Site piraté : que faire dans l’heure qui suit (checklist d’urgence)

Vous venez de découvrir que votre site est piraté : page d’accueil défigurée, redirections vers des
sites douteux, alerte rouge de Google ou e-mail de votre hébergeur. La première réaction — panique,
puis suppression frénétique de tout ce qui semble suspect — est précisément celle qu’il faut éviter.
En France, les TPE et PME représentent 74 % des victimes de cyberattaques, et
le coût moyen d’un incident se situe entre 15 000 et 85 000 €
(remédiation, perte d’activité, obligations RGPD comprises). La bonne nouvelle : ce que vous
faites dans la première heure peut réduire drastiquement la facture. Voici la checklist, minute par
minute.

Avant tout : respirez, et ne supprimez rien

L’immense majorité des piratages de sites ne vise pas vous personnellement :
95 % des attaques sont automatisées, menées par des robots qui scannent le web
à la recherche de sites vulnérables. Votre site a simplement été trouvé par un scanner. Cela signifie
deux choses : vous n’êtes pas seul, et la méthode de nettoyage est connue.

Surtout, ne supprimez rien dans la précipitation. Les fichiers infectés sont des
indices : ils permettent d’identifier la faille d’entrée. Les supprimer sans comprendre, c’est
nettoyer la vitrine en laissant la porte de derrière ouverte — selon Sucuri, environ 70 %
des sites compromis hébergent au moins une porte dérobée (backdoor) au moment du nettoyage.
Supprimer le symptôme visible ne fait jamais partir l’intrus.

Minute 0 à 5 : documentez ce que vous voyez

• →Captures d’écran de tout ce qui est anormal : pages modifiées, pop-ups, redirections, messages d’alerte.
• →Conservez les e-mails : alerte de l’hébergeur, notification Google Search Console, plainte d’un client.
• →Notez l’heure de découverte et, si vous le savez, la dernière fois où le site était sain.

Ces éléments serviront à l’analyse, à votre assureur si vous avez une couverture cyber, et à la
CNIL si des données personnelles sont concernées.

Minute 5 à 15 : changez tous les mots de passe

L’attaquant possède peut-être un ou plusieurs de vos accès. Changez, dans cet ordre :

• Les comptes administrateur WordPress — le vôtre et ceux de vos collaborateurs.
• L’accès à votre espace hébergeur (cPanel, hPanel, manager OVH…) et le FTP/SFTP.
• Le mot de passe de la base de données (puis reportez-le dans wp-config.php).
• Votre boîte e-mail principale si elle partage un mot de passe avec l’un des comptes ci-dessus — c’est elle qui permet de réinitialiser tout le reste.

Choisissez des mots de passe longs et uniques, et activez la double authentification partout où
c’est possible. Vérifiez aussi la liste des utilisateurs WordPress : un compte
administrateur que vous n’avez pas créé est un signe classique d’intrusion — notez son nom,
mais ne le supprimez pas encore (préservez les preuves).

Minute 15 à 25 : sauvegardez l’état actuel du site

Cela peut sembler contre-intuitif — sauvegarder un site infecté ? — mais c’est une étape que les
professionnels ne sautent jamais. Cette copie :

• →sert de base d’analyse pour retrouver la faille d’entrée et dater l’intrusion ;
• →constitue une preuve en cas de déclaration d’assurance ou de plainte ;
• →vous protège si une manipulation de nettoyage tourne mal.

Stockez-la hors du serveur (votre ordinateur, un cloud), clairement étiquetée « infectée — ne
pas restaurer ». Récupérez aussi votre dernière sauvegarde saine si vous en
avez une : elle servira de point de comparaison.

Minute 25 à 35 : mettez le site en pause

Tant que le site est infecté, chaque visiteur est exposé (redirections malveillantes, faux
formulaires, malware) et chaque heure aggrave votre référencement. Passez le site en
mode maintenance avec un code HTTP 503 (« service temporairement
indisponible ») : c’est le signal officiel qui dit à Google « ne désindexez pas, je
reviens ». Votre hébergeur peut le faire pour vous si vous n’êtes pas à l’aise.

Minute 35 à 50 : évaluez l’étendue des dégâts

Sans rien modifier, faites l’inventaire :

• →Google Search Console → rubrique « Sécurité et actions manuelles » : Google y liste les URLs infectées qu’il a détectées.
• →Recherche site:votredomaine.fr dans Google : des pages en japonais, des produits pharmaceutiques ou des titres inconnus ? C’est du spam SEO — présent sur 42 % des sites infectés selon Sucuri.
• →Fichiers récemment modifiés : via FTP, triez par date. Des fichiers PHP récents dans wp-content/uploads/ ou à la racine sont hautement suspects.
• →Vos données : le site collecte-t-il des données clients (formulaires, comptes, commandes) ? Si oui, la fuite est possible et le volet RGPD s’ouvre.

Minute 50 à 60 : alertez qui doit l’être

• Votre hébergeur : il a peut-être déjà détecté l’infection (certains suspendent le site d’office) et peut fournir les journaux d’accès, précieux pour l’analyse.
• Votre prestataire web si vous en avez un — ou un spécialiste du nettoyage WordPress si vous n’en avez pas.
• La CNIL, sous 72 heures, si des données personnelles ont pu être compromises : c’est une obligation RGPD, pas une option. La notification se fait en ligne et une déclaration honnête est toujours mieux perçue qu’un silence découvert plus tard.
• Votre assureur si votre contrat comporte un volet cyber.

Et après la première heure ?

La première heure limite les dégâts ; elle ne nettoie pas le site. La suite d’un nettoyage
sérieux :

Pourquoi ne pas simplement restaurer une sauvegarde ? Parce que si la sauvegarde est
postérieure à l’intrusion, vous restaurez le malware avec ; et si elle est antérieure, la faille
d’entrée, elle, est toujours là. La restauration fait partie de la solution, jamais toute la
solution.

Pour vérifier méthodiquement si l’intrus est encore là, lisez notre guide :
les 12 signes qu’un site
WordPress est piraté.

Sources : rapports ANSSI / CERT-FR 2025 (coût moyen d’un incident : 15 000 à
85 000 € ; TPE-PME : 74 % des victimes) ; Sucuri Hacked Website Threat
Report (backdoors sur ~70 % des sites compromis, spam SEO sur 42 % des sites
infectés) ; règles Google Safe Browsing (statut récidiviste : 30 jours) ;
Cybermalveillance.gouv.fr.