Une redirection inconnue, des pages parasites dans Google, un compte administrateur inexpliqué ou un fichier signalé par l’hébergeur peuvent révéler un malware WordPress. Mais ces symptômes ne permettent pas, à eux seuls, d’identifier la cause, l’ancienneté ni l’étendue de la compromission.
Le terme « malware » recouvre plusieurs réalités : code injecté, fichier ajouté, porte dérobée, tâche planifiée, contenu frauduleux, redirection conditionnelle, compte détourné ou mécanisme utilisant le site pour attaquer des visiteurs et des services tiers.
La priorité n’est donc pas de supprimer le premier élément suspect. Il faut documenter les signes observés, préserver les informations utiles, contrôler l’ensemble du périmètre et corriger le point d’entrée avant de considérer le site comme sain.
Ce guide présente les principales formes de malware WordPress, leurs risques et le périmètre attendu d’un nettoyage malware WordPress. Pour confirmer un doute à partir de signes précis, consultez aussi Comment savoir si mon site WordPress est piraté ?.
Réponse rapide : que faire face à un malware WordPress ?
- Notez les symptômes, les URL concernées, l’heure de découverte et les changements récents.
- Conservez les alertes de l’hébergeur, de Search Console, du scanner ou des visiteurs.
- Préservez une copie des fichiers, de la base et des journaux avant toute suppression massive.
- Évitez la restauration précipitée, la réinstallation par-dessus le site ou l’accumulation de scanners.
- Contrôlez les fichiers, la base de données, les comptes, les sessions, les tâches, l’hébergement et les autres installations.
- Corrigez la vulnérabilité ou l’accès compromis qui a permis l’intrusion.
- Ne remettez le site en service qu’après des contrôles fonctionnels, externes et post-nettoyage.
Si le site redirige, héberge une page frauduleuse, expose des données ou continue à recréer des fichiers suspects, faites qualifier l’incident par GardeWP sans transmettre de mot de passe dans le formulaire.
Qu’est-ce qu’un malware WordPress ?
Un malware WordPress est un code, un fichier, une configuration ou un mécanisme introduit ou détourné pour produire un comportement non autorisé. Il peut viser le site, ses visiteurs, ses données, ses ressources serveur ou sa réputation.
Le malware n’est pas nécessairement un « virus » autonome. Sur un site web, il peut prendre la forme d’une injection dans un fichier existant, d’une extension modifiée, d’un script placé dans les médias, d’une entrée dans la base de données, d’une tâche planifiée ou d’un compte disposant de privilèges inattendus.
Vulnérabilité, piratage et malware ne sont pas synonymes
- Une vulnérabilité est une faiblesse exploitable dans WordPress, une extension, un thème, un serveur ou une intégration.
- Un piratage ou une compromission signifie qu’une action non autorisée a effectivement eu lieu.
- Un malware est l’un des moyens ou l’une des conséquences possibles de cette compromission.
Une extension vulnérable n’implique donc pas automatiquement que le site a été exploité. À l’inverse, une compromission peut reposer sur des identifiants volés sans laisser immédiatement un fichier détecté comme malveillant.
Quelles formes peut prendre un malware WordPress ?
| Forme | Effet observé | Zone à contrôler |
|---|---|---|
| Redirection conditionnelle | Certains visiteurs sont envoyés vers un casino, une fausse assistance, une publicité ou un site frauduleux | Fichiers, thème, extensions, règles serveur, base, scripts tiers et cache |
| Spam SEO | Pages japonaises, chinoises, pharmacie, casino ou faux produits dans Google | Générateur d’URL, base, fichiers, sitemaps, Search Console et réponses HTTP |
| Page de phishing | Formulaire imitant une banque, une administration, une messagerie ou une marque connue | Pages, fichiers autonomes, base, ressources tierces, comptes et journaux |
| Backdoor ou persistance | Le malware revient après suppression ou permet un nouvel accès | Fichiers, comptes, sessions, tâches planifiées, base et accès hébergement |
| Compte privilégié non autorisé | Nouvel administrateur, changement de rôle ou accès prestataire détourné | Utilisateurs, capacités, sessions, mots de passe d’application et multisite |
| Injection de scripts | Pop-up, faux CAPTCHA, téléchargement, code externe ou vol d’informations | Contenus, widgets, modèles, base, en-têtes, thème et services tiers |
| Abus des ressources | Lenteur, surcharge, tâches inhabituelles ou consommation excessive | Processus PHP, tâches, journaux, fichiers et trafic sortant |
| Envoi de messages non autorisés | Spams, phishing, rebonds ou blocage des e-mails | WordPress, formulaires, PHP, SMTP, API, boîte e-mail et usurpation du domaine |
Plusieurs formes peuvent coexister. Un même accès initial peut créer un administrateur, déposer une backdoor, générer des pages spam et envoyer des messages non autorisés. Le nettoyage doit donc rechercher des liens entre les symptômes plutôt que les traiter comme des incidents isolés.
Quels symptômes peuvent révéler un malware WordPress ?
Les symptômes indiquent où chercher, mais ne constituent pas toujours un diagnostic. Un bug, une mauvaise configuration, une extension défaillante ou un service tiers peuvent produire des effets proches. La confirmation doit rapprocher plusieurs sources.
Signes visibles par les visiteurs
- redirection vers un domaine inconnu ;
- fenêtre demandant d’autoriser les notifications, de mettre à jour le navigateur ou de saisir des identifiants ;
- contenu, lien ou publicité que vous n’avez pas ajouté ;
- avertissement du navigateur, de l’antivirus ou de Google ;
- téléchargement ou script inattendu.
