WordPress fait tourner une part considérable du web mondial, ce qui en fait aussi l’une des cibles les plus fréquentes des attaquants. Pour une TPE, un indépendant ou un e-commerçant, se retrouver avec un site WordPress piraté peut avoir des conséquences bien au-delà du simple désagrément technique : déréférencement, vol de données, perte de revenus. Comprendre comment ça arrive, et comment l’éviter, reste la meilleure protection.
DANS CET ARTICLE
Comment un site WordPress se retrouve compromis
Le premier vecteur d’attaque, et de loin le plus courant, ce sont les plugins et les thèmes. Ces extensions, souvent développées par des tiers, contiennent régulièrement des failles de sécurité documentées (des CVE publiées publiquement), que les attaquants exploitent rapidement lorsque les mises à jour ne sont pas appliquées. La configuration par défaut de WordPress elle-même présente certaines faiblesses connues, notamment le préfixe standard des tables de base de données (wp_), qui facilite certaines injections SQL.
Les mots de passe faibles ou recyclés constituent un autre point d’entrée classique. Les attaques par force brute sur la page de connexion sont automatisées et massives : un site sans protection particulière peut recevoir des centaines de tentatives par jour sans que son propriétaire ne s’en aperçoive. Dans certains cas documentés, des pirates accèdent à l’éditeur de thèmes intégré à WordPress pour y injecter directement du code malveillant dans un fichier comme 404.php.
Les signes qui ne trompent pas
Un piratage ne se manifeste pas toujours par une page d’accueil défigurée ou un message de rançon. Les symptômes les plus fréquents sont souvent plus discrets : des redirections automatiques vers des sites de pharmacie en ligne ou de jeux d’argent, des publicités inattendues qui apparaissent sur le site, ou encore des e-mails de spam envoyés depuis le domaine à l’insu du propriétaire.
D’autres signaux passent encore plus facilement inaperçus : un compte administrateur inconnu dans le tableau de bord, des fichiers modifiés récemment sans raison apparente, ou une mise sur liste noire signalée dans Google Search Console. Les navigateurs peuvent également afficher des avertissements de sécurité aux visiteurs, ce qui suffit à faire chuter drastiquement le trafic. Côté SEO, Google peut déréférencer un site compromis en quelques jours, avec des conséquences durables sur le positionnement.
Réduire les risques : ce qui compte vraiment
La priorité absolue reste la mise à jour régulière du cœur de WordPress, des thèmes et de chaque plugin installé, y compris ceux désactivés. Un plugin inactif mais vulnérable reste une porte ouverte. Au-delà des mises à jour, quelques mesures concrètes changent vraiment la donne : activer l’authentification à deux facteurs sur le compte administrateur, limiter les tentatives de connexion échouées, et mettre en place des sauvegardes automatiques stockées en dehors du serveur.
Si le piratage est avéré, la réaction doit être rapide : mettre le site en maintenance, scanner les fichiers, changer tous les accès (WordPress, FTP, base de données, hébergeur), et supprimer tout compte administrateur non reconnu. Si des données personnelles de clients ou d’utilisateurs ont été compromises, la notification à la CNIL est obligatoire dans les 72 heures sous le RGPD.
La sécurité d’un site WordPress n’est pas une configuration qu’on fait une fois pour toutes. C’est une vigilance régulière, souvent peu coûteuse à mettre en place, mais dont l’absence peut peser très cher.
