Supprimer un malware WordPress : la méthode complète en 2026
Un malware sur un site WordPress ne disparaît jamais tout seul : chaque jour d'attente aggrave les dégâts. Redirections vers des sites douteux, pages de spam indexées par Google, emails frauduleux envoyés depuis votre serveur : l'infection touche votre image, votre référencement et parfois les données de vos clients. Ce guide vous donne une méthode complète pour supprimer un malware WordPress proprement, vérifier que le site est sain et empêcher la réinfection.
Comprendre une infection WordPress
Un malware, ou logiciel malveillant, est du code ajouté à votre site sans votre accord. Sur WordPress, il prend des formes variées : un fichier PHP caché dans le dossier des médias, une ligne ajoutée au début d'un fichier du thème, un script injecté dans un article, ou un compte administrateur créé par l'attaquant.
Tous les sites sont concernés, du blog d'association à la boutique en ligne. Les attaques sont massivement automatisées : des robots parcourent le web à la recherche d'extensions vulnérables connues, sans se soucier de la taille ou de la notoriété du site. Un site vitrine oublié depuis deux ans est même une cible idéale, car personne ne le surveille.
L'erreur la plus fréquente consiste à supprimer le symptôme visible, par exemple le script qui provoque la redirection, sans chercher la porte dérobée. Une porte dérobée est un petit fichier qui permet à l'attaquant de revenir quand il veut. Tant qu'elle existe, le site sera réinfecté, souvent dans les jours qui suivent.
Il faut aussi comprendre où le code malveillant se loge, pour savoir où chercher. Les emplacements les plus courants sont le dossier wp-content/uploads, normalement réservé aux images et documents, les extensions et thèmes installés, les fichiers à la racine comme index.php ou .htaccess, et la base de données. Dans la base, l'attaquant ajoute des scripts dans le contenu des articles, des options qui chargent du code à chaque page ou des tâches planifiées qui recréent les fichiers supprimés. C'est pourquoi un nettoyage sérieux traite toujours les fichiers et la base ensemble.
Enfin, l'infection n'est qu'une conséquence. La cause, c'est le point d'entrée : une extension non mise à jour, un mot de passe réutilisé, un thème piraté téléchargé sur un site non officiel ou un accès FTP partagé avec trop de prestataires. Identifier ce point d'entrée fait partie du nettoyage, au même titre que la suppression des fichiers.
Une dernière précision : si votre site traite des données personnelles, un piratage peut constituer une violation de données au sens du RGPD. Selon le risque pour les personnes concernées, une notification à la CNIL peut être nécessaire dans les 72 heures. Gardez donc une trace des dates et des constats dès le début de l'intervention.
Les signes d'une infection
Certains symptômes doivent vous alerter immédiatement :
- Redirections inattendues : vos visiteurs, surtout ceux qui arrivent depuis Google ou depuis un mobile, sont envoyés vers un site de jeux, de pharmacie ou d'arnaque.
- Pages inconnues dans Google : une recherche avec la commande site: suivie de votre domaine fait apparaître des pages en japonais ou des produits que vous ne vendez pas.
- Avertissement du navigateur : Google Safe Browsing affiche un écran rouge indiquant que le site est dangereux.
- Message de l'hébergeur : suspension du compte, alerte sur un volume d'emails anormal ou détection de fichiers malveillants.
- Comptes et fichiers inconnus : un administrateur que personne n'a créé, des fichiers aux noms aléatoires, des dates de modification récentes sur des fichiers que vous n'avez pas touchés.
- Ralentissements et pics de charge sans hausse de trafic réel, signe possible d'envoi de spam ou de minage.
Aucun de ces signes n'est une preuve à lui seul, mais deux ou trois réunis justifient un diagnostic complet. Si votre site redirige ses visiteurs, notre article sur le site WordPress redirigé vers un autre site détaille ce cas précis.
Cas concrets
L'artisan et sa vitrine oubliée
Un menuisier découvre, par un client, que son site affiche une publicité pour un casino. Le site n'a pas été mis à jour depuis trois ans et utilise un formulaire de contact abandonné par son développeur. Le nettoyage révèle une dizaine de fichiers PHP dans le dossier uploads et un administrateur fantôme. La correction passe par la suppression de l'extension et le remplacement du formulaire.
La boutique WooCommerce et le script de paiement
Une boutique de cosmétiques reçoit des plaintes de clients dont la carte a été utilisée frauduleusement. Un script injecté dans la page de commande copiait les données saisies. Ici, le nettoyage technique ne suffit pas : il faut aussi évaluer l'obligation de notification à la CNIL et prévenir la banque.
Le cabinet libéral suspendu par son hébergeur
Un cabinet d'expertise comptable voit son site suspendu un lundi matin. L'hébergeur a détecté des envois massifs d'emails. Une porte dérobée permettait d'utiliser le serveur comme relais de spam. Après nettoyage, il faut demander la réactivation et vérifier la réputation du domaine.
L'agence et la contamination croisée
Une agence héberge vingt sites clients sur le même compte mutualisé. Un seul site vulnérable a suffi à infecter tous les autres, car ils partagent le même utilisateur système. Nettoyer un site sans traiter les autres revient à le voir réinfecté le lendemain.
Méthode pas à pas pour supprimer un malware WordPress
- Isoler le site : activez une page de maintenance ou restreignez l'accès pour protéger vos visiteurs pendant l'intervention. Prévenez votre hébergeur si l'infection touche le serveur.
