Comprendre et diagnostiquer une infection WordPress : méthode, exemples et bonnes pratiques

La sécurité fait partie des compétences essentielles d’un webmaster WordPress. Pourtant, un grand nombre de sites continuent de fonctionner pendant des mois avec des anomalies ou des fichiers suspects sans que personne ne s’en rende compte. Une infection n’est pas toujours visible : elle peut se manifester par une surcharge serveur, une erreur critique après mise à jour, ou un simple comportement étrange dans l’administration.

Cet article pédagogique vous guide pas à pas : comment reconnaître les symptômes, analyser les fichiers, comprendre les mécanismes d’une infection et remettre un site en état proprement.

1. Pourquoi comprendre les infections WordPress quand on devient webmaster ?

Travailler sur WordPress implique de savoir :

• reconnaître les signaux faibles d’un site compromis
• analyser un environnement qui a pu être modifié par un tiers
• nettoyer des fichiers nuisibles sans casser le site
• sécuriser durablement pour éviter la réinfection

C’est une compétence recherchée : elle combine compréhension du fonctionnement interne du CMS, lecture de code PHP, et capacité à raisonner en termes de sécurité.

Comprendre ce type de cas est une excellente manière de progresser techniquement et de devenir autonome sur des incidents concrets.

2. Les symptômes classiques d’un site WordPress compromis

Une infection peut provoquer des symptômes visibles… ou presque invisibles. Voici les signaux qu’un webmaster doit identifier immédiatement :

Symptômes techniques

• erreurs critiques après une mise à jour
• surcharge disque ou base de données
• ralentissements soudains du back-office
• impossibilité de mettre à jour WordPress ou ses extensions

Symptômes côté visiteurs

• redirections aléatoires vers des boutiques ou sites inconnus
• messages d’alerte du navigateur
• fenêtres pop-up non demandées

Symptômes côté fichiers

• apparition de fichiers PHP aux noms aléatoires
• dossiers inhabituels cachant du code
• modifications de fichiers WordPress officiels

Dès qu’un de ces signaux apparaît, l’analyse doit commencer.

3. Comment un webmaster doit aborder le diagnostic ?

Le bon réflexe : ne jamais se limiter à WordPress lui-même.
Une infection utilise généralement plusieurs points d’appui sur un même hébergement.

Voici la méthode recommandée pour une analyse propre.

Étape 1 : inspecter les répertoires sensibles

Commencez par vérifier ces zones :

• /wp-content/
• /wp-content/uploads/
• /wp-content/plugins/
• racine WordPress
• répertoires non WordPress laissés par d’anciens sites
• .well-known/ s’il existe
• tout dossier contenant du index.php qui ne devrait pas en contenir

Votre objectif : repérer ce qui n’appartient pas au core ou aux plugins installés.

Étape 2 : comparer les fichiers du core WordPress

Un webmaster doit savoir que le core officiel ne contient :

• aucun fichier PHP dans /uploads/
• aucune classe cryptographique exotique
• aucun fichier aux noms aléatoires

La comparaison avec la version officielle (téléchargée sur WordPress.org) permet immédiatement d’éliminer les doutes.

Si vous ne connaissez pas parfaitement la liste de tous les fichiers, c’est normal, notamment si vous débutez. N’hésitez pas à mettre sur votre écran, la liste du fichier WordPress propre et à côté, la liste des fichiers WordPress suspecté d’être piraté et/ou infecté.

Étape 3 : analyser le contenu des fichiers suspects

En général, les fichiers malveillants contiennent :

• du code obfusqué (base64_decode, eval, gzinflate, str_rot13)
• des fonctions reconstruites (ex. FILE_PUT_CONTENTS reformé lettre par lettre)
• des instructions pour envoyer ou recevoir des données via $_POST

Un futur webmaster doit se former à reconnaître ce type de schémas.

4. Comment les infections WordPress fonctionnent vraiment ?

Pour comprendre un nettoyage, il faut comprendre l’architecture des infections modernes. Elles reposent presque toujours sur une combinaison de trois mécanismes.