Signes dans le back-office
- administrateur, rôle ou adresse e-mail inconnus ;
- extension ou thème ajouté sans validation ;
- réglage, URL, page d’accueil ou permalien modifié ;
- contenus, utilisateurs, produits ou commandes altérés ;
- connexion devenue impossible ou récupération de mot de passe détournée.
Signes chez l’hébergeur ou sur le serveur
- fichier détecté, mis en quarantaine ou récemment modifié ;
- activité PHP, processeur, mémoire ou trafic inhabituels ;
- e-mails PHP bloqués ou suspension de l’hébergement ;
- tâches planifiées, accès SFTP ou connexions inconnus ;
- fichiers qui réapparaissent après suppression.
Signes dans Google et Search Console
- pages étrangères ou requêtes sans rapport avec l’activité ;
- titre et description modifiés dans les résultats ;
- problème de sécurité, contenu trompeur ou logiciel malveillant signalé ;
- sitemap, propriétaire ou méthode de validation inconnus ;
- hausse massive d’URL découvertes, soft 404 ou chute brutale de visibilité.
L’envoi de spams est un symptôme particulier
Des messages envoyés en votre nom peuvent provenir d’un script WordPress, d’un formulaire détourné, d’un compte SMTP, d’une boîte e-mail compromise ou d’une simple usurpation du domaine. Ce guide général ne développe pas l’analyse des en-têtes, SPF, DKIM, DMARC et de la délivrabilité. Ces points sont traités dans Mon site WordPress envoie des spams ou des e-mails de phishing : que faire ?.
Pourquoi le site peut-il sembler normal alors qu’il est infecté ?
Un malware peut déclencher son comportement uniquement dans certaines conditions : visite depuis Google, appareil mobile, pays précis, utilisateur non connecté, première visite, heure particulière ou présence d’un cookie.
Ce mécanisme, souvent assimilé à du cloaking, réduit la probabilité que l’administrateur voie le problème. Il explique pourquoi un prestataire peut considérer le site normal alors que des clients continuent à être redirigés.
Les contrôles doivent donc comparer plusieurs contextes : connecté et déconnecté, mobile et ordinateur, accès direct et arrivée depuis un moteur, navigateur vierge et session habituelle.
Quels risques un malware WordPress fait-il courir ?
Risques pour les visiteurs
Une page frauduleuse, une redirection ou un script peut exposer les visiteurs à un vol d’identifiants, un téléchargement malveillant, une escroquerie, une collecte de données ou une navigation trompeuse.
Risques pour les données
Les comptes, formulaires, commandes, coordonnées clients, contenus privés ou informations techniques peuvent être consultés, modifiés, supprimés ou transmis. L’évaluation doit distinguer les données présentes, les accès réellement obtenus et les traces disponibles.
Risques SEO et réputationnels
Des URL parasites, des redirections et des avertissements de sécurité peuvent dégrader la visibilité, détourner les visiteurs et affecter la confiance dans la marque. Le nettoyage technique doit être suivi d’un contrôle de l’index et de Search Console.
Risques pour l’hébergement et les services associés
L’hébergeur peut suspendre le site, bloquer les e-mails, limiter les ressources ou demander une correction. Une adresse IP ou un domaine peuvent également voir leur réputation affectée si l’infrastructure est utilisée pour du spam ou des attaques.
Risques commerciaux et opérationnels
Formulaires indisponibles, commandes perdues, paiements suspendus, données incohérentes et temps d’arrêt peuvent avoir un impact direct. Pour une boutique, les contrôles doivent porter sur la chaîne commerciale complète, pas uniquement sur l’affichage du site.
Pourquoi un symptôme ne suffit-il pas à identifier la cause ?
| Observation | Ce qu’elle confirme | Ce qu’elle ne confirme pas |
|---|---|---|
| Un fichier est signalé | Ce fichier mérite une analyse ou une mise en quarantaine | Qu’il est l’unique élément compromis ou le point d’entrée |
| Une redirection apparaît | Un comportement non autorisé est servi dans certaines conditions | Que le code se trouve dans le thème ou dans un fichier précis |
| Un administrateur inconnu existe | Un accès privilégié doit être neutralisé et documenté | Que la suppression du compte résout tout l’incident |
| Le scanner ne trouve plus rien | Aucun élément correspondant à ses règles n’est détecté à cet instant | Que la base, les accès, les tâches et toutes les persistance sont sains |
| Le site fonctionne normalement | Les pages testées répondent dans le contexte observé | Qu’aucun cloaking, spam SEO, envoi sortant ou accès caché ne subsiste |
Quelles informations préserver avant le nettoyage ?
- captures des symptômes et URL concernées ;
- date, heure et fuseau de la première observation ;
- alertes de l’hébergeur, de Search Console, du navigateur ou du scanner ;
- chemins de fichiers, signatures et mesures déjà appliquées ;
- journaux web, PHP, authentification, e-mail et pare-feu disponibles ;
- liste des comptes, rôles, sessions et accès techniques ;
- extensions, thèmes, versions et modifications récentes ;
- date et périmètre des sauvegardes ;
- état des fonctions métier : formulaires, commandes, paiements, réservations et e-mails.
Une copie de l’état compromis peut servir de référence. Elle doit être clairement identifiée, isolée et ne jamais être restaurée automatiquement en production.
