Beaucoup de TPE et de PME ont un site en ligne depuis dix ou quinze ans. Il tourne, il rapporte quelques appels, personne n'y touche. C'est exactement ce profil qui intéresse les attaquants : un site oublié se compromet sans bruit, et la compromission peut durer des mois avant que quelqu'un s'en aperçoive.
Il y a quelques années, pendant un cours de référencement, une participante m'a montré un bloc de code illisible en bas de sa page d'accueil. Son site datait du début des années 2000. Le code injectait une série de liens vers des sites tiers : rien de visible pour ses visiteurs, rien d'anormal dans son interface d'administration, mais une vingtaine de liens sortants dans le code source. J'ai revu ce scénario plusieurs fois depuis. Voici comment le repérer, quoi faire dans les premières heures, et ce qui évite la rechute.
Un vieux site n'est pas une cible improbable
Les chiffres publics vont dans le même sens. Dans son rapport d'activité 2025 publié le 26 mars 2026, Cybermalveillance.gouv.fr indique avoir assisté plus de 500 000 victimes sur l'année, soit une hausse de 20 % par rapport à 2024 (périmètre : parcours de diagnostic réalisés sur la plateforme, tous publics confondus, France). Pour les seules entreprises et associations, le classement 2025 des menaces place le piratage de compte en tête avec 21 % des parcours d'assistance, et signale une hausse de 112 % des demandes liées à un piratage informatique (6 % des parcours) — une catégorie encore marginale en volume, mais qui progresse vite.
Du côté de l'ANSSI, le Panorama de la cybermenace 2025, publié le 11 mars 2026, recense 3 586 événements de sécurité traités et 1 366 incidents. Sur les 128 compromissions par rançongiciel portées à sa connaissance en 2025, 48 % des victimes étaient des TPE, PME ou ETI, contre 37 % en 2024 (périmètre : incidents signalés à l'ANSSI ou traités par elle, France). Le rançongiciel n'est pas le seul débouché d'une intrusion, mais l'ordre de grandeur est clair.
Ce que les attaquants font d'un site vitrine
Un site de TPE n'a ni fichier client massif ni moyens de paiement. Sa valeur est ailleurs : un nom de domaine ancien, indexé, avec un peu d'historique aux yeux de Google. Les usages les plus fréquents :
- Injection de liens vers un réseau tiers, souvent sur des thématiques à forte marge : contrefaçon, jeux d'argent, pharmacie, crypto.
- Pages parasites créées par centaines dans un répertoire discret, invisibles depuis le menu du site mais indexées par Google.
- Cloaking : le visiteur voit la page normale, le robot de Google voit une autre page. C'est ce qui rend la détection tardive.
- Redirection conditionnelle, par exemple uniquement pour les visiteurs venant d'un moteur de recherche ou depuis un mobile.
- Hébergement de pages d'hameçonnage ou envoi de courriels depuis votre serveur, avec le risque de voir votre domaine blacklisté.
Rappelons que l'accès ou le maintien frauduleux dans un système de traitement automatisé de données est puni de trois ans d'emprisonnement et 100 000 € d'amende (article 323-1 du code pénal, version en vigueur depuis le 26 janvier 2023). Vous êtes victime d'un délit, pas coupable d'une négligence.
Les signes de compromission à vérifier
Du côté de Google
Tapez site:votredomaine.fr dans Google et parcourez les résultats au-delà de la première page. Des titres en langue étrangère, des URL que vous ne reconnaissez pas, des descriptions sans rapport avec votre activité : ce sont les indices les plus accessibles. Le rapport « Problèmes de sécurité » de la Search Console signale de son côté les contenus piratés détectés par Google, avec la liste d'URL d'exemple. Une chute brutale de trafic sans mise à jour d'algorithme connue mérite aussi un contrôle.
Du côté du site
Affichez le code source d'une page (Ctrl+U) et cherchez des blocs illisibles, des chaînes encodées, des balises masquées par un style hors écran, des iframes vers un domaine inconnu. Regardez ensuite les dates de modification des fichiers sur le serveur : un fichier PHP modifié il y a trois semaines alors que personne n'est intervenu est un signal fort. Les répertoires de téléversement (/wp-content/uploads/ sous WordPress) ne devraient contenir aucun fichier exécutable.
