Site WordPress piraté : la première heure, le premier jour, qui prévenir en Tunisie

Un client vous appelle : en cliquant sur votre site depuis Google, il est arrivé sur un casino en ligne. Ou bien Chrome affiche une page rouge à la place de votre accueil, ou votre boîte se remplit de messages refusés que vous n’avez jamais envoyés. Le réflexe est de tout effacer et de tout réinstaller dans l’heure. C’est souvent le geste qui fait perdre la seule chose dont vous aurez besoin ensuite : la trace de ce qui s’est passé.

Cet article est un plan d’urgence, dans l’ordre où les décisions se prennent : ce qu’il faut faire dans la première heure, ce qui peut attendre le lendemain, qui prévenir en Tunisie et qui fait quoi entre vous, votre prestataire et votre hébergeur. Les manipulations détaillées dans Plesk sont dans notre guide pour traiter un malware signalé par Imunify360 ; la prévention, une fois le site remis sur pied, dans notre guide pour sécuriser WordPress.

L’essentiel en six points

• Notez avant d’agir. Ce que vous voyez, à quelle heure, et ce qui a changé sur le site ces derniers jours : c’est le premier geste que recommande la documentation de WordPress.
• Ne supprimez rien dans la première heure. Isolez le site, copiez-le tel qu’il est avec ses journaux, puis coupez les accès de l’intrus.
• Fermez la porte avant de restaurer. Une sauvegarde remise en ligne sur la même extension vulnérable sera reprise par le même robot.
• La bonne sauvegarde est antérieure à l’entrée de l’intrus, pas seulement à sa découverte ; c’est la date que les journaux permettent de retrouver.
• Google ne lève son avertissement qu’à votre demande, depuis la Search Console, une fois tout le site corrigé. Une demande prématurée retarde la suivante.
• En Tunisie, le tunCERT de l’ANCS reçoit les déclarations d’incident et assiste gratuitement ; le décret-loi 2023-17 oblige certains organismes, hébergeurs compris, à informer immédiatement de leurs incidents. La loi de 2004 sur les données personnelles n’impose pas de notification, mais exige des précautions, dont la traçabilité des accès.

Est-ce vraiment un piratage ? Les signes, et ce qu’ils veulent dire

« Piraté » ne dit pas ce qui s’est passé. La documentation de WordPress demande d’abord d’identifier les symptômes précis, ce que les spécialistes appellent des indicateurs de compromission, parce que, dit-elle, tous les piratages ne se valent pas : la suite n’est pas la même pour une redirection, une page de spam ou un compte volé (FAQ « My site was hacked »). Les plus fréquents :

Une page blanche juste après une mise à jour, un certificat ou un domaine expiré ne sont pas des piratages : WordPress conseille de demander à l’hébergeur s’il s’agit d’une intrusion ou d’une panne. À l’inverse, ne rien voir ne prouve rien : Google rappelle que l’intrus utilise souvent la dissimulation pour que le propriétaire ne voie pas ce que voient les moteurs (règles de Google sur le contenu piraté).

Regarder sans s’exposer

Google déconseille d’ouvrir les pages infectées dans un navigateur, ce qui peut endommager votre ordinateur, et propose l’inspection d’URL de la Search Console : elle montre la page telle que Google la reçoit, y compris ce qui n’est servi qu’aux moteurs. Un technicien peut aussi employer curl en imitant un clic depuis Google (rapport sur les problèmes de sécurité).

La première heure, dans l’ordre

Rien de ce qui suit ne demande de compétence technique particulière. Le but n’est pas de réparer, mais d’arrêter les dégâts sans détruire les preuves.

1. Écrire ce que vous voyez (dix minutes)

WordPress en fait la première action : ce qui vous fait croire au piratage, l’heure où vous l’avez remarqué et le fuseau, ce qui a changé récemment (extension ajoutée, thème modifié, nouvel utilisateur). C’est l’amorce du rapport d’incident, qui servira au technicien, au tunCERT, à Google et, s’il le faut, à la police. Ajoutez des captures d’écran datées. La Tunisie est à UTC+1 toute l’année, beaucoup de journaux sont en UTC : notez toujours le fuseau.

2. Prévenir l’hébergeur et votre prestataire (cinq minutes)

Par écrit. Chez nous, l’article 7.2 des conditions générales demande d’informer NovaHoster sans délai de toute utilisation non autorisée du compte : jusqu’à ce signalement, ce qui en part reste sous votre responsabilité. En mutualisé, rappelle WordPress, une attaque peut toucher plus que votre site. Un ticket ouvert depuis l’espace client garde la trace de l’échange ; n’y écrivez aucun mot de passe. Prévenez en même temps l’agence ou le freelance qui gère le site : il a souvent les accès et les licences.