Que doit vérifier un diagnostic de malware WordPress ?
| Périmètre | Contrôles attendus | Objectif |
|---|---|---|
| Cœur WordPress | Version, intégrité, fichiers ajoutés ou modifiés | Distinguer les fichiers officiels des altérations |
| Extensions et thèmes | Versions, provenance, maintenance, fichiers et composants inutilisés | Identifier une vulnérabilité, une modification ou un composant abandonné |
| Base de données | Contenus, options, utilisateurs, scripts, URL et données injectées | Détecter ce qu’un scan de fichiers ne voit pas |
| Comptes et sessions | Administrateurs, rôles, capacités, sessions et mots de passe d’application | Supprimer les accès non autorisés et la persistance |
| Tâches planifiées | WP-Cron, tâches serveur et automatisations externes | Repérer un mécanisme de recréation ou d’exécution différée |
| Hébergement | Règles serveur, fichiers de configuration, permissions, autres sites et journaux | Élargir l’analyse au-delà du dossier WordPress principal |
| Services connectés | SMTP, API, webhooks, CDN, DNS, stockage et comptes tiers | Révoquer les secrets exposés et contrôler les effets externes |
| Visibilité externe | Google, Search Console, Safe Browsing, redirections et réputation | Vérifier l’impact encore visible après correction |
Les vérifications de sommes de contrôle du cœur WordPress sont utiles pour comparer certains fichiers aux versions officielles, mais elles ne valident pas automatiquement wp-content, les composants premium, les fichiers personnalisés ni la base de données.
Un scanner signale un malware ou les symptômes persistent ?
GardeWP peut contrôler les fichiers, la base, les comptes, les tâches, l’hébergement et les signaux externes afin d’établir le périmètre avant nettoyage.
Comment s’organise un nettoyage malware WordPress ?
La méthode dépend du site et de l’incident, mais un nettoyage complet suit généralement plusieurs phases.
- Cadrer et préserver : symptômes, accès, copies, journaux et fonctions critiques.
- Qualifier l’exposition : visiteurs, données, commandes, e-mails, référencement et hébergement.
- Identifier les éléments compromis : fichiers, base, comptes, tâches, intégrations et autres installations.
- Retirer ou remplacer proprement : code malveillant, fichiers ajoutés, composants altérés et données injectées.
- Révoquer les accès : comptes, sessions, mots de passe d’application, clés API et identifiants techniques.
- Corriger le point d’entrée : mise à jour, remplacement, configuration, permissions ou accès compromis.
- Tester et surveiller : fonctions métier, redirections, Search Console, journaux et absence de recréation.
Le guide Nettoyer un site WordPress piraté développe plus précisément la méthodologie, les risques et les limites de cette intervention.
Pourquoi un scanner ne suffit-il pas à déclarer le site propre ?
Un scanner recherche des signatures, des différences, des comportements ou des fichiers connus. Il peut être très utile pour orienter l’analyse, mais son résultat dépend de son périmètre, de ses règles, des droits disponibles et de l’état du site au moment du contrôle.
- un scanner externe ne voit pas l’ensemble des fichiers et de la base ;
- un plugin peut être limité par les droits PHP ou par un site déjà compromis ;
- un code conditionnel peut rester inactif pendant le scan ;
- une persistance peut se trouver dans une tâche, un compte, une API ou une autre installation ;
- un fichier personnalisé légitime peut être signalé, tandis qu’un code inédit peut ne pas l’être.
Le verdict « aucun malware détecté » signifie que l’outil n’a rien identifié selon ses règles. Il ne constitue pas une garantie absolue d’absence de compromission.
Faut-il restaurer une sauvegarde pour supprimer le malware ?
Une restauration peut être pertinente si un point de reprise sain, cohérent et suffisamment récent existe. Elle doit toutefois répondre à plusieurs questions.
- la sauvegarde est-elle antérieure à la compromission ?
- comprend-elle les fichiers et la base correspondant au même état ?
- peut-elle être restaurée et testée ?
- quelles commandes, contenus ou données seraient perdus ?
- le point d’entrée est-il corrigé avant la remise en ligne ?
- les accès compromis sont-ils révoqués ?
Restaurer une sauvegarde sans corriger la cause peut réintroduire la même vulnérabilité ou permettre une nouvelle compromission. Une sauvegarde peut aussi être restaurable tout en contenant déjà le malware.
Les erreurs qui laissent souvent le malware actif
Supprimer uniquement le fichier signalé
Le fichier peut n’être qu’un symptôme. Une autre persistance ou le point d’entrée initial peut rester actif.
Réinstaller WordPress par-dessus l’installation
Cette opération peut remplacer certains fichiers officiels, mais elle ne supprime pas nécessairement les fichiers ajoutés, les injections dans wp-content, la base, les comptes et les tâches.
Installer plusieurs plugins de sécurité en urgence
Les outils peuvent modifier les mêmes zones, produire des alertes contradictoires ou dégrader les performances sans établir le périmètre complet.
Changer seulement le mot de passe WordPress
L’accès initial peut concerner l’hébergement, SFTP, la messagerie, une clé API ou le poste d’un prestataire. Les sessions et secrets doivent être traités selon le scénario.
Purger les journaux et caches trop tôt
Ces données peuvent aider à construire la chronologie. Les caches doivent être purgés au bon moment, sans supprimer avant analyse les éléments utiles.