Du côté des comptes et du serveur
Un compte administrateur que vous n'avez pas créé, une tâche planifiée inconnue, un fichier .htaccess modifié ou des messages légitimes qui partent soudain en spam : chacun de ces éléments justifie une vérification complète. Votre hébergeur peut fournir les journaux d'accès, qui permettent souvent de dater l'intrusion.
Pourquoi les installations anciennes cèdent en premier
Le volume de failles publiées dans l'écosystème WordPress ne baisse pas. Le rapport State of WordPress Security in 2026 de Patchstack, publié le 25 février 2026, recense 11 334 nouvelles vulnérabilités dans l'écosystème WordPress sur l'année 2025, soit 42 % de plus qu'en 2024 (périmètre : base de vulnérabilités de l'éditeur). Leur répartition est instructive : 91 % concernent des extensions, 9 % des thèmes, et seulement 6 le cœur de WordPress. Patchstack indique par ailleurs que 46 % de ces vulnérabilités n'étaient pas corrigées au moment de leur divulgation publique, et mesure une médiane de cinq heures entre la divulgation et la première tentative d'exploitation.
Autrement dit, le risque ne vient presque jamais de WordPress lui-même, mais des extensions installées puis oubliées — en particulier celles dont l'auteur a cessé la maintenance. Et le socle vieillit aussi. Au 11 septembre 2026, les statistiques publiques de WordPress.org montrent que 38,4 % des installations mesurées tournent sur une branche PHP qui ne reçoit plus de correctifs de sécurité, dont 23 % sur PHP 7.x ou antérieur ; 7,8 % utilisent encore WordPress 5.9 ou une version plus ancienne, alors que la version stable est la 7.1. WordPress.org ne publie pas le détail de sa méthode de mesure, mais l'ordre de grandeur rejoint ce que je constate en audit.
| Branche PHP | Fin du support de sécurité | Statut aujourd'hui |
|---|---|---|
| 7.4 | 28 novembre 2022 | Sans correctifs depuis près de 4 ans |
| 8.0 | 26 novembre 2023 | Sans correctifs |
| 8.1 | 31 décembre 2025 | Sans correctifs |
| 8.2 | 31 décembre 2026 | Support de sécurité qui s'achève dans quelques mois |
| 8.3 | 31 décembre 2027 | Supportée |
| 8.4 | 31 décembre 2028 | Supportée |
Si votre site tourne encore en PHP 7.4, c'est souvent le signe que le thème ou les extensions ne supportent plus une version récente, donc que les mises à jour ont été abandonnées en cours de route. La question n'est alors plus la maintenance mais la refonte du socle technique.
La marche à suivre quand le doute est levé
- Constater et dater. Faites des captures d'écran, notez les URL concernées, récupérez les journaux d'accès auprès de l'hébergeur. Ces éléments serviront pour la plainte et pour comprendre le point d'entrée.
- Conserver une copie de l'état compromis (fichiers + base) avant tout nettoyage. On efface souvent la preuve en même temps que le code malveillant.
- Couper l'exposition. Page de maintenance ou mise hors ligne temporaire si le site diffuse du contenu dangereux ou envoie des courriels.
- Changer tous les secrets : mots de passe des comptes administrateurs, du FTP/SFTP, de la base de données, du compte d'hébergement, et régénérer les clés de sécurité de
wp-config.phppour invalider les sessions ouvertes. - Restaurer une sauvegarde antérieure à l'intrusion, puis appliquer immédiatement toutes les mises à jour avant de remettre en ligne. À défaut de sauvegarde saine, il faut réinstaller le cœur et les extensions depuis les sources officielles et reprendre les fichiers un par un.
- Chercher la porte dérobée. Un nettoyage qui ne trouve pas le point d'entrée se solde par une réinfection en quelques jours. C'est l'étape la plus longue.
- Demander un examen à Google dans le rapport « Problèmes de sécurité », une fois le site propre.