3. Mettre le site à l’abri des visiteurs (quinze minutes)

Un site qui redirige vers une arnaque ou affiche une fausse page de paiement fait une victime à chaque visite. Dans Plesk, deux réglages se ressemblent mais n’ont pas le même effet ; ils sont décrits dans notre guide pour mettre un site en pause :

Le mode maintenance d’un CMS ne coupe pas PHP : nous l’avions détaillé à propos de la faille PHP2Shell, et le raisonnement vaut pour un fichier malveillant déposé dans le site. Si l’état « Suspendu » n’apparaît pas dans votre panneau, demandez au support de couper le site. Gardez la coupure aussi courte que possible : pour Google, une page en erreur 5xx est conservée dans l’index un temps, puis finit par en sortir si l’erreur dure (codes d’état HTTP et Google).

4. Copier le site tel qu’il est, avec ses journaux (vingt minutes)

Avant toute suppression : une sauvegarde de l’état infecté et les journaux d’accès et d’erreurs du domaine, téléchargés. WordPress recommande cette copie, même infectée, comme point de repli (même FAQ). Le chemin dans Plesk est dans la section « copie de l’état infecté » de notre guide ; si l’intrusion semble ancienne, demandez au support de préserver les journaux du serveur, qui tournent.

Cette copie n’est pas qu’une précaution technique. La loi organique n° 2004-63 demande à quiconque traite des données personnelles des précautions qui doivent notamment « garantir que puissent être vérifiés à posteriori l’identité des personnes ayant eu accès au système d’information », les données introduites et le moment de leur introduction (article 19, texte de la loi). Effacer les journaux le jour de l’incident, c’est effacer précisément ce que la loi demande de pouvoir vérifier. Et en cas de contestation avec NovaHoster, ce sont des « constats horodatés » et des « journaux techniques » que nos conditions générales citent comme preuves (article 7.6).

5. Couper les accès de l’intrus, depuis un ordinateur sain (dix minutes)

Changez le mot de passe du panneau, puis celui de chaque administrateur WordPress : le site étant suspendu, passez par l’outil de base de données de Plesk, pas par l’administration de WordPress. Remplacez ensuite les clés secrètes de wp-config.php, depuis le gestionnaire de fichiers, par un jeu neuf tiré du générateur officiel de WordPress : toute personne encore connectée est déconnectée. Au moindre doute sur votre poste, utilisez-en un autre : WordPress signale que beaucoup d’attaques commencent par un cheval de Troie qui relève les accès FTP et d’administration. Le reste attendra que le site soit propre.

Cinq gestes qui aggravent la situation

• Supprimer à la main les fichiers « bizarres ». Un fichier légitime retiré casse le site ; un fichier malveillant retiré sans copie emporte la preuve de la date d’entrée.
• Restaurer tout de suite la dernière sauvegarde. Elle date peut-être d’après l’intrusion, et la faille est toujours là.
• Croire qu’une réinstallation depuis l’administration nettoie le site. WordPress prévient qu’elle se contente souvent d’écraser les fichiers existants, alors qu’un piratage en ajoute souvent de nouveaux.
• Déménager le site chez un autre hébergeur avant de l’avoir nettoyé. Une migration emporte le site tel qu’il est, intrus compris.
• Demander à Google de lever l’avertissement dès le soir même. Une demande envoyée alors que le problème n’est pas résolu ralentit la suivante, et peut vous faire considérer comme récidiviste (aide de la Search Console).

La première journée : trouver la porte, puis seulement réparer

Le site est à l’abri et copié. Reste à comprendre comment l’intrus est entré, à remettre le site en état et à fermer ses accès.

Trouver par où il est entré

Quatre chemins, chacun avec son responsable :

• Le PHP du serveur. Une faille du moteur lui-même, comme PHP2Shell en octobre 2026 : sur un hébergement mutualisé, c’est l’hébergeur qui installe le correctif ; sur un VPS ou un dédié, c’est vous ou votre infogérance. Les versions corrigées et la façon de le vérifier sont dans notre article sur PHP2Shell.
• Le cœur de WordPress. Une version non corrigée de sa branche. Le tableau des versions sûres de WordPress dit, branche par branche, laquelle installer.
• Une extension ou un thème. Le cas le plus courant : une extension en retard d’une mise à jour, ou une version payante récupérée ailleurs que chez son éditeur, ce que WordPress déconseille (Hardening WordPress). Les extensions attaquées cet automne sont listées avec leur correctif.
• Un mot de passe. Réutilisé sur un service qui a fuité, deviné, ou volé sur un poste infecté : la connexion paraît normale. Voyez comment vérifier vos mots de passe.

