Comment engager un expert pour supprimer un malware WordPress après un piratage

Ton site WordPress envoie les visiteurs vers une page de spam, Google affiche « Ce site a peut-être été piraté » sous ton résultat, ou ton hébergeur a suspendu le compte.

Tu as peut-être l’impression d’avoir tout perdu, mais les articles, les pages et les commandes sont souvent encore dans la base de données. Le plus gros risque, c’est un nettoyage qui supprime le spam visible mais laisse la porte dérobée en place. La même infection revient alors.

Voici ce que je vérifie dans les dix premières minutes, et comment engager un expert pour supprimer un malware WordPress en lui donnant uniquement les accès nécessaires.

Les signes courants d’un piratage WordPress

Parmi les signes : des redirections vers des pages de spam ou d’arnaque, parfois seulement pour les visiteurs qui arrivent de Google ou qui utilisent un téléphone. Google peut afficher dans ses résultats des pages que tu n’as jamais écrites, parfois dans une autre langue. Tu peux aussi voir un avertissement rouge dans le navigateur, de nouveaux comptes administrateur ou un avis de suspension de ton hébergeur.

Les points d’entrée, à peu près dans l’ordre où je les rencontre :

• Extension ou thème pas à jour Il a une faille de sécurité connue. C’est de loin le cas le plus fréquent.
• Mot de passe volé ou trop faible Quelqu’un a obtenu les identifiants de connexion à WordPress, au compte d’hébergement ou au SFTP. Parfois, c’est un malware sur l’ordinateur du propriétaire qui les a volés.
• Extension ou thème premium piraté Une copie « gratuite » d’une extension ou d’un thème payant contient souvent déjà une porte dérobée.
• Un autre site infecté sur le même hébergement Un seul site de test oublié peut infecter tous les autres sites du même hébergement.

Un piratage ajoute souvent du code plutôt que d’effacer le contenu. Le plus dur, c’est de trouver la porte dérobée : un fichier caché ou quelques lignes de code qui permettent à l’attaquant de revenir une fois le spam visible disparu.

Si le site affiche une erreur critique ou une page blanche sans aucun des signes ci-dessus, il est probablement cassé, pas piraté. C’est un autre travail : comment faire réparer un site WordPress cassé.

Essaie d’abord ceci (10 minutes)

Je ne commence pas par supprimer les fichiers infectés. Les dix premières minutes servent à limiter les dégâts et à garder les traces.

1. Ne supprime rien pour l’instant. Ces fichiers peuvent montrer comment l’attaquant est entré. Les supprimer ou réinstaller les extensions peut effacer les indices tout en laissant la porte dérobée en place.
2. Note ce que tu vois et quand. Fais des captures d’écran de la redirection ou de l’avertissement, note quand tu l’as remarqué et liste les changements récents, comme une nouvelle extension, une modification du thème ou un nouveau compte.
3. Change les mots de passe exposés. Change les mots de passe de ton compte d’hébergement, des utilisateurs SFTP et de chaque administrateur WordPress depuis un ordinateur de confiance. Si tu soupçonnes un vol d’identifiants, analyse cet ordinateur pour y chercher des malwares. Change à nouveau les mots de passe après le nettoyage.
4. Regarde Google Search Console. Ouvre Sécurité et actions manuelles → Problèmes de sécurité pour voir ce que Google a trouvé, avec des exemples d’URL. Attends la fin du nettoyage avant de cliquer sur « Demander un examen ».

Contacte aussi ton hébergeur. Il a peut-être déjà repéré des fichiers infectés, et si le compte est suspendu, il peut t’expliquer ce qu’il faut pour le rétablir.

Évite de nettoyer le site toi-même si tu gères une boutique qui conserve des données clients, si le site envoie des e-mails de spam ou si l’hébergeur l’a suspendu. Faire des essais sur un site infecté encore en ligne peut propager l’infection et prolonger la présence des avertissements de sécurité.

Si tu préfères ne pas toucher aux fichiers sur ton hébergement, arrête-toi ici. Chaque changement en plus complique le travail du développeur. L’étape suivante : choisir qui va le nettoyer.

Où engager un développeur

Je recommande Fiverr Pro pour faire nettoyer un site WordPress piraté à prix fixe, avec un travail bien défini. Fiverr examine l’expérience, le portfolio et les prestations passées des freelances Pro avant de leur attribuer le badge Pro. Cette vérification est faite par une personne. Je travaille moi-même sur Fiverr, donc je sais comment fonctionnent ses commandes, ses paiements et ses avis.

