Un malware sur WordPress, c'est du code malveillant caché dans vos fichiers ou votre base de données : redirections, spam, porte dérobée, vol de données. Le supprimer demande de la rigueur, car un seul fichier oublié suffit à le faire revenir. Voici la méthode pour nettoyer un site infecté, étape par étape. Si vous préférez d'abord comprendre la situation globale, commencez par notre guide Site WordPress piraté : que faire ?.
Avant de commencer
Quelques précautions indispensables avant toute manipulation :
- Faites une copie du site tel quel, fichiers et base de données, même infectés, pour pouvoir revenir en arrière et enquêter.
- Mettez le site en maintenance pour protéger vos visiteurs.
- Changez vos mots de passe (hébergement, FTP, base de données, WordPress) depuis un ordinateur sain.
- Prévenez votre hébergeur : il peut vous donner accès à des journaux et à un scanner.
Les huit étapes du nettoyage
Procédez dans cet ordre :
- Identifiez les fichiers suspects. Un scanner de sécurité (Wordfence, Sucuri, Solid Security par exemple) liste les fichiers modifiés ou inconnus. Avec WP-CLI, la commande wp core verify-checksums compare les fichiers du cœur à la version officielle, et wp plugin verify-checksums --all fait de même pour les extensions du répertoire officiel.
- Remplaçez le cœur de WordPress. Téléchargez une version propre depuis wordpress.org et remplacez les dossiers wp-admin et wp-includes, ainsi que les fichiers à la racine, sans toucher à wp-config.php ni à wp-content.
- Réinstallez les extensions et les thèmes depuis des sources officielles. Supprimez ceux que vous n'utilisez pas, et tout ce qui est « nulled ».
- Inspectez le dossier wp-content/uploads. Il ne doit contenir que des médias : tout fichier PHP qui s'y trouve est suspect et doit être supprimé.
- Vérifiez la base de données. Cherchez les comptes administrateurs inconnus, les articles de spam, les scripts insérés dans des options ou des contenus.
- Contrôlez .htaccess et wp-config.php. Des redirections ou du code inconnu y sont fréquents. Régénérez .htaccess depuis Réglages > Permaliens et renouvelez les clés de sécurité.
- Relancez une analyse complète pour confirmer que plus aucun fichier suspect ne remonte.
- Remettez le site en ligne et surveillez-le attentivement les jours suivants.
Raccourci possible
Si vous avez une sauvegarde saine, antérieure à l'infection, la restaurer est souvent plus sûr et plus rapide que de nettoyer à la main. L'important est de connaître la date de l'infection, et de corriger la faille avant de remettre en ligne.
Comment repérer une réinfection
Si le malware revient, c'est qu'une porte dérobée a été oubliée ou que la faille d'origine n'est pas corrigée. Surveillez :
- la réapparition de fichiers ou d'utilisateurs supprimés ;
- de nouvelles redirections ou des pages de spam ;
- des alertes de votre scanner de sécurité ;
- des pics anormaux de trafic ou de charge serveur.
Prévenir une nouvelle infection
La meilleure défense reste l'entretien : mises à jour régulières, extensions limitées et maintenues, mots de passe forts avec double authentification, sauvegardes externes et surveillance. Notre guide pour sécuriser WordPress détaille l'ensemble des réglages, et notre guide sur la sauvegarde WordPress vous aide à mettre en place des copies fiables.
Se faire aider
Un nettoyage de malware demande de l'expérience : un fichier oublié et l'attaque recommence. Si le site est important pour votre activité, demandez un audit gratuit ou découvrez notre forfait de maintenance, qui inclut la surveillance et les sauvegardes.