Nettoyage d’un site WordPress infecté : guide pratique pour propriétaires

Pourquoi ce guide et à qui il s’adresse

Assumer qu’un site WordPress est infecté peut être stressant. Ce guide s’adresse aux propriétaires de site, responsables de boutique WooCommerce et administrateurs PrestaShop qui veulent restaurer l’intégrité de leur site sans causer de dommages supplémentaires. Il explique étapes et priorités, quand agir soi‑même et quand faire appel à une agence de sécurité WordPress.

Nous n’allons pas proposer d’outils d’attaque, ni promettre qu’un retour à la normale est garanti : la sécurité est une réduction de risques. Les actions recommandées sont défensives et prudentes, axées sur sauvegardes, investigation, nettoyage, durcissement et surveillance continue.

Première priorité : isoler et sauvegarder

Dès que vous soupçonnez une infection, isolez le site pour limiter la propagation. Selon votre hébergement, mettez le site en maintenance, désactivez les comptes administrateur non essentiels et changez les mots de passe FTP/SFTP, SSH et les clés API. Informez votre hébergeur si l’incident semble affecter plusieurs comptes.

Avant toute manipulation intrusive, réalisez au minimum deux sauvegardes distinctes : une copie complète des fichiers (via SFTP ou via le panneau d’hébergement) et une exportation de la base de données. Conservez ces sauvegardes hors ligne et en lecture seule. Ces clichés serviront d’archives pour analyse judiciaire ou pour tenter des restaurations propres si un nettoyage corrompt davantage le site.

Détecter la nature de l’infection

Identifier le type d’infection oriente la réponse : spam SEO, injection PHP backdoor, redirection malveillante, compromission d’un compte administrateur, ou vol de données. Utilisez des outils d’analyse de fichiers (scans antivirus côté serveur, signatures de maliciels) et examinez les logs (access.log, error.log, logs FTP, logs d’accès WordPress si disponibles).

Pour WooCommerce, surveillez les fichiers qui traitent les checkout et les pages de paiement : une interception côté front ou back peut viser les données de carte. Pour PrestaShop, contrôlez les overrides et les modules tiers qui modifient les processus de commande. Notez toute modification de fichier récente (dates, utilisateurs) et les requêtes suspectes dans les logs.

Nettoyage initial : méthodes sûres et étapes à suivre

Un nettoyage correct combine suppression, remplacement et vérification. La méthode la plus sûre consiste souvent à restaurer des fichiers sains depuis des sources officielles, pas à « réparer » fichiers suspects ligne par ligne.

1. Remplacez le coeur WordPress par une copie fraîche de la version exacte téléchargée depuis wordpress.org. Ne conservez que wp-config.php et le dossier wp-content et ses contenus personnalisés.

2. Passez en revue wp-content : thèmes et plugins doivent provenir de sources fiables. Supprimez tous les thèmes et plugins non utilisés ou téléchargés depuis des sources inconnues. Réinstallez les versions officielles depuis le répertoire WordPress ou les éditeurs.

3. Analysez et nettoyez les fichiers du dossier uploads : ce dossier est souvent injectable. Recherchez les fichiers PHP (qui n’y ont normalement pas leur place) et archivez-les pour examen. Pour une boutique WooCommerce, validez les médias liés aux produits via une réimportation si nécessaire.

4. Remplacez les fichiers système manquants ou altérés sur le serveur par leurs versions d’origine. N’éditez pas de fichiers suspects en production sans test.

Gestion de la base de données et comptes compromis

Une infection peut aussi résider dans la base de données (options corrompues, utilisateurs malveillants, scripts stockés). Exportez la base et inspectez les tables wp_users, wp_options, wp_posts pour des entrées anormales (scripts, iframes, shortcodes inconnus).

Si des comptes administrateurs inconnus existent, supprimez-les après avoir vérifié qu’ils ne correspondent pas à des comptes techniques légitimes. Forcez la réinitialisation des mots de passe pour tous les comptes administrateurs et pour les comptes FTP/SSH/hosting. Activez l’authentification multifacteur (MFA) pour tous les comptes disposant de cette option.