Les journaux copiés le matin donnent souvent la réponse ; la méthode de lecture est dans notre guide Imunify360. Tant que ce chemin n’est pas trouvé et fermé, tout le reste n’est qu’un répit.

Restaurer, nettoyer ou reconstruire

Google présente deux voies : remplacer les fichiers par la dernière sauvegarde non infectée, ou retirer soi-même ce qui a été ajouté (même rapport). Une troisième s’impose parfois :

Sur nos packs, vous restaurez vous-même depuis Plesk ; voyez comment restaurer tout le site ou seulement ce qui manque. L’option de sauvegarde externalisée, la restauration par notre équipe (sur devis) et ce que couvrent nos propres sauvegardes sont détaillés dans la section sauvegardes de notre guide de prévention.

Changer tous les accès, une seconde fois

Une fois le site propre, WordPress demande de changer de nouveau les mots de passe, ceux du matin compris, et pour tous les points d’accès (FAQ de WordPress) :

Plus d’accès administrateur ? WordPress conseille de corriger l’adresse e-mail du compte par l’outil de base de données de l’hébergeur, puis de demander un nouveau mot de passe depuis la page de connexion. Tant que le site est suspendu, cette page est coupée : changez alors le mot de passe depuis l’outil de base de données de Plesk.

Si le site a envoyé du spam, faites vérifier par le support que plus rien ne part, puis contrôlez le domaine avec le guide SPF, DKIM et DMARC.

Lever l’avertissement de Google

Le message « Il est possible que ce site ait été piraté » ne disparaît qu’après que le propriétaire a corrigé le site et demandé un examen (aide de la recherche Google), depuis une Search Console validée sur le domaine :

1. Lire le rapport « Problèmes de sécurité ». Contenu piraté, logiciel malveillant ou ingénierie sociale, avec la date de première détection et des exemples d’adresses, qui ne sont qu’un échantillon : corrigez tout le site, sinon le problème revient (rapport sur les problèmes de sécurité).
2. Remettre le site en ligne avant la demande. Google doit pouvoir explorer les pages : ni suspendues, ni bloquées par robots.txt, ni en noindex (« Demander un examen »).
3. Cliquer sur « Demander un examen » et décrire, catégorie par catégorie, le problème, les mesures prises et leur résultat : le rapport d’incident de la première heure sert ici.
4. Attendre, sans renvoyer de demande. Selon Google : quelques jours pour un logiciel malveillant, environ un jour pour de l’hameçonnage, parfois plusieurs semaines pour un piratage de type spam. Après un examen favorable, les avertissements disparaissent sous 72 heures.

Les pages ajoutées par l’intrus doivent répondre en erreur une fois supprimées ; Google prévient que certaines affichent une fausse erreur 404 au propriétaire tout en servant leur contenu aux moteurs. Vérifiez-les avec l’inspection d’URL. WordPress rappelle enfin que Bing et les antivirus des visiteurs tiennent leurs propres listes.

Qui prévenir en Tunisie

Le tunCERT de l’ANCS

Le centre de réponse aux urgences informatiques de l’Agence nationale de la cybersécurité assiste gratuitement citoyens et professionnels ; pour ces derniers, une équipe d’intervention aide à gérer l’incident. Déclaration à incident@ancs.tn, centre d’appel au 71 843 200 (page du tunCERT). Le formulaire de déclaration des incidents cybernétiques de l’ANCS, qui donne aussi un fax, le 71 846 363, dit ce qu’il faut préparer :

• l’organisme et la personne à contacter ;
• la nature de l’incident, dans une liste qui comprend l’accès non autorisé, la modification malveillante d’un fichier, la divulgation d’informations relatives à la vie privée ;
• la date et les actifs touchés, par exemple : site, base de données, boîtes e-mail ;
• une description détaillée : le rapport de la première heure.

Ce que la loi tunisienne demande

Nous avons détaillé la question dans la partie « Site compromis » de notre article sur PHP2Shell ; en résumé :

• Le décret-loi n° 2023-17 du 11 mars 2023 oblige les organismes de son article 6, dont les fournisseurs d’hébergement et les entreprises qui traitent en ligne les données personnelles de leurs usagers, à informer « immédiatement » le point de contact national ou le centre de réponse aux urgences cybernétiques de leurs incidents (article 20, texte publié par l’ANCS). Si vous ne savez pas si votre entreprise en fait partie, posez la question à l’ANCS.
• La loi organique n° 2004-63 ne prévoit aucune notification d’une fuite, ni à l’INPDP ni aux personnes concernées. Elle impose « toutes les précautions nécessaires pour assurer la sécurité de ces données » (article 18), détaillées à l’article 19, sous peine de trois mois d’emprisonnement et de 1 000 dinars d’amende (article 94).
• Si vous vendez aussi en Europe, le RGPD ajoute une notification à l’autorité : voyez ce que le RGPD ajoute.