Considérer le site sain dès que le symptôme disparaît
Une redirection qui cesse, un fichier supprimé ou une alerte levée ne prouvent pas que les accès, la base et les mécanismes de persistance sont corrigés.
Que faut-il contrôler après le nettoyage ?
- absence de recréation des fichiers, comptes et tâches supprimés ;
- fonctionnement du front-office, du back-office et des parcours métier ;
- retour à la normale des ressources serveur et des e-mails ;
- état de Search Console, des avertissements et des URL parasites ;
- mises à jour, suppression des composants inutiles et revue des accès ;
- sauvegarde propre, testée et stockée séparément ;
- surveillance renforcée pendant une période adaptée au niveau de risque.
La ressource Après nettoyage d’un site WordPress piraté est consacrée à cette phase de stabilisation et de surveillance.
Quand demander une intervention professionnelle ?
- le site héberge une page de phishing ou redirige encore des visiteurs ;
- l’hébergeur a suspendu le service ou signale plusieurs fichiers ;
- des commandes, paiements, comptes clients ou données peuvent être concernés ;
- le malware revient après une première suppression ;
- l’origine ou le point d’entrée ne sont pas identifiés ;
- les accès aux fichiers, à la base ou aux journaux sont incomplets ;
- vous devez préserver la continuité d’un site commercial ou sensible.
Quelles informations transmettre pour accélérer le diagnostic ?
- URL et type de site ;
- hébergeur et environnement technique ;
- symptômes, URL, captures et date d’apparition ;
- alertes ou rapports reçus ;
- état du site, de l’administration et des fonctions métier ;
- actions déjà tentées ;
- date des sauvegardes disponibles ;
- modifications ou mises à jour récentes ;
- criticité commerciale et exposition éventuelle des visiteurs ou des données.
Ne transmettez pas de mot de passe dans le formulaire initial. Les accès nécessaires doivent être demandés séparément, limités et révoqués après l’intervention.
À retenir
- Un malware WordPress peut toucher les fichiers, la base, les comptes, les tâches et les services connectés.
- Le symptôme visible ne désigne pas nécessairement le point d’entrée ni tout le périmètre.
- Un scanner est un outil d’orientation, pas une garantie absolue d’assainissement.
- La suppression d’un fichier ou la restauration d’une sauvegarde ne suffisent pas si la cause reste active.
- Les spams et e-mails de phishing nécessitent une analyse spécifique du canal d’envoi.
- Un nettoyage complet inclut la révocation des accès, la correction du point d’entrée et les contrôles post-intervention.
Questions fréquentes
Un malware WordPress signifie-t-il toujours que le site a été piraté ?
La présence confirmée d’un code malveillant constitue une compromission. En revanche, une alerte portant sur une vulnérabilité ou un fichier suspect doit encore être vérifiée avant de conclure sur l’origine et l’étendue de l’incident.
Un site peut-il être infecté tout en fonctionnant normalement ?
Oui. Certains comportements ne se déclenchent que pour certains visiteurs, moteurs, appareils ou horaires. D’autres utilisent silencieusement les ressources du serveur, la base ou les e-mails.
Supprimer le fichier détecté suffit-il ?
Pas nécessairement. Il faut vérifier les autres fichiers, la base, les comptes, les tâches, les accès et le point d’entrée. Le fichier peut être une conséquence ou un élément parmi plusieurs.
Un plugin de sécurité peut-il nettoyer automatiquement le site ?
Il peut détecter, remplacer ou supprimer certains éléments, mais son périmètre et ses règles sont limités. La validation doit couvrir les zones qu’il ne contrôle pas et confirmer que la cause est corrigée.
Une sauvegarde propre résout-elle toujours le problème ?
Seulement si elle est réellement antérieure à la compromission, restaurable et accompagnée de la correction du point d’entrée et des accès compromis. Elle peut entraîner une perte de données récentes.
Des spams envoyés avec mon domaine prouvent-ils la présence d’un malware ?
Non. Le message peut provenir du site, d’un formulaire, d’un compte SMTP, d’une boîte compromise ou d’une usurpation. Les en-têtes et journaux doivent être analysés.
Combien de temps faut-il pour nettoyer un malware WordPress ?
La durée dépend de la taille du site, des accès, de l’hébergement, du nombre d’installations, des sauvegardes, de la persistance et des fonctions métier. Une qualification initiale permet d’estimer le périmètre.
Quand peut-on considérer le site comme sain ?
Lorsque les éléments compromis sont retirés, les accès révoqués, le point d’entrée corrigé, les fonctions testées, les signaux externes contrôlés et qu’aucun mécanisme de recréation n’est observé pendant la surveillance prévue.
Sources de référence
- WordPress.org — FAQ My site was hacked
- Developer.WordPress.org — Hardening WordPress
- WP-CLI — Vérifier les sommes de contrôle du cœur WordPress
- Google Search Central — Malware et logiciels indésirables
Dernière vérification éditoriale : 28 juillet 2026.
Faire diagnostiquer et nettoyer un malware WordPress
Votre site redirige, affiche du contenu inconnu, génère des pages parasites ou présente des fichiers suspects ? GardeWP peut établir le périmètre, nettoyer les zones compromises, corriger le point d’entrée et organiser les contrôles après intervention.
À transmettre : l’URL, les symptômes, les alertes, la date de découverte, l’état du site et les actions déjà tentées.
À ne pas transmettre : mots de passe WordPress, hébergement, SFTP, base de données ou services tiers dans le formulaire initial.
