Récupérer un site web hacké 2026 : guide urgence pas à pas

Site hacké : 4 200 sites WordPress compromis chaque jour dans le monde

En 2026, environ 4 200 sites WordPress sont compromis chaque jour selon les données croisées de Sucuri, Wordfence et SiteCheck. Pour vous, le client : un matin votre site redirige vers un casino, votre antivirus bloque l'accès, Google affiche "Ce site peut endommager votre ordinateur", ou pire, vos clients reçoivent des emails de phishing à votre nom.

La panique est mauvaise conseillère. Ce guide vous donne les 8 étapes d'urgence dans l'ordre exact à suivre dans les 24 premières heures.

Étape 0 — Reconnaître les signes d'un hack

Les symptômes les plus fréquents :

• Redirection inopinée : le site renvoie vers un site tiers (casino, pharmacie, porno)
• Malware injection : du code JavaScript inconnu apparaît dans le footer ou les pages
• Blacklist Google : "Ce site peut endommager votre ordinateur" dans les SERPs ou Chrome
• Avertissement Google Search Console : message "Logiciel malveillant détecté"
• Ralentissement brutal : le site rame, le serveur CPU est à 100 % (souvent bot malveillant ou minage crypto)
• Nouveaux utilisateurs admin inconnus dans WP-admin
• Fichiers étranges : wso.php, c99.php, r57.php, ou fichiers PHP dans /uploads/
• Hébergeur qui bloque le compte pour activité suspecte
• Mails de spam envoyés depuis votre nom de domaine
• Plainte client : vos clients reçoivent des emails frauduleux signés de votre marque

Au moindre symptôme, passer immédiatement à l'étape 1.

Étape 1 — Isoler le site (priorité 1, < 30 min)

L'objectif : empêcher le malware de continuer à se propager, et protéger vos visiteurs.

• Mode maintenance : activer une page "Maintenance en cours" via .htaccess ou plugin WP Maintenance Mode
• Restreindre l'accès : limiter l'accès à votre IP via .htaccess (Order Deny,Allow / Deny from all / Allow from VOTRE_IP)
• Couper temporairement le DNS si nécessaire (cas extrême de redirection vers contenu illégal)
• Bloquer les emails sortants si du spam part de votre domaine (couper SMTP côté hébergeur)

Ne PAS supprimer les fichiers tout de suite : on a besoin de garder les preuves pour l'étape 2.

Étape 2 — Identifier la nature de l'attaque (< 2 h)

• Scan en ligne : passer l'URL dans Sucuri SiteCheck (gratuit, https://sitecheck.sucuri.net), Quttera, VirusTotal
• Audit des fichiers récemment modifiés :

`bash

find /var/www/votresite -type f -name "*.php" -mtime -7

`

→ liste tous les fichiers PHP modifiés dans les 7 derniers jours

• Logs serveur : examiner /var/log/apache2/access.log ou logs cPanel pour repérer l'IP d'attaque
• Vérifier les comptes admin : Settings > Users dans WP-admin, supprimer tout compte non créé par vous
• Lister les plugins actifs : repérer les plugins suspects (souvent un plugin obsolète est la porte d'entrée)

Documenter l'attaque : date d'origine, fichiers infectés, IP source. Utile pour l'étape 8 (notifier).

Étape 3 — Nettoyer ou restaurer (la grosse étape, 2-8 h)

Option A — Nettoyage manuel (si vous avez les compétences ou un sysadmin)

• Télécharger une copie clean de WP core, du thème, des plugins depuis sources officielles
• Comparer fichier par fichier avec votre installation (diff ou outils comme WP-CLI)
• Supprimer / remplacer tous les fichiers modifiés
• Scanner la base de données pour code injecté (recherche de