Combien ça coûte

Le prix dépend de ce que le vendeur vérifie et nettoie, pas de l’état apparent du site. Au moment où j’écris, les prix Fiverr Pro pour supprimer un malware WordPress se répartissent en trois niveaux :

Fiverr ajoute aussi de petits frais de service au moment du paiement. Une livraison plus rapide coûte en général plus cher.

Ce qu’un prix bas laisse souvent de côté

Lis bien l’offre Basique, quitte à la relire : c’est celle qui comprend le moins de travail. Un nettoyage Basique peut suffire pour une infection simple, mais il laisse souvent de côté :

• la base de données, où les liens de spam et les scripts injectés se cachent souvent dans les articles et les réglages
• la porte dérobée et le point d’entrée, si bien que le même piratage revient
• le retrait du site des listes noires, dont celle de Google
• les mises à jour et le renforcement de la sécurité après le nettoyage
• quelques semaines de suivi si quelque chose revient

Si le piratage est déjà revenu une fois, je prendrais au moins le niveau intermédiaire.

Comment donner des accès en toute sécurité

Certains identifiants ont peut-être déjà été compromis lors du piratage. Donne au développeur uniquement les accès nécessaires, avec des comptes que tu contrôles, et retire ces accès une fois le travail terminé.

1. Fais d’abord ta propre sauvegarde, même infectée. Télécharge les fichiers et la base de données depuis ton panneau d’hébergement et garde la copie ailleurs que sur le serveur. Si le nettoyage tourne mal, elle te permet de récupérer le site. Nomme-la « infectée » pour que personne ne la restaure par erreur.
2. Crée un compte administrateur WordPress distinct pour le développeur au lieu de partager tes identifiants.
3. Donne l’accès aux fichiers via un utilisateur SFTP séparé. Crée-le dans ton panneau d’hébergement. Le développeur a besoin d’accéder aux fichiers pour chercher du code qu’une extension de scan peut rater. Ne partage jamais le mot de passe de ton compte d’hébergement.
4. Garde certains accès pour toi : le compte où tu gères ton nom de domaine, Stripe ou PayPal, et la boîte mail associée à l’adresse d’administration du site.
5. Partage les mots de passe de façon sûre, et seulement après avoir commandé. Utilise le lien de partage d’un gestionnaire de mots de passe, pas du texte en clair dans la messagerie.
6. Ferme tout une fois le travail terminé. Supprime les utilisateurs WordPress et SFTP du développeur, change à nouveau tous les mots de passe et vérifie dans Comptes → Administrateur qu’il n’y a pas de comptes que tu ne reconnais pas. Demande au développeur de changer le mot de passe de la base de données, de le mettre à jour dans wp-config.php et de remplacer les clés de sécurité WordPress. Les nouvelles clés déconnectent tous ceux qui sont encore connectés, y compris l’attaquant.

Une règle te protège plus que toutes les autres : garde ton hébergement et ton domaine à ton nom. Celui qui les contrôle contrôle le site.

Ce qu’il faut envoyer avant le début du travail

Envoie ces informations avant de commander, ou colle-les dans le formulaire des critères de commande sur Fiverr :

• l’URL de ton site
• ce que tu vois : la redirection, le texte de l’avertissement ou les pages de spam, avec des captures d’écran, et où ça apparaît (seulement sur téléphone, seulement depuis Google)
• quand tu l’as remarqué et ce qui a changé juste avant
• ce que Google Search Console ou ton hébergeur a signalé, avec des exemples d’URL
• ton hébergeur, ta version de WordPress et ta version de PHP (Outils → Santé du site → Informations, si le tableau de bord fonctionne)
• ton thème ou ton constructeur de pages, tes principales extensions et toute extension premium obtenue en dehors de la boutique officielle
• s’il s’agit d’une boutique qui conserve des données clients
• les sauvegardes que tu as, avec leurs dates, et laquelle pourrait dater d’avant le piratage
• ce que tu as déjà fait (mots de passe changés, fichiers supprimés, scan lancé)
• les accès que tu acceptes de donner

Sur Fiverr, les critères de commande gardent une trace de ce que le vendeur s’est engagé à livrer. Décris le résultat avec des mots simples : « aucun malware détecté lors des scans, plus aucune page de spam injectée, aide pour demander un examen à Google afin de faire retirer l’avertissement, et une explication de la façon dont l’attaquant est entré ».