Une redirection inconnue, des pages parasites dans Google, un compte administrateur inexpliqué ou un fichier signalé par l’hébergeur peuvent révéler un malware WordPress. Mais ces symptômes ne permettent pas, à eux seuls, d’identifier la cause, l’ancienneté ni l’étendue de la compromission.
Le terme « malware » recouvre plusieurs réalités : code injecté, fichier ajouté, porte dérobée, tâche planifiée, contenu frauduleux, redirection conditionnelle, compte détourné ou mécanisme utilisant le site pour attaquer des visiteurs et des services tiers.
La priorité n’est donc pas de supprimer le premier élément suspect. Il faut documenter les signes observés, préserver les informations utiles, contrôler l’ensemble du périmètre et corriger le point d’entrée avant de considérer le site comme sain.
Ce guide présente les principales formes de malware WordPress, leurs risques et le périmètre attendu d’un nettoyage malware WordPress. Pour confirmer un doute à partir de signes précis, consultez aussi Comment savoir si mon site WordPress est piraté ?.
Réponse rapide : que faire face à un malware WordPress ?
- Notez les symptômes, les URL concernées, l’heure de découverte et les changements récents.
- Conservez les alertes de l’hébergeur, de Search Console, du scanner ou des visiteurs.
- Préservez une copie des fichiers, de la base et des journaux avant toute suppression massive.
- Évitez la restauration précipitée, la réinstallation par-dessus le site ou l’accumulation de scanners.
- Contrôlez les fichiers, la base de données, les comptes, les sessions, les tâches, l’hébergement et les autres installations.
- Corrigez la vulnérabilité ou l’accès compromis qui a permis l’intrusion.
- Ne remettez le site en service qu’après des contrôles fonctionnels, externes et post-nettoyage.
Si le site redirige, héberge une page frauduleuse, expose des données ou continue à recréer des fichiers suspects, faites qualifier l’incident par GardeWP sans transmettre de mot de passe dans le formulaire.
Qu’est-ce qu’un malware WordPress ?
Un malware WordPress est un code, un fichier, une configuration ou un mécanisme introduit ou détourné pour produire un comportement non autorisé. Il peut viser le site, ses visiteurs, ses données, ses ressources serveur ou sa réputation.
Le malware n’est pas nécessairement un « virus » autonome. Sur un site web, il peut prendre la forme d’une injection dans un fichier existant, d’une extension modifiée, d’un script placé dans les médias, d’une entrée dans la base de données, d’une tâche planifiée ou d’un compte disposant de privilèges inattendus.
Vulnérabilité, piratage et malware ne sont pas synonymes
- Une vulnérabilité est une faiblesse exploitable dans WordPress, une extension, un thème, un serveur ou une intégration.
- Un piratage ou une compromission signifie qu’une action non autorisée a effectivement eu lieu.
- Un malware est l’un des moyens ou l’une des conséquences possibles de cette compromission.
Une extension vulnérable n’implique donc pas automatiquement que le site a été exploité. À l’inverse, une compromission peut reposer sur des identifiants volés sans laisser immédiatement un fichier détecté comme malveillant.
Quelles formes peut prendre un malware WordPress ?
| Forme | Effet observé | Zone à contrôler |
|---|---|---|
| Redirection conditionnelle | Certains visiteurs sont envoyés vers un casino, une fausse assistance, une publicité ou un site frauduleux | Fichiers, thème, extensions, règles serveur, base, scripts tiers et cache |
| Spam SEO | Pages japonaises, chinoises, pharmacie, casino ou faux produits dans Google | Générateur d’URL, base, fichiers, sitemaps, Search Console et réponses HTTP |
| Page de phishing | Formulaire imitant une banque, une administration, une messagerie ou une marque connue | Pages, fichiers autonomes, base, ressources tierces, comptes et journaux |
| Backdoor ou persistance | Le malware revient après suppression ou permet un nouvel accès | Fichiers, comptes, sessions, tâches planifiées, base et accès hébergement |
| Compte privilégié non autorisé | Nouvel administrateur, changement de rôle ou accès prestataire détourné | Utilisateurs, capacités, sessions, mots de passe d’application et multisite |
| Injection de scripts | Pop-up, faux CAPTCHA, téléchargement, code externe ou vol d’informations | Contenus, widgets, modèles, base, en-têtes, thème et services tiers |
| Abus des ressources | Lenteur, surcharge, tâches inhabituelles ou consommation excessive | Processus PHP, tâches, journaux, fichiers et trafic sortant |
| Envoi de messages non autorisés | Spams, phishing, rebonds ou blocage des e-mails | WordPress, formulaires, PHP, SMTP, API, boîte e-mail et usurpation du domaine |
Plusieurs formes peuvent coexister. Un même accès initial peut créer un administrateur, déposer une backdoor, générer des pages spam et envoyer des messages non autorisés. Le nettoyage doit donc rechercher des liens entre les symptômes plutôt que les traiter comme des incidents isolés.
Quels symptômes peuvent révéler un malware WordPress ?
Les symptômes indiquent où chercher, mais ne constituent pas toujours un diagnostic. Un bug, une mauvaise configuration, une extension défaillante ou un service tiers peuvent produire des effets proches. La confirmation doit rapprocher plusieurs sources.
Signes visibles par les visiteurs
- redirection vers un domaine inconnu ;
- fenêtre demandant d’autoriser les notifications, de mettre à jour le navigateur ou de saisir des identifiants ;
- contenu, lien ou publicité que vous n’avez pas ajouté ;
- avertissement du navigateur, de l’antivirus ou de Google ;
- téléchargement ou script inattendu.
