Votre site affiche des publicités étranges, redirige vers une page douteuse ou Google l’accompagne d’un avertissement ? Il a peut-être été piraté. Pas de panique : un site piraté se répare, à condition d’agir dans le bon ordre.
Voici comment reconnaître un piratage, les 7 réflexes à avoir tout de suite, et les bonnes pratiques pour que ça ne se reproduise pas.
Comment savoir si votre site a été piraté ?
Les signes les plus fréquents :
- Votre page d’accueil a changé : message revendicatif, image inconnue, texte dans une autre langue.
- Vos visiteurs sont redirigés vers un site de jeux, de pharmacie ou d’arnaque, parfois seulement sur mobile ou en venant de Google.
- Google affiche un avertissement dans ses résultats (« Ce site a peut-être été piraté ») ou le navigateur bloque l’accès avec une page rouge.
- Des pages que vous n’avez jamais créées apparaissent dans Google quand vous tapez le nom de votre site.
- Votre hébergeur vous prévient d’une activité suspecte ou suspend votre site.
- Vous ne pouvez plus vous connecter à l’administration, ou un compte administrateur inconnu est apparu.
- Vos e-mails arrivent en spam chez vos clients, parce que votre serveur envoie des messages frauduleux.
Un seul de ces signes suffit pour réagir.
Site piraté : les 7 réflexes à avoir
Ces étapes s’inspirent de la fiche réflexe publiée par Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes (1).
- Mettez le site hors ligne. Demandez à votre hébergeur ou à votre prestataire de le suspendre temporairement, ou affichez une page de maintenance. Vous protégez ainsi vos visiteurs et limitez les dégâts.
- Conservez les preuves. Faites des captures d’écran de ce que vous voyez, notez les dates et heures, et demandez à votre hébergeur de conserver les journaux de connexion. Ne supprimez rien dans la précipitation.
- Prévenez votre hébergeur et votre prestataire web. Ils ont parfois accès aux fichiers et aux journaux, et peuvent identifier comment le pirate est entré.
- Changez tous les mots de passe : administration du site, hébergement, accès FTP, base de données et boîtes e-mail liées au site. Supprimez les comptes administrateurs que vous ne connaissez pas.
- Nettoyez ou restaurez le site à partir d’une sauvegarde saine, antérieure au piratage. Puis mettez immédiatement à jour le site, le thème et toutes les extensions : sinon, le pirate repassera par la même faille.
- Vérifiez si des données personnelles ont été touchées (formulaires de contact, comptes clients, commandes). Si la fuite présente un risque pour les personnes concernées, vous devez la notifier à la CNIL, si possible dans les 72 heures (2).
- Portez plainte et faites-vous accompagner. Le guichet 17Cyber et Cybermalveillance.gouv.fr orientent vers les démarches et des professionnels référencés.
Une fois le site nettoyé, si Google affichait un avertissement, demandez un réexamen dans Google Search Console. L’avertissement disparaît généralement en quelques jours.
Pourquoi les sites sont-ils piratés ?
Dans la grande majorité des cas, un petit site d’entreprise n’est pas visé personnellement. Les pirates utilisent des robots qui scannent automatiquement des millions de sites à la recherche de failles connues.
Sur WordPress, ces failles viennent surtout des extensions. Selon le rapport de la société de sécurité Patchstack, 11 334 nouvelles vulnérabilités ont été découvertes dans l’écosystème WordPress en 2025, soit 42 % de plus qu’en 2024, et 91 % concernaient des extensions (3). Le cœur de WordPress, lui, n’en comptait que 6.
Autrement dit : un site dont les extensions ne sont pas mises à jour est une porte ouverte. Les autres causes fréquentes sont les mots de passe faibles ou réutilisés, et les comptes d’anciens prestataires jamais supprimés.
Comment éviter que votre site soit piraté
- Faites les mises à jour régulièrement : WordPress, thème et extensions. C’est la mesure la plus efficace.
- Limitez les extensions au strict nécessaire, et supprimez celles que vous n’utilisez plus.
- Utilisez des mots de passe forts et uniques, et activez la double authentification sur l’administration.
- Faites des sauvegardes quotidiennes, stockées ailleurs que sur le serveur du site. C’est ce qui permet de tout restaurer en quelques heures.
- Choisissez un hébergeur sérieux, avec certificat HTTPS, pare-feu et support réactif.
- Limitez les comptes administrateurs : chacun le sien, et supprimez ceux des personnes qui ne travaillent plus sur le site.
- Surveillez votre site : une alerte automatique en cas de panne ou de modification suspecte permet de réagir en quelques minutes plutôt qu’en quelques semaines.
Tout cela prend du temps chaque mois. C’est précisément le rôle d’un contrat de maintenance : dans notre étude sur 103 prestataires, le prix d’entrée médian est de 50 € par mois, bien moins que le coût d’un site piraté (remise en état, perte de clients, référencement abîmé).
Et chez Lemowise ?
Notre maintenance à 49 €/mois comprend l’hébergement en France, les mises à jour régulières, une sauvegarde quotidienne et une assistance humaine joignable directement. En cas de problème, nous pouvons restaurer votre site à partir d’une sauvegarde saine.
Votre site a été piraté, ou vous voulez savoir s’il est exposé ? Contactez-nous : nous faisons le point avec vous.
Questions fréquentes
Un site piraté perd-il son référencement Google ?
Il peut en perdre, surtout si Google affiche un avertissement ou si des pages frauduleuses ont été créées. Plus le nettoyage est rapide, moins l’impact dure. Une fois le site nettoyé, une demande de réexamen dans Google Search Console permet de lever l’avertissement.
Peut-on récupérer un site piraté sans sauvegarde ?
Souvent oui, mais c’est plus long et plus cher : il faut analyser et nettoyer chaque fichier à la main, sans garantie d’avoir tout trouvé. Une sauvegarde récente et saine reste la solution la plus sûre.
Qui est responsable si mon site piraté diffuse des arnaques ?
C’est à l’éditeur du site, donc l’entreprise, de prendre des mesures raisonnables pour le sécuriser et de réagir rapidement. Déposer plainte et documenter vos démarches vous protège.
Les petits sites sont-ils vraiment visés ?
Oui. Les attaques sont automatisées : les robots ne choisissent pas un site pour sa taille, mais parce qu’il présente une faille connue.
Sources :
(1) Cybermalveillance.gouv.fr – Défiguration de site Internet, que faire ? ;