Un site WordPress piraté plusieurs fois en quelques mois, ce n’est presque jamais de la malchance. C’est le signe que le nettoyage précédent a traité les symptômes sans régler la cause. Le site a l’air propre, le message d’alerte a disparu, et pourtant le problème revient trois semaines plus tard.
Pourquoi un site nettoyé se fait re-pirater
Il y a une différence importante entre supprimer le contenu malveillant et fermer la porte par laquelle le pirate est entré. Beaucoup de nettoyages express se contentent de la première étape : on supprime les fichiers infectés, on réinitialise le thème, le site redémarre proprement. Mais si la faille d’origine — un plugin obsolète, un mot de passe faible, une backdoor cachée ailleurs dans l’arborescence — n’a pas été identifiée et corrigée, rien n’empêche le même chemin d’être réutilisé.
Les causes les plus fréquentes de récidive
Une backdoor qui a survécu au nettoyage. Les pirates laissent souvent plusieurs points d’accès, pas un seul. Un nettoyage qui se limite au fichier visiblement infecté peut laisser un second accès intact, parfois dissimulé dans un fichier au nom presque identique à un fichier WordPress légitime.
Un mot de passe jamais changé après l’incident. Si le pirate connaissait le mot de passe admin, FTP ou de la base de données, et qu’aucun de ces trois n’a été modifié après le nettoyage, il n’a techniquement jamais perdu l’accès.
Le même plugin vulnérable, jamais mis à jour. Si l’origine du piratage était une extension obsolète et que cette extension n’a pas été mise à jour ou remplacée après l’intervention, la même faille reste exploitable par n’importe quel autre attaquant qui scanne le web à la recherche de ce point d’entrée connu.
Une contamination croisée sur un hébergement mutualisé. Sur un serveur partagé, un autre site hébergé au même endroit peut rester infecté et recontaminer le vôtre, même après un nettoyage impeccable de votre côté. C’est un cas fréquent et souvent invisible sans accès aux logs serveur complets.
Absence de surveillance après l’intervention. Sans monitoring des fichiers modifiés, une nouvelle tentative peut rester active plusieurs semaines avant d’être remarquée, le temps que le trafic sortant anormal finisse par alerter l’hébergeur ou Google.
Comment casser le cycle
La différence entre un nettoyage qui tient et un nettoyage qui ne tient pas se joue avant même de commencer : un vrai diagnostic doit chercher la cause racine, pas seulement le symptôme visible. Concrètement, cela veut dire :
- Analyser les logs serveur pour identifier précisément comment l’intrusion a eu lieu, pas seulement ce qu’elle a laissé
- Changer systématiquement tous les mots de passe (admin, FTP, base de données, hébergement) après chaque incident, sans exception
- Vérifier l’intégralité des fichiers, pas uniquement ceux visiblement modifiés — une backdoor bien cachée ne saute pas aux yeux
- Mettre à jour ou remplacer l’élément à l’origine de la faille, pas seulement nettoyer ses conséquences
- Mettre en place une surveillance continue après l’intervention, pour détecter une nouvelle tentative avant qu’elle ne prenne de l’ampleur
C’est exactement la logique derrière un pack de maintenance plutôt qu’une intervention ponctuelle isolée : la réparation seule referme la porte que vous connaissez, la surveillance continue empêche qu’une autre ne s’ouvre sans que vous le sachiez.
Un site plusieurs fois piraté n’est pas une fatalité
Si votre site a déjà été piraté plus d’une fois, le problème n’est presque jamais que « les pirates s’acharnent sur vous » en particulier. C’est un signal clair qu’une faille précise reste ouverte quelque part, et qu’elle mérite un diagnostic plus approfondi que le précédent.