Signes dans le back-office
- administrateur, rôle ou adresse e-mail inconnus ;
- extension ou thème ajouté sans validation ;
- réglage, URL, page d’accueil ou permalien modifié ;
- contenus, utilisateurs, produits ou commandes altérés ;
- connexion devenue impossible ou récupération de mot de passe détournée.
Signes chez l’hébergeur ou sur le serveur
- fichier détecté, mis en quarantaine ou récemment modifié ;
- activité PHP, processeur, mémoire ou trafic inhabituels ;
- e-mails PHP bloqués ou suspension de l’hébergement ;
- tâches planifiées, accès SFTP ou connexions inconnus ;
- fichiers qui réapparaissent après suppression.
Signes dans Google et Search Console
- pages étrangères ou requêtes sans rapport avec l’activité ;
- titre et description modifiés dans les résultats ;
- problème de sécurité, contenu trompeur ou logiciel malveillant signalé ;
- sitemap, propriétaire ou méthode de validation inconnus ;
- hausse massive d’URL découvertes, soft 404 ou chute brutale de visibilité.
L’envoi de spams est un symptôme particulier
Des messages envoyés en votre nom peuvent provenir d’un script WordPress, d’un formulaire détourné, d’un compte SMTP, d’une boîte e-mail compromise ou d’une simple usurpation du domaine. Ce guide général ne développe pas l’analyse des en-têtes, SPF, DKIM, DMARC et de la délivrabilité. Ces points sont traités dans Mon site WordPress envoie des spams ou des e-mails de phishing : que faire ?.
Pourquoi le site peut-il sembler normal alors qu’il est infecté ?
Un malware peut déclencher son comportement uniquement dans certaines conditions : visite depuis Google, appareil mobile, pays précis, utilisateur non connecté, première visite, heure particulière ou présence d’un cookie.
Ce mécanisme, souvent assimilé à du cloaking, réduit la probabilité que l’administrateur voie le problème. Il explique pourquoi un prestataire peut considérer le site normal alors que des clients continuent à être redirigés.
Les contrôles doivent donc comparer plusieurs contextes : connecté et déconnecté, mobile et ordinateur, accès direct et arrivée depuis un moteur, navigateur vierge et session habituelle.
Quels risques un malware WordPress fait-il courir ?
Risques pour les visiteurs
Une page frauduleuse, une redirection ou un script peut exposer les visiteurs à un vol d’identifiants, un téléchargement malveillant, une escroquerie, une collecte de données ou une navigation trompeuse.
Risques pour les données
Les comptes, formulaires, commandes, coordonnées clients, contenus privés ou informations techniques peuvent être consultés, modifiés, supprimés ou transmis. L’évaluation doit distinguer les données présentes, les accès réellement obtenus et les traces disponibles.
Risques SEO et réputationnels
Des URL parasites, des redirections et des avertissements de sécurité peuvent dégrader la visibilité, détourner les visiteurs et affecter la confiance dans la marque. Le nettoyage technique doit être suivi d’un contrôle de l’index et de Search Console.
Risques pour l’hébergement et les services associés
L’hébergeur peut suspendre le site, bloquer les e-mails, limiter les ressources ou demander une correction. Une adresse IP ou un domaine peuvent également voir leur réputation affectée si l’infrastructure est utilisée pour du spam ou des attaques.
Risques commerciaux et opérationnels
Formulaires indisponibles, commandes perdues, paiements suspendus, données incohérentes et temps d’arrêt peuvent avoir un impact direct. Pour une boutique, les contrôles doivent porter sur la chaîne commerciale complète, pas uniquement sur l’affichage du site.
Pourquoi un symptôme ne suffit-il pas à identifier la cause ?
| Observation | Ce qu’elle confirme | Ce qu’elle ne confirme pas |
|---|---|---|
| Un fichier est signalé | Ce fichier mérite une analyse ou une mise en quarantaine | Qu’il est l’unique élément compromis ou le point d’entrée |
| Une redirection apparaît | Un comportement non autorisé est servi dans certaines conditions | Que le code se trouve dans le thème ou dans un fichier précis |
| Un administrateur inconnu existe | Un accès privilégié doit être neutralisé et documenté | Que la suppression du compte résout tout l’incident |
| Le scanner ne trouve plus rien | Aucun élément correspondant à ses règles n’est détecté à cet instant | Que la base, les accès, les tâches et toutes les persistance sont sains |
| Le site fonctionne normalement | Les pages testées répondent dans le contexte observé | Qu’aucun cloaking, spam SEO, envoi sortant ou accès caché ne subsiste |
Quelles informations préserver avant le nettoyage ?
- captures des symptômes et URL concernées ;
- date, heure et fuseau de la première observation ;
- alertes de l’hébergeur, de Search Console, du navigateur ou du scanner ;
- chemins de fichiers, signatures et mesures déjà appliquées ;
- journaux web, PHP, authentification, e-mail et pare-feu disponibles ;
- liste des comptes, rôles, sessions et accès techniques ;
- extensions, thèmes, versions et modifications récentes ;
- date et périmètre des sauvegardes ;
- état des fonctions métier : formulaires, commandes, paiements, réservations et e-mails.
Une copie de l’état compromis peut servir de référence. Elle doit être clairement identifiée, isolée et ne jamais être restaurée automatiquement en production.
