Votre site affiche une page blanche, redirige vers un site de pilules, ou Google le signale comme dangereux. Les décisions que vous prenez dans les six premières heures déterminent si vous perdez une journée ou trois semaines de référencement.
La première heure : ne supprimez rien
Le premier réflexe est de tout effacer et de réinstaller. C'est l'erreur la plus coûteuse. Vous détruisez les traces qui disent par où l'attaquant est entré — et sans cette information, il revient par la même porte dans les jours qui suivent.
Faites l'inverse : figez l'état actuel. Une copie complète des fichiers et de la base de données, y compris infectés, posée ailleurs que sur le serveur. Cette copie ne servira jamais à restaurer ; elle sert à comprendre.
Puis coupez l'accès public. Une page de maintenance vaut mieux qu'un site qui distribue du contenu malveillant à vos visiteurs pendant que vous cherchez. Chaque heure d'exposition supplémentaire aggrave la sanction côté moteurs de recherche.
Les deux heures suivantes : par où sont-ils entrés
Dans l'immense majorité des cas, la cause tient à l'une de ces quatre.
- Une extension non mise à jour. La cause numéro un. Une faille publiée est exploitée automatiquement dans les jours qui suivent sa publication, par des robots qui balaient le web entier. Personne ne vous a visé : vous étiez simplement à jour de rien.
- Un thème acheté hors marketplace officielle. Les versions « nulled » de thèmes payants contiennent presque systématiquement une porte dérobée. C'est leur modèle économique.
- Un mot de passe administrateur faible ou réutilisé. Les robots testent des dizaines de milliers de combinaisons par heure sur la page de connexion, qui est à la même adresse sur tous les sites WordPress du monde.
- Un compte d'hébergement compromis. Le plus grave, parce qu'il donne accès à tous les sites du même compte. Si vous en hébergez plusieurs, considérez-les tous comme atteints jusqu'à preuve du contraire.
Les journaux d'accès du serveur donnent la réponse. On y cherche les requêtes vers des fichiers qui ne devraient pas exister, et les connexions réussies depuis des adresses inhabituelles. La date du premier accès anormal détermine à quelle sauvegarde il faudra remonter.
Les trois heures suivantes : nettoyer, dans cet ordre
- Changer tous les mots de passe — hébergement, base de données, comptes administrateurs WordPress, FTP. Avant le nettoyage, pas après : sinon l'attaquant réinfecte pendant que vous travaillez.
- Remplacer le cœur de WordPress par une copie propre téléchargée depuis le site officiel. Ces fichiers-là ne doivent jamais être modifiés ; tout écart est une infection.
- Réinstaller chaque extension et le thème depuis leur source officielle, dans leur version à jour. Ne réparez pas un fichier infecté : remplacez-le.
- Nettoyer la base de données. C'est l'étape que l'on saute et qui fait revenir l'infection. Les injections se logent dans les options, les articles, et les comptes utilisateurs — vérifiez notamment qu'aucun compte administrateur ne vous est inconnu.
- Supprimer ce qui n'a rien à faire là. Fichiers PHP dans le dossier des envois, extensions désactivées depuis deux ans, anciennes installations oubliées dans un sous-dossier. Une extension désactivée reste exploitable.
Ce qu'on oublie et qui coûte le plus cher
Le nettoyage technique ne suffit pas. Deux démarches doivent suivre immédiatement, et ce sont celles qui protègent votre visibilité.
Dans la Search Console, demandez un examen après correction si votre site a été signalé. Tant que vous ne le faites pas, l'avertissement rouge reste affiché aux visiteurs qui vous cherchent, même une fois le site propre. Le traitement prend généralement quelques jours.
Vérifiez ensuite le contenu injecté indexé. Les attaques par spam créent des centaines de pages parasites que Google a eu le temps d'enregistrer. Elles doivent renvoyer une erreur 410 pour être retirées durablement.
Une sauvegarde stockée sur le même serveur que le site n'est pas une sauvegarde : elle est chiffrée ou effacée en même temps que lui. Il en faut une hors du serveur, et il faut l'avoir restaurée au moins une fois pour savoir qu'elle fonctionne.
Combien de temps, et à quel prix
Un site infecté par un robot, pris tôt et bien sauvegardé, se remet en service en trois à six heures. Sans sauvegarde exploitable, ou après plusieurs semaines d'infection, comptez deux à cinq jours — l'essentiel du travail portant alors sur la base de données et sur la reprise du référencement perdu.
Le facteur qui change tout n'est pas la gravité de l'attaque : c'est le délai avant l'intervention. Un site nettoyé le jour même retrouve ses positions en une à deux semaines. Un site signalé pendant un mois met souvent un trimestre à s'en remettre.
Nous prenons en charge les incidents bloquants sous 2 heures ouvrées, diagnostic compris. Remise en service à partir de 290 DT en Tunisie, 190 € ailleurs. Voir la prestation ou nous écrire directement.