Catégorie : blog

Un site WordPress piraté ne se « répare » pas toujours proprement. Dans certains cas, la meilleure décision n’est pas de corriger encore un problème de plus, mais de repartir sur une base saine.

Ce choix peut sembler radical. Pourtant, il est parfois plus sûr, plus rapide et plus rentable que de conserver un site ancien, mal maintenu ou infecté en profondeur.

Dans cet article, je vous explique quand reconstruire un site WordPress après un piratage, comment récupérer votre contenu sans réimporter l’infection, et pourquoi il faut aussi nettoyer les pages contenant des redirections cachées ou du code injecté.

Les cas où une reconstruction complète est souvent préférable

• Le site n’a pas été mis à jour depuis longtemps.
• Vous ne savez pas depuis quand l’infection est présente.
• Des fichiers du thème ou des extensions ont été modifiés.
• Il y a plusieurs symptômes : spam SEO, redirections, création d’utilisateurs inconnus, pages parasites.
• Le site utilise un thème ou des plugins abandonnés.
• Le temps nécessaire au nettoyage dépasse celui d’une reconstruction propre.

Dans ces situations, je recommande souvent de sauver le contenu utile, puis de reconstruire sur un WordPress neuf plutôt que de tenter de conserver un environnement douteux.

Ce qu’il faut récupérer… et ce qu’il ne faut pas reprendre tel quel

L’objectif n’est pas de tout copier. Il faut récupérer uniquement ce qui a de la valeur, puis le vérifier.

• À récupérer : pages, articles, médias utiles, menus, structure de contenu, éventuellement certains réglages.
• À éviter en reprise directe : thème ancien, plugins suspects, comptes utilisateurs non vérifiés, fichiers du site compromis.
• À contrôler de près : contenus contenant du HTML personnalisé, des shortcodes, des scripts, des blocs intégrés ou du code collé manuellement.

Méthode 1 : exporter le contenu depuis WordPress

Si l’administration WordPress est encore accessible et relativement stable, la méthode la plus simple consiste à utiliser l’outil d’export natif. C’est pratique, mais ce n’est pas suffisant sans vérification, car des pages piratées peuvent contenir des redirections cachées en JavaScript, des liens injectés ou du code HTML malveillant.

Export complet du contenu :

• Connectez-vous à l’administration du site piraté.
• Allez dans Outils > Exporter.
• Choisissez Tout le contenu ou limitez aux articles, pages et médias selon votre besoin.
• Téléchargez le fichier d’export au format XML.
• Ouvrez ce fichier avec un éditeur de texte pour vérifier s’il contient du code suspect, des scripts, des domaines inconnus ou des redirections.

Import sur le nouveau site :

• Installez un WordPress neuf sur un hébergement sain.
• Ajoutez un thème maintenu et uniquement les extensions nécessaires.
• Allez dans Outils > Importer.
• Installez l’importeur WordPress si besoin.
• Importez le fichier XML nettoyé.
• Associez les contenus aux bons auteurs et cochez l’option de téléchargement des fichiers joints si elle est proposée.

Après import, il faut relire les pages une par une, surtout celles qui ont été modifiées manuellement dans le passé.

Méthode 2 : récupérer le contenu directement depuis la base de données

Quand l’export WordPress ne fonctionne plus, quand l’administration est cassée, ou quand vous voulez contrôler plus finement ce qui est repris, il est possible de récupérer le contenu directement depuis la base de données. Cette méthode demande plus de rigueur, mais elle est très utile.

Le principe est simple : on extrait le texte utile depuis les tables WordPress, on le nettoie, puis on l’importe dans un site neuf. Le point important est de ne pas recopier aveuglément toute la base.

Étape 1 : faire une sauvegarde de la base

• Connectez-vous à votre hébergement.
• Ouvrez phpMyAdmin ou l’outil de gestion de base proposé.
• Sélectionnez la base du site piraté.
• Utilisez Exporter pour télécharger un fichier SQL complet avant toute manipulation.

Étape 2 : repérer les tables utiles

Dans la plupart des cas, le contenu principal se trouve dans wp_posts et les informations complémentaires dans wp_postmeta. Si votre préfixe n’est pas wp_, adaptez-le.