1. Une porte dérobée (backdoor)

Elle permet à l’attaquant de :

• téléverser des fichiers
• exécuter du code à distance
• écrire dans les répertoires de WordPress

C’est le cœur de l’infection.

2. Un loader

Ce fichier injecte du HTML, du JavaScript ou du code dans les pages du site.
Il est responsable des redirections intempestives ou du piratage SEO.

3. Un module de persistance

Ce module réinstalle l’infection dès qu’elle est supprimée.
Même une remise en place de /wp-admin ou /wp-includes ne suffit pas si ce module est encore présent ailleurs.

Comprendre ces trois composantes est essentiel pour mener un nettoyage durable.

5. La méthode de nettoyage recommandée pour les webmasters

Un nettoyage efficace n’est jamais “au hasard”. Voici les étapes à toujours respecter.

1. Supprimer les fichiers malveillants

Tout fichier anormal doit être effacé :

• fichiers PHP dont les noms semblent aléatoires
• fichiers contenus dans des dossiers non WordPress
• plugins inconnus ou douteux
• fichiers modifiés artisanalement

2. Réinstaller le core WordPress

Remplacer intégralement :

• /wp-admin/
• /wp-includes/

Cela supprime toute modification non officielle.

3. Vérifier les plugins et thèmes

Un webmaster doit :

• supprimer les plugins/Thèmes non utilisés
• réinstaller les actifs depuis leur source officielle
• vérifier que les fichiers n’ont pas été modifiés

4. Nettoyer la base de données

Plusieurs infections injectent du code dans :

• wp_posts
• wp_options (surtout active_plugins, siteurl, home)

Une analyse est nécessaire.

5. Changer tous les accès

Toujours :

• mot de passe FTP
• mot de passe WordPress
• mot de passe SQL
• clés secrètes WP dans wp-config.php

6. Mettre en place une protection

Pour sécuriser durablement :

• Wordfence ou SecuPress
• authentification à deux facteurs
• désactivation du FTP non utilisé
• versions PHP et WP à jour

6. Comment utiliser ce type de cas dans votre apprentissage ?

Les futurs webmasters ont tout intérêt à analyser ce genre de cas, car ils permettent de :

• se familiariser avec la structure des fichiers WordPress
• apprendre à reconnaître du code malveillant
• comprendre la logique d’une infection moderne
• savoir quelles actions mener selon le contexte
• gagner en autonomie sur les diagnostics techniques

C’est une excellente base pour accompagner des clients sur des problématiques de sécurité.

7. Exercices recommandés pour progresser

Voici trois suggestions pratiques à tester dans un environnement local :

Exercice 1 : comparer deux installations WordPress

Installez WordPress localement et inspectez les répertoires un par un pour mémoriser la structure officielle.

Exercice 2 : analyser un faux fichier infecté

Créez un fichier test.php contenant du code obfusqué (en local) et tentez de le déchiffrer.

Exercice 3 : simuler un nettoyage

Téléversez volontairement un fichier dans un dossier non WordPress, puis essayez de le repérer au premier coup d’œil.

Exercice 4 : simuler un nettoyage

Vous faîtes vos premiers nettoyages ? Aidez-vous de bons outils. Par exemple, Wordfence peut faire plusieurs types d’analyses via son scan gratuit intégré. Dont le scan sensible (=sensitive dans sa version anglaise). Il détecte beaucoup de fichiers malsains. Optez notamment pour : Scan Type: High Sensitivity

Ces exercices renforcent votre capacité à diagnostiquer rapidement.

En bref

Comprendre une infection WordPress, savoir la diagnostiquer et la nettoyer est une compétence décisive pour un webmaster. Cela demande de la méthode, de la logique et une bonne connaissance de ce qui appartient ou n’appartient pas au core du CMS.
Une fois cette compétence développée, vous serez en mesure d’assurer la sécurité, la stabilité et la performance des sites que vous gérez.

Envie de découvrir un Usecase de nettoyage de site WP piraté ? Go !