- Sauvegarder l'état infecté : faites une copie complète des fichiers et de la base avant toute modification. Elle sert de preuve, et de point de retour si un nettoyage casse quelque chose. Notre guide de sauvegarde WordPress explique comment procéder.
- Scanner les fichiers et la base : comparez le cœur de WordPress avec les sommes de contrôle officielles, puis cherchez les fichiers PHP là où il ne devrait pas y en avoir. Avec WP-CLI, l'outil en ligne de commande de WordPress :
wp core verify-checksums
wp plugin verify-checksums --all
find wp-content/uploads -name "*.php"
wp user list --role=administrator
- Remplacer plutôt que réparer : réinstallez le cœur, les extensions et le thème depuis leurs sources officielles. Ne conservez que wp-config.php, le dossier uploads nettoyé et les fichiers que vous avez réellement développés.
- Nettoyer la base de données : recherchez les balises script et les iframes injectées dans les tables des articles et des options, ainsi que les comptes administrateurs inconnus. Supprimez ce qui ne vous appartient pas.
- Changer tous les accès : mots de passe des administrateurs, de la base de données, du FTP, de l'hébergement, puis renouvelez les clés de sécurité de wp-config.php pour déconnecter toutes les sessions ouvertes.
- Corriger la cause : identifiez la faille d'origine, généralement une extension obsolète, et mettez-la à jour ou supprimez-la. Sans cette étape, le nettoyage est temporaire.
- Vérifier et demander la levée des alertes : relancez un scan complet, contrôlez l'affichage dans plusieurs navigateurs, puis demandez un réexamen dans Google Search Console si un avertissement est affiché.
Bonnes pratiques
- Conservez la sauvegarde de l'état infecté quelques semaines, sans la restaurer, pour pouvoir analyser l'attaque.
- Notez chaque action dans un journal daté : fichiers supprimés, accès changés, extensions retirées.
- Traitez tous les sites d'un même hébergement en même temps.
- Activez la double authentification sur les comptes administrateurs dès la remise en ligne.
- Programmez un scan régulier pendant les semaines qui suivent : une réinfection se détecte d'autant mieux qu'elle est récente.
Erreurs fréquentes à éviter
- Restaurer une sauvegarde récente sans vérifier qu'elle était saine : elle contient souvent déjà la porte dérobée.
- Supprimer uniquement le fichier signalé par un scanner et considérer le travail terminé.
- Oublier la base de données, où se cachent les injections de scripts et les comptes fantômes.
- Garder les mêmes mots de passe, alors que l'attaquant les a peut-être récupérés.
Comment V-Shield vous aide
V-Shield installe un agent WordPress qui scanne votre site automatiquement, chaque jour en formule Essentiel et toutes les 6 heures en Pro et Business. L'analyse est complétée par ClamAV et des règles YARA exécutées sur nos serveurs, pour repérer portes dérobées, fichiers suspects, comptes administrateurs frauduleux et injections en base. Les fichiers détectés peuvent être nettoyés ou placés en quarantaine réversible : vous pouvez revenir en arrière si un fichier légitime a été isolé. Les sauvegardes sont stockées hors de votre hébergement, ce qui les protège même si le serveur est compromis. Découvrez l'ensemble des fonctionnalités de protection, ou consultez notre page dédiée à l'intervention sur un site WordPress piraté. Pour aller plus loin en prévention, lisez notre guide complet pour sécuriser WordPress et notre article sur la réaction face à une vulnérabilité.
Votre site est infecté en ce moment ? Découvrez notre intervention d'urgence pour site WordPress piraté et reprenez la main rapidement.
Questions fréquentes
Comment savoir si mon site WordPress contient un malware ?
Les signes les plus fréquents sont une redirection vers un site inconnu, des pages en langue étrangère dans Google, un avertissement du navigateur, un compte administrateur que vous n'avez pas créé ou un message de votre hébergeur. Un scan des fichiers et de la base de données permet de confirmer l'infection et d'en mesurer l'étendue.
Un plugin gratuit suffit-il pour supprimer un malware WordPress ?
Un plugin gratuit peut détecter une partie des fichiers modifiés et des codes connus, mais il tourne sur un site déjà compromis et ne voit pas toujours les injections en base ni les portes dérobées bien cachées. Pour une infection réelle, il faut compléter par une vérification manuelle ou un service de nettoyage.
Faut-il réinstaller WordPress après un piratage ?
Réinstaller le cœur de WordPress à partir des fichiers officiels est une bonne pratique, car cela écrase les fichiers système modifiés. Mais cela ne suffit pas : le code malveillant se cache aussi dans les dossiers uploads, plugins, thèmes et dans la base de données, qu'une réinstallation ne touche pas.
Pourquoi mon site est-il réinfecté après un nettoyage ?
Une réinfection signifie presque toujours qu'une porte dérobée est restée en place, que la faille d'origine n'a pas été corrigée ou que les mots de passe n'ont pas été changés. Il faut identifier le point d'entrée, mettre à jour ou supprimer le composant vulnérable et renouveler tous les accès.
Combien de temps prend le nettoyage d'un site WordPress piraté ?
Pour une infection simple, quelques heures suffisent souvent entre le diagnostic, le nettoyage et la vérification. Une infection ancienne, touchant plusieurs sites d'un même hébergement ou la base de données, demande davantage de temps. Le plus long reste parfois la levée des avertissements Google, qui dépend de leur délai de revue.