Guides · Par technologie · 9 min

WordPress piraté : par où entrent les attaques et comment refermer

WordPress n'est pas fragile par nature : il est partout, et les attaques visent ce qui n'a pas été mis à jour. Voici les quatre portes que nous trouvons le plus souvent, et l'ordre pour les fermer.

1. L'extension oubliée, de loin la plus fréquente

Formulaire, constructeur de page, galerie, SEO : une extension installée puis jamais mise à jour. Les failles sont publiques, les bots les testent en continu. Désactiver l'extension après l'attaque ne retire pas le code déjà déposé ailleurs sur le site.

2. Le thème téléchargé hors du circuit officiel

Un thème « premium gratuit » arrive souvent déjà infecté. L'administration a l'air normale, le backdoor est dans un fichier du thème. Changer de thème sans inspecter les fichiers laisse parfois une copie du code dans un must-use plugin ou à la racine.

3. Le mot de passe administrateur deviné

Aucune limitation des tentatives, mot de passe réutilisé, ancien prestataire encore dans les utilisateurs. Un compte fantôme avec le rôle administrateur est un signal plus fiable qu'un fichier isolé : quelqu'un peut revenir sans exploit.

Supprimez les comptes que vous ne reconnaissez pas, puis changez votre propre mot de passe. L'inverse laisse une session ouverte.

4. Le voisin de serveur sur un hébergement partagé

Un autre site du même compte, mal isolé, sert de point de départ. Nettoyer WordPress sans regarder les autres dossiers du compte garantit une réinfection. C'est le cas que les plugins de sécurité ne voient pas : ils ne regardent que « leur » site.

5. Ce qu'un plugin de sécurité ne fait pas

Il signale parfois l'infection, rarement il la retire complètement, jamais il ne referme une faille dans une extension tierce. L'installer pendant l'attaque ajoute du bruit. On l'ajoute à la fin, une fois le site propre, comme filet — pas comme nettoyage.

6. Refermer pour de bon

Comparer les fichiers au cœur et aux extensions officielles, retirer les ajouts, corriger l'extension ou le thème en cause, régénérer les clés et mots de passe, limiter les tentatives de connexion, puis surveiller trente jours. Réinstaller WordPress par-dessus sans ce travail remet souvent l'infection en place.

À lire ensuite
Faire nettoyer un WordPress Porte dérobée oubliée Pages spam dans Google Voisin de serveur