Pour porter plainte, voyez à qui signaler une arnaque en ligne.

Vos clients

Aucun texte tunisien ne l’impose, mais un client qui apprend l’incident par un tiers vous fait moins confiance. Écrivez quand vous savez ce qui a été touché et ce qui ne l’a pas été : la date, la nature de l’incident sans spéculer, les données concernées, le conseil de changer un mot de passe réutilisé ailleurs, et la mise en garde contre de faux messages envoyés en votre nom. Si une page ou un module de paiement a été modifié, prévenez aussi votre prestataire de paiement.

Le jour du piratage : qui agit, et sur quoi

La répartition détaillée est dans notre article sur ce qu’un contrat de maintenance doit écrire. Le jour d’un piratage, sur un pack mutualisé de NovaHoster, d’après nos pages et nos conditions générales :

Hors option d’infogérance, « le Client est seul responsable de l’administration, de la sécurisation, de la maintenance applicative et des sauvegardes de son Contenu » (article 7.3 des conditions générales), et notre responsabilité est exclue pour un accès obtenu par ses identifiants ou par « une faille de son Contenu (CMS, plugin, script) » (article 8). Notre support répond par livechat et par ticket, 7 jours sur 7, en français ou en tunisien ; il couvre l’hébergement et la marche à suivre pour restaurer, pas la correction d’un thème ou d’une extension.

Quand faire appel à un professionnel

Réparer un site piraté demande de connaître son code et parfois le serveur ; Google conseille de s’entourer de quelqu’un qui sait le faire. Passez la main si :

• le site encaisse des paiements ou garde des comptes clients ;
• le même fichier ou la même redirection revient après un nettoyage ;
• vous n’avez aucune sauvegarde dont la date précède l’intrusion ;
• des milliers de pages de spam sont indexées, ou Google a refusé une demande d’examen ;
• plus personne n’a l’accès administrateur ni les licences des extensions ;
• le site tourne sur un VPS ou un dédié que personne n’administre.

Un bon intervenant demande d’abord la copie de l’état infecté et les journaux, cherche la porte d’entrée avant de nettoyer et remet un compte rendu écrit. Méfiez-vous de celui qui ne parle jamais de la cause ou réclame vos mots de passe par message : créez-lui des accès à son nom, que vous fermerez ensuite. Sur un serveur, confier l’administration du serveur à une équipe règle le système et ses correctifs ; le code du site reste à qui le maintient. Si votre hébergeur ne vous donne ni journaux, ni sauvegardes, ni réponse, changer d’hébergeur est une option, une fois le site nettoyé. Un hébergement WordPress qui analyse les fichiers en continu et vous laisse restaurer vous-même raccourcit la prochaine alerte ; il ne remplace pas les mises à jour.

Sources

Pages et textes consultés le 11 novembre 2026. Ce que nous disons de nos services est repris de nos conditions générales (articles 7.2, 7.3, 7.6, 8 et 10) et de nos guides Plesk à la même date.

• WordPress.org — FAQ My site was hacked : symptômes, documentation de l’incident, sauvegarde de l’état infecté, réinitialisation des accès, clés secrètes, réinstallation, accès administrateur perdu
• WordPress — Hardening WordPress : sources des extensions, sauvegardes, journaux
• WordPress.org — générateur officiel des clés secrètes
• Google Search Console — Rapport sur les problèmes de sécurité : catégories, exemples d’URL, inspection d’URL, demande d’examen
• Aide de la recherche Google — message « Il est possible que ce site ait été piraté »
• web.dev (Google) — Demander un examen : prérequis et délais
• web.dev (Google) — Piratage par mots clés japonais : recherche site:, propriétaires ajoutés à la Search Console, fausses erreurs 404
• Google Search Central — Règles concernant le spam : contenu piraté et cloaking
• Google Search Central — Codes d’état HTTP et erreurs réseau : traitement des erreurs 5xx
• Google Search Console — Gérer les propriétaires, les utilisateurs et les autorisations
• ANCS — tunCERT : services offerts et procédure de déclaration des incidents cybernétiques
• Décret-loi n° 2023-17 du 11 mars 2023, relatif à la cybersécurité — texte publié par l’ANCS : articles 6 et 20
• Loi organique n° 2004-63 du 27 juillet 2004, portant sur la protection des données à caractère personnel — texte publié par l’INS : articles 18, 19 et 94