Site WordPress lent · Diagnostic en 20 minutes
Un site qui met six secondes à s'afficher perd la moitié de ses visiteurs avant la première ligne. Parfois c'est un hébergement sous-dimensionné, des images trop lourdes ou une extension qui traîne. Parfois c'est autre chose : un script de cryptominage, des milliers de pages spam injectées, un serveur qui travaille pour un pirate au lieu de travailler pour vous. On fait la différence en vingt minutes, et on traite la vraie cause.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic. Si c'est une infection : re-nettoyage inclus pendant 30 jours.
Activateur France NumInitiative gouvernementaleIntervention le jour même
06 38 42 04 85Du lundi au vendredi, 9 h à 18 h. En dehors de ces horaires, laissez un message : on rappelle en priorité le matin suivant.
Réponse sous 1 h ouvrée. On regarde d'abord la charge du serveur et les fichiers récents : en vingt minutes on sait si c'est une infection ou un problème de performance classique.
Ils nous font confiance
Ce problème vous concerne-t-il ?
Un site lent n'est pas forcément un site piraté. Mais quand plusieurs de ces signaux se cumulent, surtout les cinq premiers, il faut regarder les fichiers avant de regarder les images.
Votre hébergeur vous alerte sur un dépassement de CPU ou de mémoire alors que le trafic n'a pas bougé. Un script de cryptominage ou des robots qui appellent des pages spam consomment les ressources à votre place.
Une lenteur d'hébergement suit vos visiteurs : elle se voit aux heures de pointe. Une infection tourne en continu, y compris à 4 h du matin quand personne ne visite le site.
Tapez « site:votre-site.fr » dans Google. Si vous voyez des pages que vous n'avez jamais créées, souvent en japonais, en pharmacie ou en paris en ligne, le site travaille pour quelqu'un d'autre et c'est ce qui le ralentit.
Des milliers d'articles ou d'options injectés dans wp_posts et wp_options alourdissent chaque requête. Le tableau de bord devient lent avant même le site public.
Un fichier .php dans le dossier des images, un .htaccess modifié hier, un wp-cron.php appelé des milliers de fois par heure : ce sont des fichiers de pirate, pas des fichiers de thème.
Le cas le plus fréquent de lenteur classique : des photos sorties de l'appareil, jamais compressées ni redimensionnées. Ça se règle sans nettoyage, en une demi-journée.
Chaque extension charge ses scripts sur chaque page. Les extensions abandonnées sont aussi la première porte d'entrée des pirates : 91 % des vulnérabilités WordPress recensées en 2025 viennent des extensions (Patchstack).
Quand le voisin de serveur est infecté ou fait un pic de trafic, c'est votre site qui ralentit. Le temps de réponse serveur (TTFB) dépasse une seconde avant même que WordPress ne commence à travailler. Notre diagnostic en 20 minutes →
Pourquoi ça arrive
Six causes expliquent la quasi-totalité des sites lents que nous reprenons. Les trois premières se corrigent sans nettoyage, les trois dernières sont des infections et se traitent comme telles.
Performance
Une page de 12 Mo avec dix photos en pleine résolution met plusieurs secondes à charger sur mobile. Google mesure ce temps (LCP) et considère qu'au-delà de 2,5 secondes la page est lente. Compression, format WebP, chargement différé : c'est mécanique.
Performance
Sans cache, WordPress reconstruit chaque page à chaque visite. Avec quarante extensions, il exécute quarante programmes pour le faire. Un cache de page bien réglé divise souvent le temps de chargement par trois à cinq.
Performance
Sur un mutualisé bas de gamme, le temps de réponse serveur dépasse souvent une seconde. Aucune optimisation côté site ne compense un serveur qui met une seconde à répondre avant de commencer à travailler.
Infection
Le pirate installe un programme qui utilise le processeur du serveur pour miner de la cryptomonnaie. Le site n'est pas défiguré, rien n'est visible, mais le serveur tourne à 100 % en permanence. Sucuri classe ce type de charge parmi les infections les plus discrètes.
Infection
Le « spam SEO » représente environ 42 % des sites infectés selon Sucuri. Chaque page injectée est appelée par des robots, chaque appel exécute WordPress. Mille pages spam visitées dix fois par jour, c'est dix mille chargements parasites.
Infection
Un fichier caché dans le dossier des images répond aux requêtes du pirate, envoie des spams, attaque d'autres sites. Le serveur travaille pour lui. La plupart de ces portes entrent par une extension non mise à jour : 11 334 vulnérabilités WordPress recensées en 2025 (Patchstack), en hausse de 42 %.
Dans l'immédiat
La tentation est de désactiver des extensions, vider le cache, restaurer une sauvegarde. Si le site est infecté, ces gestes effacent les indices et ne règlent rien. Voici l'ordre qui marche.
Comment on intervient
Le diagnostic vient toujours en premier. Ensuite, deux chemins : optimisation de performance si le site est sain, nettoyage puis optimisation s'il est infecté.
Temps de réponse serveur, charge CPU sur sept jours, pages indexées, fichiers récents, extensions actives. On vous dit si c'est une infection, un problème d'hébergement, ou les deux.
Vous validez : le périmètre et le devis
Suppression des scripts de cryptominage, des portes dérobées et des pages spam, dans les fichiers et dans la base. Identification de la faille et correction.
Cache de page, compression des images en WebP, suppression des extensions inutiles, mise à jour de PHP, base de données nettoyée. On vise un temps de réponse serveur sous 400 ms et un chargement sous 2 secondes.