• wp_posts : pages, articles, brouillons, pièces jointes, révisions.
• wp_postmeta : champs personnalisés liés aux contenus.
• wp_terms, wp_term_taxonomy, wp_term_relationships : catégories et étiquettes si vous souhaitez les reprendre.

Étape 3 : exporter uniquement les contenus utiles

Dans phpMyAdmin, vous pouvez utiliser l’onglet Exporter sur une table, ou exécuter une requête SQL via l’onglet SQL pour cibler uniquement les contenus voulus.

Exemple pour lister les pages et articles publiés :

SELECT ID, post_title, post_type, post_status, post_name, post_content FROM wp_posts WHERE post_type IN ('post','page') AND post_status IN ('publish','draft','private');

Depuis le résultat, exportez en CSV si vous souhaitez retraiter le contenu dans un tableur ou un éditeur, ou en SQL si vous voulez conserver une structure exploitable. Le CSV est souvent plus simple pour faire du nettoyage manuel.

Étape 4 : nettoyer le contenu avant réimport

C’est ici que beaucoup d’erreurs se produisent. Une page compromise peut contenir :

• des balises <script> injectées ;
• du code JavaScript provoquant une redirection ;
• des iframe cachées ;
• des liens vers des domaines inconnus ;
• du code obfusqué, c’est-à-dire rendu volontairement illisible ;
• des redirections déguisées en HTML, en shortcode ou dans des blocs personnalisés.

Il faut donc relire les champs post_content des pages sensibles, surtout la page d’accueil, les pages de vente, les anciennes landing pages et les pages créées avec un constructeur visuel. Recherchez notamment : script, window.location, document.location, eval(, atob(, iframe, des URL externes suspectes et du code HTML inhabituel.

Si une page contient une redirection ou un code douteux, le plus sûr est souvent de recopier uniquement le texte brut, puis de reconstruire proprement la mise en page sur le nouveau site.

Étape 5 : importer dans le nouveau WordPress

Vous avez ensuite plusieurs options :

• Import manuel : créer les pages et articles à la main dans le nouveau site, puis coller le contenu nettoyé. C’est long, mais très sûr.
• Import via CSV : utiliser une extension d’import de contenu si vous avez beaucoup de pages. Dans ce cas, n’importez que les colonnes utiles et évitez les métadonnées douteuses.
• Import SQL ciblé : réservé aux cas maîtrisés. On injecte uniquement des données vérifiées dans les tables du nouveau site. Cette méthode est efficace, mais elle demande de bien connaître la structure WordPress.

Dans tous les cas, je conseille de ne pas importer automatiquement l’ensemble de wp_postmeta, car certaines métadonnées peuvent contenir des restes de code injecté, notamment sur les sites construits avec des builders.

Ne pas oublier les redirections et le code caché dans les pages

Un piratage ne se limite pas aux fichiers serveur. J’ai déjà vu des pages WordPress contenant une redirection directement dans le contenu, via JavaScript, HTML caché ou bloc personnalisé. Si vous réimportez ces pages sans contrôle, vous ramenez le problème sur le nouveau site.

Avant mise en ligne, vérifiez :

• les pages stratégiques ouvertes dans l’éditeur ;
• le code source affiché côté navigateur ;
• les liens sortants ajoutés sans raison ;
• les éventuelles redirections configurées par plugin, thème ou fichier serveur.

Reconstruction propre : la bonne méthode

Une reconstruction sérieuse suit en général ces étapes :

• installer un WordPress neuf ;
• changer tous les accès : hébergement, FTP, base de données, comptes admins ;
• installer un thème maintenu ;
• réinstaller uniquement les extensions utiles et fiables ;
• réimporter le contenu après nettoyage ;
• mettre en place sauvegardes, sécurité et mises à jour régulières.

C’est aussi l’occasion de simplifier le site, d’améliorer sa vitesse et de repartir avec une maintenance plus saine.

En résumé

Après un piratage WordPress, repartir de zéro n’est pas un échec. C’est souvent la décision la plus prudente quand le site est ancien, mal maintenu ou infecté en profondeur.

