Site WordPress piraté à Toulouse : que faire en urgence (et comment l’éviter)

Un mardi matin, une gérante d’institut de beauté du côté de Saint-Cyprien m’appelle en panique. Son site affiche une page blanche avec un texte en russe. Ses clientes ne peuvent plus prendre rendez-vous en ligne. Elle a perdu deux jours de réservations avant de comprendre que le problème venait de son hébergeur, pas de sa connexion internet.

Ce genre d’histoire, je l’entends plus souvent qu’on ne le croit. WordPress fait tourner plus de 40% des sites web dans le monde, ce qui en fait une cible de choix pour les scripts automatisés qui scannent le web en permanence à la recherche de failles.

Voici ce qu’il faut savoir pour réagir si ça vous arrive, et surtout pour ne jamais en arriver là.

Comment on sait qu’un site a été piraté

Les signes ne sont pas toujours aussi visibles qu’une page en russe. Souvent, c’est plus discret.

• Google affiche un avertissement de sécurité avant d’ouvrir le site
• Le référencement s’effondre du jour au lendemain sans raison apparente
• Des pages inconnues apparaissent dans Google, vantant des produits pharmaceutiques ou des paris sportifs
• L’hébergeur suspend le site pour envoi de spam massif
• Le site rame ou plante sans explication

Pour un artisan menuisier que j’accompagne à Blagnac, c’est son hébergeur qui a coupé l’accès FTP du jour au lendemain. Une extension obsolète avait permis d’injecter du code malveillant qui envoyait des milliers d’emails frauduleux par jour depuis son serveur.

Les trois failles qui reviennent tout le temps

Des extensions jamais mises à jour

C’est de loin la cause numéro un. Une extension WordPress installée en 2022 et jamais touchée depuis devient une porte grande ouverte. Les développeurs publient des correctifs de sécurité en continu, mais un site laissé à l’abandon ne les reçoit jamais.

Je vois régulièrement des sites de TPE toulousaines avec quinze ou vingt extensions actives, dont la moitié n’est même plus utilisée. Chacune est une surface d’attaque potentielle, utilisée ou non.

Un mot de passe administrateur trop simple

« admin123 » ou le nom de l’entreprise suivi d’une année, ça se devine en quelques minutes avec un script d’attaque par force brute. Ces scripts testent des milliers de combinaisons par heure sur la page de connexion, sans intervention humaine.

Aucune sauvegarde récente

Le piratage n’est pas toujours le pire scénario. Le pire, c’est de se rendre compte qu’on n’a aucune sauvegarde exploitable pour tout restaurer en dix minutes. J’ai vu une commerçante du centre-ville perdre six mois de contenu parce que sa dernière sauvegarde datait d’avant la refonte de son site.

Que faire dans l’urgence si votre site est touché

Si vous suspectez un piratage, l’ordre des actions compte.

1. Mettez le site hors ligne ou en mode maintenance pour limiter les dégâts
2. Changez immédiatement tous les mots de passe, y compris ceux de l’hébergement et de la base de données
3. Restaurez la dernière sauvegarde saine si vous en avez une
4. Sans sauvegarde fiable, contactez un professionnel pour nettoyer le code ligne par ligne
5. Vérifiez dans Google Search Console si le site a été marqué comme dangereux, et demandez une réévaluation une fois le nettoyage fait

Pour la gérante de l’institut de beauté, la restauration a pris deux heures grâce à une sauvegarde automatique datant de la veille. Sans elle, on parlait de plusieurs jours de reconstruction.

Ce qui protège vraiment un site WordPress

Pas besoin d’un budget énorme. Quelques réflexes suffisent à écarter l’immense majorité des attaques automatisées.

• Mettre à jour WordPress, le thème et les extensions chaque semaine, pas chaque année
• Utiliser un mot de passe long et unique, géré par un gestionnaire de mots de passe
• Activer la double authentification sur l’accès administrateur
• Limiter le nombre de tentatives de connexion pour bloquer les attaques par force brute
• Programmer des sauvegardes automatiques quotidiennes, stockées ailleurs que sur le serveur lui-même
• Désinstaller les extensions inutilisées au lieu de simplement les désactiver

Un hébergement de qualité fait aussi une vraie différence. Certains hébergeurs bas de gamme mutualisent des centaines de sites sur un même serveur sans isolation correcte : si un site voisin est compromis, le vôtre peut en payer les frais.

La sécurité n’est pas une option, c’est de la maintenance

Beaucoup de dirigeants toulousains voient leur site comme un projet terminé une fois mis en ligne. En réalité, un site WordPress ressemble davantage à un local commercial : il faut vérifier la serrure régulièrement, pas une fois tous les cinq ans.

Un audit de sécurité prend en général moins d’une heure et coûte largement moins cher qu’une journée de site hors ligne, une perte de référencement ou une atteinte à la réputation auprès de vos clients.

Si votre site n’a pas été mis à jour depuis des mois ou que vous ne savez pas quand remonte votre dernière sauvegarde, c’est le moment de vérifier. Je propose un diagnostic rapide pour les entreprises toulousaines qui veulent avoir l’esprit tranquille.