- Déclarer. Plainte auprès de la police ou de la gendarmerie ; et si des données personnelles ont pu être exposées, notification à la CNIL dans les 72 heures.
Si vous n'avez pas d'accès serveur ou si le site est critique pour votre activité, faites-vous accompagner plutôt que de tenter un nettoyage partiel : la remise en état d'un site WordPress piraté suit une méthode précise, et un nettoyage incomplet coûte plus cher que le premier.
Les sauvegardes décident de la suite
Toute la différence entre une journée de travail et trois semaines de reconstruction tient à la qualité des sauvegardes. Trois critères comptent. La localisation : une sauvegarde stockée sur le serveur du site disparaît avec lui et peut être effacée par l'attaquant. La profondeur de rétention : une compromission découverte après deux mois rend inutile un historique de sept jours. Le test de restauration : une sauvegarde jamais restaurée est une hypothèse, pas une garantie — testez-la une fois par an, fichiers et base de données compris.
Ce qui évite la rechute
Les mesures efficaces sont peu nombreuses et connues : mises à jour appliquées sous quelques jours et non quelques mois, suppression des extensions et thèmes inutilisés plutôt que simple désactivation, authentification à deux facteurs sur les comptes administrateurs, un compte par personne avec le niveau de droits strictement nécessaire, et un hébergement qui permet de choisir sa version de PHP. Tout cela gagne à être formalisé dans un contrat de maintenance qui précise qui applique les mises à jour, à quelle fréquence, où sont stockées les sauvegardes et ce qui se passe en cas d'incident. Sans cette clarté, chacun suppose que l'autre s'en occupe — et personne ne s'en occupe.
Questions fréquentes
Comment savoir si mon site a été piraté ?
Les signaux les plus accessibles sont des pages inconnues qui apparaissent dans Google avec la requête site:votredomaine.fr, un avertissement dans le rapport « Problèmes de sécurité » de la Search Console, et des blocs de code illisibles dans le code source des pages. Côté serveur, un fichier PHP modifié récemment sans intervention de votre part ou un compte administrateur que vous n'avez pas créé confirment généralement le diagnostic.
Un piratage SEO est-il visible par mes visiteurs ?
Souvent non. Les attaquants utilisent le cloaking : le visiteur voit la page normale, tandis que le robot de Google reçoit une page remplie de liens ou de contenus spam. C'est ce qui explique que ces compromissions passent inaperçues pendant des mois, jusqu'à une chute de trafic ou un avertissement de Google.
Faut-il payer une rançon ou négocier avec l'attaquant ?
Non. Les autorités françaises, dont Cybermalveillance.gouv.fr, déconseillent le paiement : il ne garantit ni la restitution des données ni le départ de l'attaquant, et il finance l'activité criminelle. La bonne réponse est le dépôt de plainte, la restauration d'une sauvegarde saine et la recherche du point d'entrée.
Mettre à jour WordPress suffit-il à sécuriser un site ?
Non, mais c'est la mesure la plus rentable. En 2025, 91 % des vulnérabilités recensées par Patchstack dans l'écosystème WordPress concernaient des extensions et 9 % des thèmes, contre six failles seulement dans le cœur. Il faut donc aussi supprimer les extensions inutilisées, surveiller celles qui ne sont plus maintenues et garder une version de PHP encore supportée.
Combien de temps faut-il pour remettre un site en état ?
Avec une sauvegarde saine et récente, une demi-journée à une journée suffit généralement : restauration, mises à jour, changement des secrets, puis vérification. Sans sauvegarde exploitable, il faut reconstruire l'installation et inspecter les fichiers un par un, ce qui se compte en jours et débouche souvent sur une refonte.
Faut-il refaire le site après un piratage ?
Pas systématiquement. La refonte s'impose quand le socle ne peut plus être mis à jour : thème sur mesure incompatible avec les versions récentes de PHP, extensions abandonnées par leur auteur, ou site codé à la main sans maintenance possible. Dans les autres cas, un nettoyage suivi d'une remise à niveau des mises à jour suffit.