L’essentiel est de récupérer le bon contenu, sans recopier les éléments compromis. Et cela inclut aussi le contenu des pages, pas seulement les fichiers du site. Une redirection cachée dans une page peut suffire à réinfecter votre nouveau départ.

Un site WordPress non sécurisé peut être compromis en quelques minutes. La majorité des attaques ne ciblent pas un site en particulier, mais des failles connues non corrigées.

La bonne nouvelle : la sécurité WordPress repose sur une série d’actions simples mais essentielles. Pas besoin d’être un expert en informatique pour protéger son site – il suffit de connaître les bonnes pratiques et de les appliquer régulièrement.

Voici une checklist complète utilisée par les professionnels de la maintenance WordPress. Chaque point est expliqué simplement, sans jargon technique.

1. Mettre à jour WordPress, les thèmes et les plugins

C’est le geste le plus important et le plus simple. WordPress, les thèmes (l’apparence de votre site) et les extensions (les fonctionnalités supplémentaires) doivent être maintenus à jour régulièrement.

👉 80 % des piratages exploitent des versions obsolètes. Les mises à jour corrigent des failles de sécurité connues. C’est comme verrouiller une porte dont on sait que la serrure est fragile.

Conseil pratique : activez les mises à jour automatiques pour les versions mineures de WordPress, et planifiez un passage mensuel pour vérifier le reste. Si vous avez un service de maintenance, c’est généralement inclus.

2. Utiliser des mots de passe forts et uniques

Cela semble évident, mais c’est encore trop souvent négligé. Un mot de passe faible est la première porte d’entrée pour une attaque.

• Évitez les mots simples comme « motdepasse », « 123456 » ou le nom de votre association.
• Utilisez un gestionnaire de mots de passe (gratuit pour la plupart). Il peut créer et retenir des mots de passe compliqués à votre place — vous n’aurez à retenir qu’un seul mot de passe maître.
• Supprimez les comptes inutilisés : anciens bénévoles, prestataires, stagiaires. Chaque compte oublié est une porte d’entrée potentielle.

3. Limiter les tentatives de connexion – optionnel

Les attaques par « brute force » consistent à essayer des milliers de combinaisons de mots de passe pour deviner le vôtre. C’est un robot qui tente de s’introduire chez vous en essayant toutes les clés possibles.

Un plugin de limitation de connexion bloque automatiquement une adresse IP après quelques échecs. Cela suffit à décourager la quasi-totalité des attaques automatiques.

4. Activer un pare-feu applicatif – optionnel

Un pare-feu (firewall) pour site Web agit comme un filtre : il analyse les requêtes entrantes et bloque celles qui sont suspectes avant même qu’elles n’atteignent votre site.

Imaginez un videur à l’entrée de votre site qui vérifie qui entre et qui refuse les personnes mal intentionnées. C’est exactement le rôle d’un pare-feu.

5. Mettre en place des sauvegardes régulières

Un site sécurisé est un site qui peut être restauré rapidement en cas de problème. La sauvegarde est votre parachute.

• Sauvegardez la base de données (le contenu de votre site : articles, pages, commentaires).
• Sauvegardez les fichiers complets (le code, les images, les téléchargements).
• Automatisez la fréquence : idéalement quotidienne ou hebdomadaire selon l’activité de votre site.
• Stockez les sauvegardes ailleurs que sur votre hébergement (cloud, disque dur externe).

6. Supprimer les extensions et les thèmes inutilisées

Chaque extension (plugin) que vous installez est une porte d’entrée potentielle, même si elle est désactivée. Si vous ne l’utilisez plus, supprimez-la complètement.

Faites le tri régulièrement dans vos extensions. Gardez uniquement celles dont vous avez vraiment besoin et qui sont régulièrement mises à jour par leurs développeurs.

En résumé

La sécurité WordPress n’est pas une option, c’est une maintenance continue. Un site laissé sans attention pendant plusieurs mois devient une cible facile.

Vous n’avez pas le temps ou l’envie de gérer tout cela ? C’est normal – vous n’êtes pas technicien Web, vous faites vivre votre association ou votre entreprise. C’est précisément pour cela que des services de maintenance professionnelle existent.