Nettoyage d'un site WordPress piraté avec une intervention en 4h par un expert SEO

Les signes les plus fréquents sont visibles sans outil technique : redirections vers des sites de casino ou de pharmacie, pages apparues en japonais ou vietnamien dans Google, avertissement « site trompeur » dans le navigateur, impossibilité d’accéder à l’administration, ralentissement soudain, plugins inconnus installés automatiquement. Si un seul de ces symptômes se manifeste, votre site est probablement compromis. Une vérification rapide via Google Search Console, section « Problèmes de sécurité », confirme généralement le diagnostic.

Le tarif dépend de la complexité du dossier. Pour un site WordPress unique et non-multisite, l’intervention se fait à prix fixe : 290€ HT (Standard, sous 24h) ou 490€ HT (Express, sous 4h 7j/7), paiement sécurisé via Stripe après qualification. Pour les cas plus lourds (WooCommerce avec fuite de données, hack remontant à plus de 30 jours, site volumineux), un forfait Complexe à 990€ HT est proposé. Pour les scénarios multi-sites ou hébergement compromis, je démarre par un diagnostic approfondi à 590€ HT (entièrement déductible du montant de l’intervention), avec une fourchette typique entre 2 500 et 15 000€ HT selon le scope réel constaté.

Pour un site WordPress simple, le nettoyage complet prend entre 4 et 24 heures selon l’urgence et l’étendue des dégâts. Les cas complexes (multisite, hébergement compromis, hack remontant à plus de 30 jours) nécessitent plusieurs jours d’intervention. Le délisting complet de Google peut prendre entre quelques jours et quelques semaines selon le volume d’URLs à purger et la fréquence de crawl de votre site.

Cela dépend des garanties de votre contrat. De plus en plus de contrats d’assurance professionnelle intègrent une garantie cyber couvrant la remédiation technique, la notification RGPD et la restauration des données. Mon intervention inclut systématiquement un rapport de cause racine détaillé, exploitable directement par votre assureur pour justifier la prise en charge. Je vous recommande de contacter votre courtier dès que vous avez identifié le piratage, avant même de démarrer l’intervention.

La récupération dépend de trois facteurs : la rapidité du nettoyage, la rapidité du délisting des pages spam dans Google, et la présence éventuelle d’une pénalité manuelle Google. Pour un site nettoyé sous 48 heures avec un délisting propre, la remontée du trafic naturel intervient généralement en 2 à 6 semaines. Pour un site blacklisté Safe Browsing, comptez 1 à 2 semaines supplémentaires pour le ré-examen Google. Pour un site compromis depuis plusieurs mois avec un volume important d’URLs spam indexées, la récupération complète peut prendre 3 à 6 mois, avec une remontée progressive au fil du recrawl.

C’est un signe classique de compromission. Un script malveillant a été injecté dans votre code ou votre base de données. Ne touchez pas à votre site et contactez un professionnel : manipuler un site infecté sans précaution peut aggraver la situation, propager l’infection vers vos sauvegardes ou rendre la restauration future impossible.

Le réflexe « je supprime les fichiers suspects et je répare » est la cause principale des réinfections rapides. La bonne démarche : conserver une image de l’état infecté avant toute modification, identifier d’abord le vecteur d’entrée (plugin vulnérable, mot de passe compromis, fichier nulled), supprimer toutes les backdoors simultanément, régénérer les clés d’authentification WordPress, puis seulement appliquer les mises à jour et le durcissement. Sans identification du vecteur initial, le malware reviendra souvent en quelques jours.

Un site sans sauvegarde saine peut quand même être récupéré. La démarche change : au lieu de restaurer, on désinfecte chirurgicalement en place. Les fichiers core WordPress sont restaurés depuis les sources officielles WordPress.org, les thèmes et plugins depuis leur éditeur légitime, et seuls vos fichiers personnalisés (uploads, contenus, configurations spécifiques) sont conservés après scan approfondi. L’intervention est plus longue qu’avec une sauvegarde de référence mais reste réalisable dans le cadre des forfaits Standard, Express ou Complexe selon la complexité.

Plusieurs causes possibles : saturation serveur due à du spam automatisé, fichier core modifié de manière destructive, erreur PHP fatale provoquée par un backdoor mal codé, blocage par l’hébergeur après détection d’activité suspecte. Une analyse forensique permet de distinguer un bug technique d’un piratage en quelques minutes.

Si un attaquant a changé votre mot de passe administrateur, la récupération passe par la base de données (phpMyAdmin) ou par FTP, et constitue la première étape de mon offre Express. Je force la réinitialisation de vos accès en base de données et sécurise immédiatement la porte d’entrée utilisée par le pirate. Reprendre la main sans nettoyer les backdoors mène à un nouveau blocage dans les heures ou jours qui suivent.

Une fois le site désinfecté, vous devez soumettre une demande de ré-examen via Google Search Console (section « Problèmes de sécurité »). Cette demande est généralement traitée en 24 à 72 heures. Le ré-examen n’aboutit que si toutes les compromissions sont réellement supprimées, sinon Google re-blackliste immédiatement. D’où l’importance d’une désinfection complète avant la demande.

Pas toujours. Dans la majorité des cas, une désinfection chirurgicale suffit : suppression des fichiers modifiés, restauration des fichiers core depuis les sources officielles WordPress.org, nettoyage ciblé de la base de données. La réinstallation complète n’est nécessaire que dans les cas de compromission profonde où l’intégrité du code ne peut plus être garantie.

Google maintient son index séparément de votre serveur. Même après désinfection, les URLs compromises restent indexées plusieurs mois tant qu’elles ne sont pas explicitement supprimées. Mon intervention inclut le nettoyage complet de l’index via Google Search Console, le statut HTTP 410 Gone sur les URLs fantômes et la demande de ré-examen. Vos pages spam disparaissent des résultats Google en quelques jours à quelques semaines selon le volume à purger et la fréquence de crawl de votre site.