Que doit vérifier un diagnostic de malware WordPress ?
| Périmètre | Contrôles attendus | Objectif |
|---|---|---|
| Cœur WordPress | Version, intégrité, fichiers ajoutés ou modifiés | Distinguer les fichiers officiels des altérations |
| Extensions et thèmes | Versions, provenance, maintenance, fichiers et composants inutilisés | Identifier une vulnérabilité, une modification ou un composant abandonné |
| Base de données | Contenus, options, utilisateurs, scripts, URL et données injectées | Détecter ce qu’un scan de fichiers ne voit pas |
| Comptes et sessions | Administrateurs, rôles, capacités, sessions et mots de passe d’application | Supprimer les accès non autorisés et la persistance |
| Tâches planifiées | WP-Cron, tâches serveur et automatisations externes | Repérer un mécanisme de recréation ou d’exécution différée |
| Hébergement | Règles serveur, fichiers de configuration, permissions, autres sites et journaux | Élargir l’analyse au-delà du dossier WordPress principal |
| Services connectés | SMTP, API, webhooks, CDN, DNS, stockage et comptes tiers | Révoquer les secrets exposés et contrôler les effets externes |
| Visibilité externe | Google, Search Console, Safe Browsing, redirections et réputation | Vérifier l’impact encore visible après correction |
Les vérifications de sommes de contrôle du cœur WordPress sont utiles pour comparer certains fichiers aux versions officielles, mais elles ne valident pas automatiquement wp-content, les composants premium, les fichiers personnalisés ni la base de données.
Un scanner signale un malware ou les symptômes persistent ?
GardeWP peut contrôler les fichiers, la base, les comptes, les tâches, l’hébergement et les signaux externes afin d’établir le périmètre avant nettoyage.
Comment s’organise un nettoyage malware WordPress ?
La méthode dépend du site et de l’incident, mais un nettoyage complet suit généralement plusieurs phases.
- Cadrer et préserver : symptômes, accès, copies, journaux et fonctions critiques.
- Qualifier l’exposition : visiteurs, données, commandes, e-mails, référencement et hébergement.
- Identifier les éléments compromis : fichiers, base, comptes, tâches, intégrations et autres installations.
- Retirer ou remplacer proprement : code malveillant, fichiers ajoutés, composants altérés et données injectées.
- Révoquer les accès : comptes, sessions, mots de passe d’application, clés API et identifiants techniques.
- Corriger le point d’entrée : mise à jour, remplacement, configuration, permissions ou accès compromis.
- Tester et surveiller : fonctions métier, redirections, Search Console, journaux et absence de recréation.
Le guide Nettoyer un site WordPress piraté développe plus précisément la méthodologie, les risques et les limites de cette intervention.
Pourquoi un scanner ne suffit-il pas à déclarer le site propre ?
Un scanner recherche des signatures, des différences, des comportements ou des fichiers connus. Il peut être très utile pour orienter l’analyse, mais son résultat dépend de son périmètre, de ses règles, des droits disponibles et de l’état du site au moment du contrôle.
- un scanner externe ne voit pas l’ensemble des fichiers et de la base ;
- un plugin peut être limité par les droits PHP ou par un site déjà compromis ;
- un code conditionnel peut rester inactif pendant le scan ;
- une persistance peut se trouver dans une tâche, un compte, une API ou une autre installation ;
- un fichier personnalisé légitime peut être signalé, tandis qu’un code inédit peut ne pas l’être.
Le verdict « aucun malware détecté » signifie que l’outil n’a rien identifié selon ses règles. Il ne constitue pas une garantie absolue d’absence de compromission.
Faut-il restaurer une sauvegarde pour supprimer le malware ?
Une restauration peut être pertinente si un point de reprise sain, cohérent et suffisamment récent existe. Elle doit toutefois répondre à plusieurs questions.
- la sauvegarde est-elle antérieure à la compromission ?
- comprend-elle les fichiers et la base correspondant au même état ?
- peut-elle être restaurée et testée ?
- quelles commandes, contenus ou données seraient perdus ?
- le point d’entrée est-il corrigé avant la remise en ligne ?
- les accès compromis sont-ils révoqués ?
Restaurer une sauvegarde sans corriger la cause peut réintroduire la même vulnérabilité ou permettre une nouvelle compromission. Une sauvegarde peut aussi être restaurable tout en contenant déjà le malware.
Les erreurs qui laissent souvent le malware actif
Supprimer uniquement le fichier signalé
Le fichier peut n’être qu’un symptôme. Une autre persistance ou le point d’entrée initial peut rester actif.
Réinstaller WordPress par-dessus l’installation
Cette opération peut remplacer certains fichiers officiels, mais elle ne supprime pas nécessairement les fichiers ajoutés, les injections dans wp-content, la base, les comptes et les tâches.
Installer plusieurs plugins de sécurité en urgence
Les outils peuvent modifier les mêmes zones, produire des alertes contradictoires ou dégrader les performances sans établir le périmètre complet.
Changer seulement le mot de passe WordPress
L’accès initial peut concerner l’hébergement, SFTP, la messagerie, une clé API ou le poste d’un prestataire. Les sessions et secrets doivent être traités selon le scénario.
Purger les journaux et caches trop tôt
Ces données peuvent aider à construire la chronologie. Les caches doivent être purgés au bon moment, sans supprimer avant analyse les éléments utiles.
