnel. Si votre site est dans cet état, parlons-en.