Comment choisir le bon développeur

Supprimer les fichiers infectés n’est qu’une partie du travail. Choisis quelqu’un qui trouve aussi la faille utilisée pour entrer et la corrige.

Regarde les avis sur le même problème

Cherche les avis qui mentionnent « hacked », « redirect », « spam pages » ou « blacklist », pas seulement la note globale. Lis les avis de une à trois étoiles et les réponses du vendeur. Un avis qui dit « c’est revenu deux semaines plus tard » t’en apprend plus que dix qui disent « livraison rapide ».

Lis ce que comprend chaque offre

Compare les offres ligne par ligne : nettoyage de la base de données, retrait des listes noires, renforcement de la sécurité, jours de support après la livraison. Une offre appelée « suppression de malware » peut très bien n’être qu’un scan.

Demande comment il trouve le point d’entrée

Un bon vendeur l’explique en une ou deux phrases : comparer tes fichiers avec des copies saines, vérifier les versions des extensions, les comptes et les journaux du serveur. Un simple « je vais lancer un scan » signifie en général un nettoyage superficiel.

Ne te fie pas trop au niveau du vendeur

Sur Fiverr, le niveau d’un vendeur reflète son historique de commandes, pas ses compétences en sécurité. Pour une boutique ou un piratage qui revient sans cesse, je choisirais quelqu’un qui a des avis sur ce type de travail précis.

Les questions que je poserais avant de commander

• Le nettoyage inclut-il la base de données, ou seulement les fichiers ?
• Est-ce que j’aurai une explication sur la façon dont l’attaquant est entré ?
• Une sauvegarde est-elle faite avant toute modification ?
• Vas-tu demander à Google de retirer le site de sa liste noire, ou me montrer comment faire ?
• Que se passe-t-il si le malware revient dans les 30 jours ?
• Quels accès faut-il, exactement ?

Signaux d’alerte

• Le vendeur demande le mot de passe de ton compte d’hébergement ou l’accès à ton domaine alors qu’un utilisateur WordPress et un accès SFTP suffiraient.
• Il veut poursuivre la discussion ou se faire payer en dehors de Fiverr. Fiverr demande aux acheteurs de garder les échanges et les paiements sur la plateforme, et son assistance ne peut aider que pour les commandes passées sur Fiverr.
• Il promet que ton site « ne sera plus jamais piraté ». Un vendeur honnête parle de réduire le risque.
• Il propose une extension de sécurité premium gratuite. C’est une copie piratée, et les extensions piratées peuvent contenir des malwares.
• Il prévoit de tout effacer et de tout réinstaller sans sauvegarde, ou sans te dire ce que tu perdrais.
• Il propose une réduction en échange d’un avis cinq étoiles.

Après le nettoyage : vérifier, valider, prévenir

Sur Fiverr, tu as trois jours pour examiner une livraison. Ensuite, la commande se termine automatiquement. Alors vérifie le travail le jour même :

• ouvre le site dans une fenêtre de navigation privée et sur ton téléphone, et clique dessus depuis les résultats Google (certaines redirections ne s’affichent qu’aux visiteurs qui viennent de Google ou utilisent un téléphone)
• cherche site:tondomaine.fr sur Google et repère les pages que tu n’as pas écrites
• lance un scan à distance gratuit, par exemple Sucuri SiteCheck (en anglais)
• vérifie que Comptes n’affiche que des comptes que tu connais
• demande comment l’attaquant est entré, et note-le
• demande les éventuelles modifications via Fiverr avant d’accepter la livraison

Si Google a signalé le site, demande un examen dans Search Console une fois le site propre. Google indique qu’un examen peut prendre de quelques jours à quelques semaines, et renvoyer une demande pendant qu’un examen est en cours peut ralentir le suivant.

Ensuite, retire les accès que tu as donnés (voir plus haut). Mets à jour les extensions et les thèmes, supprime ceux que tu n’utilises pas, évite les extensions premium piratées, active la connexion en deux étapes pour les administrateurs et garde des sauvegardes automatiques hors du serveur. Si la maintenance régulière te paraît être un deuxième travail, elle coûte en général moins cher qu’un nouveau nettoyage.

En résumé

Supprimer un malware WordPress est en général une petite intervention à prix fixe, mais le piratage revient souvent si le nettoyage se limite à ce qui est visible. Garde les traces, change tes mots de passe et choisis un vendeur qui nettoie la base de données et t’explique comment l’attaquant est entré. Pour limiter le risque, crée un compte distinct et supprime-le une fois le travail terminé.