Considérer le site sain dès que le symptôme disparaît
Une redirection qui cesse, un fichier supprimé ou une alerte levée ne prouvent pas que les accès, la base et les mécanismes de persistance sont corrigés.
Que faut-il contrôler après le nettoyage ?
- absence de recréation des fichiers, comptes et tâches supprimés ;
- fonctionnement du front-office, du back-office et des parcours métier ;
- retour à la normale des ressources serveur et des e-mails ;
- état de Search Console, des avertissements et des URL parasites ;
- mises à jour, suppression des composants inutiles et revue des accès ;
- sauvegarde propre, testée et stockée séparément ;
- surveillance renforcée pendant une période adaptée au niveau de risque.
La ressource Après nettoyage d’un site WordPress piraté est consacrée à cette phase de stabilisation et de surveillance.
Quand demander une intervention professionnelle ?
- le site héberge une page de phishing ou redirige encore des visiteurs ;
- l’hébergeur a suspendu le service ou signale plusieurs fichiers ;
- des commandes, paiements, comptes clients ou données peuvent être concernés ;
- le malware revient après une première suppression ;
- l’origine ou le point d’entrée ne sont pas identifiés ;
- les accès aux fichiers, à la base ou aux journaux sont incomplets ;
- vous devez préserver la continuité d’un site commercial ou sensible.
Quelles informations transmettre pour accélérer le diagnostic ?
- URL et type de site ;
- hébergeur et environnement technique ;
- symptômes, URL, captures et date d’apparition ;
- alertes ou rapports reçus ;
- état du site, de l’administration et des fonctions métier ;
- actions déjà tentées ;
- date des sauvegardes disponibles ;
- modifications ou mises à jour récentes ;
- criticité commerciale et exposition éventuelle des visiteurs ou des données.
Ne transmettez pas de mot de passe dans le formulaire initial. Les accès nécessaires doivent être demandés séparément, limités et révoqués après l’intervention.
À retenir
- Un malware WordPress peut toucher les fichiers, la base, les comptes, les tâches et les services connectés.
- Le symptôme visible ne désigne pas nécessairement le point d’entrée ni tout le périmètre.
- Un scanner est un outil d’orientation, pas une garantie absolue d’assainissement.
- La suppression d’un fichier ou la restauration d’une sauvegarde ne suffisent pas si la cause reste active.
- Les spams et e-mails de phishing nécessitent une analyse spécifique du canal d’envoi.
- Un nettoyage complet inclut la révocation des accès, la correction du point d’entrée et les contrôles post-intervention.
Questions fréquentes
Un malware WordPress signifie-t-il toujours que le site a été piraté ?
La présence confirmée d’un code malveillant constitue une compromission. En revanche, une alerte portant sur une vulnérabilité ou un fichier suspect doit encore être vérifiée avant de conclure sur l’origine et l’étendue de l’incident.
Un site peut-il être infecté tout en fonctionnant normalement ?
Oui. Certains comportements ne se déclenchent que pour certains visiteurs, moteurs, appareils ou horaires. D’autres utilisent silencieusement les ressources du serveur, la base ou les e-mails.
Supprimer le fichier détecté suffit-il ?
Pas nécessairement. Il faut vérifier les autres fichiers, la base, les comptes, les tâches, les accès et le point d’entrée. Le fichier peut être une conséquence ou un élément parmi plusieurs.
Un plugin de sécurité peut-il nettoyer automatiquement le site ?
Il peut détecter, remplacer ou supprimer certains éléments, mais son périmètre et ses règles sont limités. La validation doit couvrir les zones qu’il ne contrôle pas et confirmer que la cause est corrigée.
Une sauvegarde propre résout-elle toujours le problème ?
Seulement si elle est réellement antérieure à la compromission, restaurable et accompagnée de la correction du point d’entrée et des accès compromis. Elle peut entraîner une perte de données récentes.
Des spams envoyés avec mon domaine prouvent-ils la présence d’un malware ?
Non. Le message peut provenir du site, d’un formulaire, d’un compte SMTP, d’une boîte compromise ou d’une usurpation. Les en-têtes et journaux doivent être analysés.
Combien de temps faut-il pour nettoyer un malware WordPress ?
La durée dépend de la taille du site, des accès, de l’hébergement, du nombre d’installations, des sauvegardes, de la persistance et des fonctions métier. Une qualification initiale permet d’estimer le périmètre.
Quand peut-on considérer le site comme sain ?
Lorsque les éléments compromis sont retirés, les accès révoqués, le point d’entrée corrigé, les fonctions testées, les signaux externes contrôlés et qu’aucun mécanisme de recréation n’est observé pendant la surveillance prévue.
Sources de référence
- WordPress.org — FAQ My site was hacked
- Developer.WordPress.org — Hardening WordPress
- WP-CLI — Vérifier les sommes de contrôle du cœur WordPress
- Google Search Central — Malware et logiciels indésirables
Dernière vérification éditoriale : 28 juillet 2026.
Faire diagnostiquer et nettoyer un malware WordPress
Votre site redirige, affiche du contenu inconnu, génère des pages parasites ou présente des fichiers suspects ? GardeWP peut établir le périmètre, nettoyer les zones compromises, corriger le point d’entrée et organiser les contrôles après intervention.
À transmettre : l’URL, les symptômes, les alertes, la date de découverte, l’état du site et les actions déjà tentées.
À ne pas transmettre : mots de passe WordPress, hébergement, SFTP, base de données ou services tiers dans le formulaire initial.