Tests de sécurité: scanners et audit manuel

Les scanners automatiques (Wordfence, Sucuri, ClamAV côté serveur) sont utiles pour repérer des signatures connues, mais ils ne remplacent pas une inspection humaine. Complétez les scans par un audit manuel des points d’entrée : fichiers uploads, includes PHP, wp-config.php, .htaccess et les crons.

Pour les environnements partagés, contrôlez que d’autres comptes n’ont pas écrit dans vos espaces. Vérifiez les permissions de fichiers et répertoires : en général, 644 pour fichiers et 755 pour dossiers, et 640/750 selon recommandations d’hébergeur pour une sécurité renforcée.

Durcissement après nettoyage

Une fois le site nettoyé et testé en staging, appliquez des mesures de durcissement avant de remettre en production. Cela inclut :

• limiter les droits des comptes aux besoins réels ;

• installer un WAF (pare-feu applicatif) côté hébergeur ou cloud ;

• forcer HTTPS et sécuriser cookies et en-têtes (Content-Security-Policy, X-Frame-Options) ;

• mettre en place une surveillance d’intégrité (hash des fichiers) et alertes en cas de changements.

Pour WooCommerce, vérifiez la configuration des passerelles de paiement (ne stockez jamais de données de carte en clair) et testez un parcours d’achat complet en environnement sécurisé. Pour PrestaShop, vérifiez la compatibilité des modules réinstallés et supprimez les modules non maintenus.

Communication et obligations légales

Si des données client ont pu être exposées, informez légalement vos clients selon la réglementation applicable (par exemple RGPD en Europe). Préparez un message concis : nature de l’incident, données potentiellement affectées, actions prises et recommandations aux utilisateurs (changement de mot de passe, surveillance des relevés bancaires).

Documentez chaque étape du nettoyage et conservez les logs (horodatage, actions réalisées, utilisateurs impliqués). Cette piste d’audit est utile en cas d’enquête ou pour une intervention professionnelle ultérieure.

Quand faire appel à une agence de sécurité WordPress

Si l’infection persiste, si des données sensibles sont compromises, ou si vous manquez d’expertise technique, contactez une agence spécialisée. Recherchez une agence avec processus d’investigation clairs, références et garanties procédurales, pas des promesses de résultat absolu. Une agence pourra effectuer un forensic, bloquer vecteurs d’attaque avancés et aider à la notification clients.

Securantis peut être une ressource utile pour la prévention et la surveillance, mais ne remplace pas une réponse d’urgence personnalisée en cas d’attaque grave. Choisissez un prestataire qui propose des sauvegardes régulières, sécurité proactive et plans d’incident.

Checklist de reprise rapide

• Conserver sauvegardes hors ligne avant toute action.

• Remplacer cœur WordPress et réinstaller thèmes/plugins depuis sources officielles.

• Réinitialiser tous les mots de passe et activer MFA.

• Scanner et auditer base de données et uploads.

• Appliquer règles de permissions strictes et WAF.

• Informer clients et documenter l’incident.

Conclusion

Nettoyer un site WordPress infecté exige méthode, documentations et prudence. La priorité est toujours de préserver des sauvegardes fiables et d’éviter des modifications précipitées qui pourraient effacer des preuves ou aggraver la situation. Après nettoyage, le durcissement et la surveillance sont indispensables pour réduire le risque de récidive.

Pour la majorité des petites structures, les actions décrites ici permettent de retrouver un fonctionnement sûr. Pour des attaques sophistiquées ou des fuites de données, faites appel à des spécialistes pour un forensic et une réponse coordonnée. En matière de sécurité, privilégiez la préparation : sauvegardes régulières, mises à jour et contrôles d’accès restent vos meilleurs investissements pour limiter l’impact d’une compromission.