Vous validez : les extensions retirées
Si le serveur reste lent une fois le site propre, on migre vers un hébergement isolé, sauvegardé et surveillé, sans coupure ni perte de référencement.
Vous validez : la migration
Courbe de charge, temps de chargement mesuré chaque semaine, scan quotidien des fichiers. Si la lenteur revient, on intervient sans nouveau devis pendant 30 jours.
Diagnostic gratuit sous 24 h ouvrées. Le devis est établi après le diagnostic, sur un périmètre écrit : ce qui est inclus, ce qui ne l'est pas, et le délai.
Ce que ça comprend
Inclus
Non inclus
Scénario type
Un site vitrine d'une dizaine de pages, hébergé sur un mutualisé, dont le propriétaire reçoit une alerte de dépassement de ressources sans avoir rien changé.
Ce scénario est une synthèse de ce qu'on rencontre le plus souvent sur ce type d'incident : aucun site client n'est décrit ici.
Et après
Un site nettoyé sans suivi se refait pirater. Trois façons de ne pas y revenir.
Maintenance
Le nettoyage referme la porte utilisée. La maintenance empêche qu'une autre s'ouvre : mises à jour hebdomadaires, sauvegardes testées, scan quotidien.
Hébergement
Beaucoup d'infections viennent d'un mutualisé mal isolé ou d'un serveur obsolète. On migre le site nettoyé vers un hébergement sain, sans coupure.
Refonte
Thème abandonné, extensions mortes, PHP obsolète : on nettoie une fois, puis on refond sur une base propre plutôt que de nettoyer tous les six mois.
FAQ
Non. La majorité des sites lents ont un problème de performance classique : images lourdes, extensions en trop, absence de cache, hébergement sous-dimensionné. Le piratage devient probable quand la charge serveur est élevée en permanence, quand des pages inconnues apparaissent dans Google ou quand des fichiers récents que vous n'avez pas créés existent. Le diagnostic tranche en vingt minutes.
Le diagnostic est fait sous 24 h ouvrées. Un site sain est optimisé en un à deux jours. Un site infecté est nettoyé sous 24 à 48 h, puis optimisé dans la foulée. Si l'hébergement doit changer, la migration se fait en général le même jour, sans coupure.
Le prix dépend de ce que révèle le diagnostic : optimisation seule, nettoyage, ou les deux, et de la taille du site. Le diagnostic est gratuit et le devis est établi après, sur un périmètre écrit. Pas de forfait vendu avant de savoir.
Pas systématiquement. On change d'hébergeur quand le temps de réponse du serveur reste supérieur à une seconde une fois le site propre et optimisé, quand les versions de PHP ou de base de données sont obsolètes, ou quand l'hébergeur n'assure ni sauvegardes ni isolation. Sinon, on garde le vôtre.
Non pour l'optimisation et le nettoyage, qui se font sur le site en ligne. Pour une migration d'hébergement, on prépare le nouveau serveur en parallèle et on bascule les DNS une fois tout vérifié : les visiteurs ne voient rien.
Si le site est infecté, souvent oui : un serveur qui envoie des spams finit sur des listes noires et vos propres mails n'arrivent plus. On vérifie la réputation du domaine pendant le diagnostic et on demande le retrait des listes noires après nettoyage.
Oui. Google mesure la vitesse via les Core Web Vitals (LCP sous 2,5 s, INP sous 200 ms) et pénalise les pages lentes sur mobile. Et si le site est infecté, les pages spam diluent votre référencement et peuvent déclencher une alerte de sécurité qui fait chuter tout le site. Un site rapide et propre remonte en général dans les semaines qui suivent.
Si la cause était une infection et qu'elle revient dans les 30 jours, on re-nettoie sans nouveau devis. Pour éviter que ça recommence, la maintenance WordPress assure mises à jour, sauvegardes, pare-feu et surveillance de la charge chaque semaine.
Problèmes voisins
Problème voisin
Des titres en japonais ou en chinois dans Google
Problème voisin
Erreur critique, écran blanc, site inaccessible
Problème voisin
Domaine blacklisté, mails qui n'arrivent plus
Problème voisin
Migrer un site nettoyé vers un hébergement sain
Page principale
Symptômes, méthode, garanties et les 13 problèmes courants.
Chaque heure passée avec un site compromis coûte des visiteurs, des mails perdus et de la confiance. Appelez, ou décrivez ce que vous voyez : on vous répond sous 1 h ouvrée.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic, re-nettoyage inclus 30 jours.
Ils nous font confiance
Le blog EVICO
70 % des sites compromis contiennent une porte dérobée. Webshell, compte fantôme, mot de passe d’application, cron de…
Avertissement « Ce site peut avoir été piraté » ou page rouge Safe Browsing : la procédure exacte de réexamen Google, les délais…
Redirections vers des sites de paris ou de faux antivirus : le redirect hack expliqué de l’intérieur. Les 6 cachettes exactes du…
La méthode de nettoyage que nous appliquons sur chaque site piraté : logs, checksums, base de données, cron, réexamen Google. 7…
Remplissez le formulaire pour télécharger immédiatement votre rapport d’audit SEO personnalisé (17 pages, PDF).
Téléchargement immédiat · Sans engagement · Données RGPD
Pour découvrir ce que le digital peut réellement apporter à votre entreprise, réservez votre audit gratuit. On analyse votre marché, vos concurrents et vos opportunités — et vous repartez avec un cahier des charges complet, sans engagement.
