Site WordPress piraté : les 4 signes à Toulouse qu’on ignore jusqu’au désastre

Un vendredi matin, un restaurateur du centre de Toulouse m’appelle en panique. Son site affiche une page blanche depuis la veille. Pas de message d’erreur, rien. Juste du vide, pile le week-end où il espérait capter les réservations pour un événement sportif dans le quartier.

Diagnostic en vingt minutes : un plugin de réservation jamais mis à jour depuis deux ans, une faille connue depuis des mois, et un script malveillant injecté dans les fichiers du thème. Classique. Et totalement évitable.

Le piratage WordPress n’arrive jamais comme dans les films

On imagine souvent le piratage comme un événement spectaculaire : un hacker en capuche, un message de rançon qui s’affiche en plein écran. Dans la réalité d’une TPE toulousaine, c’est beaucoup plus discret. Et c’est justement ce qui le rend dangereux.

La plupart du temps, le site continue de fonctionner normalement. Les visiteurs ne voient rien d’anormal. Le pirate, lui, n’a aucun intérêt à se faire remarquer tout de suite. Il préfère exploiter le site en silence : envoyer du spam depuis le serveur, rediriger une partie du trafic vers des sites douteux, ou simplement stocker des fichiers illégaux sur l’hébergement du client sans qu’il s’en rende compte.

Les 4 signes qui devraient vous alerter

1. Le site rame soudainement

Un client gérant un salon de coiffure près des Carmes m’a contacté parce que son site mettait « bizarrement » dix secondes à charger. Son hébergeur n’avait rien signalé. En creusant, on a trouvé un script qui tournait en boucle en arrière-plan, utilisé pour miner de la cryptomonnaie sur le serveur. Le ralentissement était le seul symptôme visible.

2. Google affiche un avertissement avant d’ouvrir le site

C’est le signal le plus brutal, et souvent le premier que le client découvre lui-même. Un message rouge « ce site peut présenter un risque pour votre sécurité » bloque purement et simplement l’accès. À ce stade, le mal est fait depuis plusieurs jours, parfois plusieurs semaines.

3. Des pages inconnues apparaissent dans Google

Tapez « site:votredomaine.fr » dans Google de temps en temps. Si vous voyez apparaître des titres en anglais vantant des médicaments ou des paris sportifs alors que vous vendez des menuiseries à Toulouse, c’est que le site héberge des pages créées par un pirate pour son propre référencement, à vos frais et sur votre nom de domaine.

4. Des comptes administrateur que vous n’avez pas créés

C’est le signe le plus sous-estimé. Beaucoup de propriétaires de sites ne vérifient jamais la liste des utilisateurs de leur WordPress. Un compte admin ajouté discrètement, avec un nom qui ressemble à un vrai prénom, peut rester actif pendant des mois sans que personne ne le remarque.

Pourquoi les TPE toulousaines sont des cibles faciles

Les pirates ne ciblent presque jamais un site en particulier. Ils utilisent des robots qui scannent des millions de sites WordPress à la recherche de failles connues, sur des plugins ou des thèmes obsolètes. Une TPE qui a fait développer son site il y a trois ans et qui n’y a plus touché depuis est statistiquement plus vulnérable qu’une grande entreprise avec une équipe technique dédiée.

Le problème n’est donc pas la taille de l’entreprise. C’est l’absence de suivi. Un site livré « clé en main » sans contrat de maintenance derrière, c’est une porte qu’on laisse ouverte sans jamais revenir vérifier si elle est toujours fermée.

Que faire concrètement

Quelques réflexes simples réduisent déjà énormément le risque :

• Mettre à jour WordPress, les thèmes et les plugins dès qu’une mise à jour est disponible, pas « un jour quand j’aurai le temps ».
• Désinstaller les plugins inutilisés plutôt que de les laisser désactivés. Un plugin désactivé reste une porte d’entrée potentielle.
• Utiliser un mot de passe unique et complexe pour l’administration, jamais le même que pour la messagerie ou les réseaux sociaux.
• Activer l’authentification à deux facteurs sur l’accès admin.
• Vérifier une fois par mois la liste des utilisateurs et des plugins installés.
• Avoir une sauvegarde récente, testée, stockée ailleurs que sur le même serveur que le site.

Pour le restaurateur du début de cet article, la remise en route a pris une journée complète : nettoyage des fichiers infectés, changement de tous les mots de passe, mise à jour de l’ensemble des plugins et restauration à partir d’une sauvegarde propre. Une journée de perdue, un week-end de réservations manqué, et une facture qui aurait pu être évitée avec quelques heures de maintenance par mois en amont.

La sécurité n’est pas une option, c’est un entretien

Un site web n’est jamais vraiment « fini ». C’est un peu comme un local commercial : on ne laisse pas la porte ouverte toute la nuit parce qu’on l’a fermée correctement le jour de l’installation. La sécurité WordPress, c’est la même logique, appliquée en continu.

Si votre site n’a pas été mis à jour depuis plusieurs mois, ou si vous ne savez même pas qui a accès à l’administration, c’est le bon moment pour vérifier, avant qu’un vendredi matin ne vous apprenne la mauvaise nouvelle à votre place.