Mon site WordPress s'est fait pirater - que faire ?

Aïe... ton site WordPress s'est fait pirater.

Pourquoi ça arrive ? Voici les raisons principales :

La plus grosse erreur ? Les gens créent leur site WordPress puis l'oublient complètement. Aucune mise à jour. Aucune maintenance. Ils choisissent des mots de passe du genre "password123" ou laissent "admin". Ensuite, ils installent des plugins sans contrôle : ils téléchargent depuis des sites peu fiables ou gardent des plugins obsolètes, bourrés de failles de sécurité. Pire encore : certains utilisent des thèmes et plugins piratés. Et sans surveillance de sécurité, ils attendent pratiquement de se faire pirater.

Comment savoir si ton site est compromis ?

Tu n'es pas sûr que ton site ait vraiment été piraté ? Voici les signaux d'alarme :

• Ton site rame comme pas possible ou plante sans arrêt
• Tu tombes sur des messages d'erreur bizarres
• Tu découvres du contenu que tu n'as jamais créé
• Tu repères du code louche dans le code source de ton site
• Ton site renvoie vers des sites web douteux
• Google balance des avertissements aux visiteurs de ton site
• Tu es carrément bloqué hors de ton propre espace admin

Bon, c'est confirmé : ton site s'est fait pirater. Qu'est-ce qu'on fait maintenant ?

Tu as deux possibilités :

Tout recommencer à zéro. Reconstruire depuis le début en prenant la sécurité très au sérieux cette fois-ci. Si tu optes pour cette solution, on te conseille de supprimer complètement ton compte d'hébergement web et de repartir sur de bonnes bases. Tu peux facilement réinitialiser ton compte d'hébergement depuis ton tableau de bord Site.fr. Si tu as besoin d'aide pour transférer ton site, on est là pour toi.

Ou alors, tenter de nettoyer le site compromis. Mais attention : nettoyer un site web piraté, c'est vraiment complexe. Tu ne sais jamais quelles portes dérobées ils ont installées ni quels fichiers ils ont modifiés.

Comment éviter de te faire pirater ton site WordPress ?

Comme on dit, mieux vaut prévenir que guérir. Voici ta feuille de route :

1. N'installe que des plugins de sources fiables. Vérifie bien qu'ils sont régulièrement mis à jour.
2. Pareil pour les thèmes. Choisis des thèmes bien maintenus et à jour.
3. Supprime tout ce qui ne te sert plus. Les anciens plugins non utilisés sont des cibles privilégiées pour les pirates.
4. Utilise des mots de passe costauds. Et on parle de vraiment costauds, hein !
5. Maintiens WordPress à jour. Utilise toujours la dernière version disponible.
6. Protège wp-admin des utilisateurs non autorisés. Utilise des plugins de sécurité pour cela.
7. Limite les tentatives de connexion. Histoire de couper l'herbe sous le pied des attaques par force brute.
8. Active l'authentification à deux facteurs. Cette couche de protection en plus, c'est de l'or en barre.
9. Installe un plugin de sécurité. On te recommande WordFence. Lance un scan toutes les 2-3 semaines. Et suis vraiment ses recommandations à la lettre.

Comment nettoyer un site WordPress piraté

Tu préfères nettoyer plutôt que de tout recommencer ? Alors tu vas devoir élucider deux mystères :

Par où sont-ils passés pour entrer ? Et quels fichiers ont-ils bidouillés ?

C'est un sacré boulot, crois-moi. D'ailleurs, certaines boîtes se sont spécialisées là-dedans, dans le nettoyage de sites WordPress.

Wordfence a pondu un guide super pratique : Comment nettoyer un site WordPress piraté avec Wordfence

Ce qu'il ne faut surtout PAS faire quand tu te fais pirater

Quand c'est la panique à bord, les gens font n'importe quoi. Évite de tomber dans le panneau :

• Ne fais pas l'autruche en espérant que ça se tasse tout seul. Ça ne disparaîtra pas. Au contraire, ça va empirer si tu croises les bras.
• Ne craque pas en payant une rançon. Tu donnes du fric à des escrocs. Et en plus, ils ne répareront probablement même pas ton site.

Plusieurs sites web ? Répartis les risques

Attention, point crucial ! Si tu as plusieurs sites web sur le même compte d'hébergement et qu'un site se fait pirater ? Les pirates ont les clés de tous tes sites d'un coup.

Pense à éparpiller tes sites web sur plusieurs comptes d'hébergement chez Site.fr. On le conseille de toute façon, et pas uniquement pour des questions de sécurité.

C'est aussi plus malin pour le référencement. Et dispatcher tes sites web sur plusieurs serveurs, ça te donne une redondance au top.

Pour faire court ? Prends la sécurité de ton site web au sérieux. Surtout avec des systèmes open source comme WordPress. N'oublie pas non plus le HTTPS et SSL, c'est indispensable pour un site sécurisé.

Garde espoir !

Se faire pirater, c'est l'horreur. On le sait bien. Mais voici la bonne nouvelle :

Des milliers de sites WordPress retrouvent une seconde vie chaque jour après un piratage. Le tien peut très bien en faire partie. Que tu décides de repartir à zéro ou de nettoyer le site compromis, tu peux récupérer ton site web.

Vois ça comme une leçon de vie. Tire les enseignements de cette galère. Fais de la sécurité ta priorité absolue. Et ton site web ressortira plus blindé que jamais de cette épreuve.